← België

Beslissing ten gronde nr. 188/2022

1/29 Geschillenkamer Beslissing ten gronde 188/2022 van 21 december 2022 Dossiernummer : DOS-2022-00944 Betreft : Publicatie van een nummerplaat zonder toestemming De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: de heer X, vertegenwoordigd door Mr. Hans Leyssen, kantoorhoudende te 2000 Antwerpen, Frankrijklei 104, hierna “de klager” De verweerster: Y, vertegenwoordigd door Mr. Bob Laes, Mr. Joris Raport en Mr. Elisabeth Van Nerum, kantoorhoudende te 3000 Leuven, Sint-Maartenstraat 61 bus 2, hierna “de verweerster” Beslissing ten gronde 188/2022 - 2/29 I. 1. Feiten en procedure Op 22 februari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster. De klager is eigenaar van een wagen met gepersonaliseerde kentekenplaat via zijn BV, waarvan hij de enige zaakvoerder is. In een audiovisuele productie van de verweerster wordt een gelijkaardige wagen met dezelfde gepersonaliseerde kentekenplaat geportretteerd als de wagen van een criminele organisatie handelend in verdovende middelen. Het kenteken is volgens de klager duidelijk leesbaar, herkenbaar en minutenlang terug te vinden in de aflevering. Hierover wordt de klager zeer regelmatig aangesproken, zowel door zaken- als privérelaties. De klager zegt echter schrijnwerker te zijn en wil niet geassocieerd worden met het criminele milieu. Hij heeft ook geen toestemming gegeven aan de verweerster om zijn kenteken te gebruiken. De klager heeft gevraagd aan de verweerster om de kentekenplaat uit de montage te verwijderen, maar de verweerster heeft dit geweigerd op basis van haar recht op artistieke expressie. 2. Op 10 maart 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 22 maart 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 4. Op 26 april 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake is van: 1. een inbreuk op artikel 5 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 en l lid 2 van de AVG; en 2. een inbreuk op artikel 12, lid 1 en lid 4 van de AVG, artikel 17 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, ook vast: 3. inbreuk op artikel 38, lid 1 en artikel 39 van de AVG. 5. Op 29 april 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. Beslissing ten gronde 188/2022 - 3/29 6. Op 29 april 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 10 juni 2022, deze voor de conclusie van repliek van de klager op 1 juli 2022 en ten slotte deze voor de conclusie van repliek van de verweerster op 22 juli 2022. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster met betrekking tot de vaststellingen buiten het voorwerp van de klacht werd vastgelegd op 10 juni 2022. 7. Op 10 juni 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Deze conclusie bevat eveneens de reactie van de verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. Voor wat betreft de eerste inbreuk voert de verweerster aan dat in onderhavige zaak de fictieve kentekenplaat geen persoonsgegeven uitmaakt aangezien deze een verwijzing uitmaakt naar een zeer bekende Turkse voetbalclub waardoor er hoogstens sprake kan zijn van een toevallige gelijkenis met de kentekenplaat van de klager zonder dat dit een verwerking van één van zijn persoonsgegevens uitmaakt. Indien er toch sprake zou zijn van een verwerking van persoonsgegevens van de klager, is de verweerster van oordeel dat zij niet diende in te gaan op diens verzoek tot gegevenswissing, aangezien de kentekenplaat die wordt gebruikt op de wagen in de fictiereeks tot stand is gekomen door de eigen artistieke keuzes van de klaagster overeenkomstig artikel 17, lid 3,

  1. a)AVG. Voor wat betreft de tweede vaststelling voert de verweerster aan dat de klager inderdaad geen privacybeleid heeft ontvangen aangezien de verweerster niet op de hoogte was dat de klager een wagen met dezelfde kentekenplaat had, en dus ook niet wist dat zij de persoonsgegevens van de klager zou verwerken. Tot slot betoogt de verweerster dat artikel 37, lid 1 AVG niet op haar van toepassing is waardoor geen functionaris voor gegevensbescherming werd aangesteld. Wel zijn er vijf (één per departement) privacyverantwoordelijken aangeduid. 8. Op 4 juli 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager, voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De klager voert aan dat het gebruik van de gepersonaliseerde kentekenplaat in de fictiereeks wel degelijk een verwerking van persoonsgegevens in de zin van de AVG uitmaakt en dat deze verwerking onrechtmatig heeft plaatsgevonden zonder dat de verweerster zich kan beroepen op de uitzondering ten behoeve van het recht op vrijheid van meningsuiting en informatie waaronder begrepen de artistieke expressie. Beslissing ten gronde 188/2022 - 4/29 9. Op 22 juli 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht waarin zij haar argumenten uit de eerste conclusie van antwoord opnieuw uiteenzet. Daarnaast formuleert de verweerster antwoorden op de argumenten van de klager. Zo stelt de verweerster dat de door de klager voorgestelde wijze om hem te identificeren omslachtig is en derhalve een inbreuk van de AVG zou uitmaken. Vervolgens beargumenteert de verweerster op welke wijze de uitzondering uit artikel 17, lid 3,
  2. a)AVG op haar van toepassing is. II. Motivering II.1. Definitie “persoonsgegevens” Vaststellingen in het Inspectieverslag 10. In de loop van het Inspectieonderzoek heeft de verweerster opgeworpen dat er in de situatie van de klager geen verwerking is van diens persoonsgegevens. De Inspectiedienst concludeert echter dat er in casu wel sprake is van de verwerking van persoonsgegevens. In dit kader verwijst de Inspectiedienst naar één van de stukken van de verweerster waarin zij zelf stelt dat “een kentekenplaat een persoonsgegeven uitmaakt”. Bovendien heeft de GBA op haar website expliciet het volgende vermeld: “ook informatie die niet toelaat om een persoon rechtstreeks te identificeren (bv. een naam), maar wel onrechtstreeks (bv.) een nummerplaat is een persoonsgegeven.” De Inspectiedienst besluit op basis van deze elementen dat de verweerster wel degelijk de persoonsgegevens van de klager heeft verwerkt. De verweerster betwist deze conclusie. Standpunt van de verweerster 11. De verweerster betwist de vaststelling van de Inspectiedienst dat zij zou erkend hebben dat de kentekenplaat een persoonsgegeven uitmaakt. Deze vaststelling is volgens de verweerster onjuist. Hoewel zij zeker niet ontkent dat een nummerplaat een persoonsgegeven kan uitmaken, voert zij aan dat dit in onderhavige zaak niet het geval is. De verweerster betoogt dat de kentekenplaat in kwestie ontstaan is op basis van artistieke keuzes die werden gemaakt in het kader van de desbetreffende audiovisuele productie. Het fictieve personage aan wie de nummerplaat toebehoort, is lid van een familie van begeesterde supporters van een grote Turkse voetbalploeg. De kentekenplaat werd door de verweerster zelf ontworpen op basis van de gegevens van deze voetbalploeg (i.e. de naam en het oprichtingsjaar). Het feit dat deze fictieve kentekenplaat overeenkomt met de kentekenplaat van de klager, berust volgens de verweerster op louter toeval. Zij kon immers niet weten dat deze kentekenplaat reeds bestond en aan wie de kentekenplaat toegewezen was. Ter volledigheid wijst de verweerster erop dat aan het einde van iedere aflevering de volgende disclaimer wordt meegegeven: “Het programma is volledig fictief. Elke Beslissing ten gronde 188/2022 - 5/29 overeenkomst met bestaande personen, bedrijven of gebeurtenissen berust op puur toeval”. Standpunt van de klager. 12. De klager voert aan dat de kentekenplaat in kwestie wel degelijk zijn persoonsgegeven uitmaakt, aangezien deze verre van fictief, zelf verzonnen of speciaal ontworpen is door de verweerster. De kentekenplaat werd door de Dienst voor Inschrijvingen van Voertuigen aan de klager toegewezen. Daarnaast voert de klager aan dat de wagen van de klager en de wagen uit de audiovisuele productie gelijkaardig zijn. 13. De klager verwijst naar de definitie van “persoonsgegevens” en “verwerking” uit artikel 4 AVG en stelt dat deze definities geenszins het bestaan van enig intentioneel element in hoofde van de verwerkingsverantwoordelijke vereisen. De klager stelt dat een kentekenplaat van een voertuig een essentiële informatiedrager is aan de hand waarvan de natuurlijke persoon die het voertuig steeds bestuurt op onrechtstreekse wijze kan worden geïdentificeerd. Dit is eens te meer het geval wanneer de personalisatie van deze kentekenplaat zijn grondslag vindt in de etniciteit en de favoriete voetbalclub van de betrokkene. Deze zienswijze wordt volgens de klager bevestigd door de Eerstelijnsdienst en de Inspectiedienst van de GBA. 14. In tegenstelling tot wat de verweerster beweert, is het volgens de klager zeer eenvoudig om hem te identificeren aan de hand van zijn kentekenplaat. De klager voert aan dat gebruik moet worden gemaakt van de online publiek beschikbare applicatie van het Belgisch Gemeenschappelijk Waarborgfonds, waar men na het ingeven van een welbepaalde kentekenplaat de verzekeringsgegevens (zoals de BA-verzekeraar en het polisnummer) kan achterhalen van een voertuig dat op een bepaalde datum de desbetreffende kentekenplaat droeg. Vervolgens kan men contact opnemen met de betrokken BA-verzekeraar om met opgave van het polisnummer en de datum van een zelf verzonnen ongeval of een andere smoes de identiteit van de verzekerde te achterhalen, zijnde de Z. Vervolgens kan men via de Kruispuntbank van Ondernemingen nagaan wie de zaakvoerder is van deze BV. Aangezien de Z een eenmanszaak betreft, kan de verweerster de identiteit van de klager gemakkelijk achterhalen. De klager stelt dan ook dat de verweerster dit voorafgaand onderzoek had kunnen en moeten doen om de identiteit van de klager te achterhalen. Beoordeling door de Geschillenkamer 15. De Geschillenkamer herinnert eraan dat de AVG niet van toepassing is op de verwerking van alle soorten gegevens, maar alleen op de verwerking van persoonsgegevens. Overeenkomstig artikel 4

(1)AVG zijn persoonsgegevens “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden Beslissing ten gronde 188/2022 - 6/29 geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.
  1. Er zijn 4 elementen in de definitie van persoonsgegeven te onderscheiden : 1) betrekking hebben op 2) een geïdentificeerde of 3) identificeerbare 4) natuurlijke persoon.
  2. Wil er sprake zijn van persoonsgegevens dan moeten de gegevens in principe betrekking hebben op een natuurlijke persoon. Gegevens hebben alleen betrekking op een natuurlijke persoon wanneer deze geïdentificeerd is of identificeerbaar is. Een persoon is geïdentificeerd wanneer deze uniek van alle andere personen binnen een groep te onderscheiden is. Een persoon is identificeerbaar wanneer deze nog niet geïdentificeerd is, maar dit zonder onevenredige inspanning wel mogelijk is.
  3. Om de identiteit van een persoon vast te stellen wordt doorgaans gebruik gemaakt van gegevens die een unieke, persoonlijke relatie tot die persoon hebben, zogenaamde ‘identificatoren’. Bij identificatoren kan worden gedacht aan gegevens zoals een naam, adres en geboortedatum. Deze gegevens zijn in combinatie met elkaar dusdanig uniek voor een bepaalde persoon, dat een persoon op basis ervan met zekerheid of grote waarschijnlijkheid geïdentificeerd kan worden. Dit worden direct identificerende gegevens genoemd. Personen kunnen ook geïdentificeerd worden op basis van andere, minder directe identificatoren, zoals uiterlijke kenmerken, sociale en economische kenmerken en online identificatoren. Hoewel deze gegevens op zichzelf meestal niet leiden tot de identificatie van een persoon, kunnen zij door hun onderlinge samenhang of door koppeling aan andere gegevens alsnog hiertoe leiden. Dit worden indirect identificerende gegevens genoemd.
  4. Kortom, of een gegeven ook een persoonsgegeven is in de zin van artikel 4
(1)AVG voor een verwerkingsverantwoordelijke, is dus afhankelijk van de vraag of het gegeven of de gegevens die de verwerkingsverantwoordelijke verwerkt hem in staat stellen om iemand direct of indirect te identificeren. Wanneer de persoon nog niet geïdentificeerd is (als er geen direct identificerende gegevens worden verwerkt) moet de verwerkingsverantwoordelijke bepalen of de persoon niet alsnog identificeerbaar is.
  1. Zoals reeds vermeld betreft het gegeven in kwestie een kentekenplaat, hetgeen een indirect identificerend gegeven kan uitmaken. Bij de beoordeling of er sprake is van identificeerbaarheid in deze zaak verwijst de Geschillenkamer naar Overweging 26 van de AVG. Beslissing ten gronde 188/2022 - 7/29
  2. Overweging 26 van de AVG licht toe dat om te bepalen of een natuurlijke persoon identificeerbaar is, rekening moet worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon (een derde) om de natuurlijke persoon direct of indirect te identificeren. Om uit te maken of van middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen.
  3. Het advies 4/2007 over het begrip persoonsgegevens 1 van de Groep Gegevensverwerking stelt hieromtrent het volgende: “[i]ndien, rekening houdend met "alle middelen waarvan redelijkerwijs mag worden aangenomen dat zij door de verwerkingsverantwoordelijke of een andere persoon", die mogelijkheid tot identificatie niet bestaat of te verwaarlozen is, moet de persoon niet worden beschouwd als "identificeerbaar", en zou de informatie niet als "persoonsgegevens" worden beschouwd. Het criterium van "alle middelen waarvan redelijkerwijs mag worden aangenomen dat zij door de verwerkingsverantwoordelijke of door een andere persoon" moet met name rekening houden met alle betrokken factoren. De kosten van de identificatie zijn één factor, maar niet de enige. Er moet rekening gehouden worden met het beoogde doel, de wijze waarop de verwerking is gestructureerd, het door de verwerkingsverantwoordelijke verwachte voordeel, het risico van organisatorisch disfunctioneren en technische storingen.” (vrije vertaling)
  4. De registratie en toekenning van kentekenplaten gebeurt door de Dienst voor Inschrijving van Voertuigen, van de Federale Overheidsdienst Mobiliteit. De Geschillenkamer stelt vast dat via de website2 van de Federale Overheidsdienst Mobiliteit de beschikbaarheid van een gepersonaliseerde kentekenplaat kan nagegaan worden. Indien de verweerster deze website zou geconsulteerd hebben, zou zij kunnen vastgesteld hebben dat de beoogde kentekenplaat reeds in gebruik was, zonder evenwel de identiteit van de houder ervan te kennen. Voor familie, buren en kennissen is die gepersonaliseerde kentekenplaat echter wél een middel dat kan worden gebruikt om de klager te identificeren (voor nadere motivering lees hieronder randnummers 24 en 25). De Geschillenkamer herinnert eraan dat, zoals uiteengezet door de Groep Gegevensverwerking 29, bij de analyse of een gegeven ook een persoonsgegeven is, er moet rekening gehouden worden met het beoogde doel en de wijze waarop de verwerking is gestructureerd. Door het doel van de verwerking in kwestie (prominent verschijnen in een bekende audiovisuele productie) en de wijze waarop deze verwerking heeft plaatsgevonden (een bekende audiovisuele productie, de uitzending op 1 Artikel 29 Data Protection Working Party, Opinion 4/2007 on the concept of personal data, 20 June
  5. 2 https://www.mobilit.fgov.be/WebdivPub/wmvpstv1?SUBSESSIONID=
  6. Beslissing ten gronde 188/2022 - 8/29 een van de grootste tv-zenders van Vlaanderen alsook de beschikbaarheid van deze productie op streamingdiensten), concludeert de Geschillenkamer dat de klager identificeerbaar is.
  7. Wat het vierde element ("natuurlijke persoon") betreft, betekent dit dat gegevens over vennootschappen, personenvennootschappen en andere rechtspersonen/juridische personen niet als zodanig door de AVG worden beschermd. Het Hof van Justitie heeft niettemin geoordeeld dat "voor zover de officiële titel van de rechtspersoon een of meer natuurlijke personen identificeert", de rechtspersoon op grond van de artikelen 7 3 en 84 van het Handvest van de grondrechten van de Europese Unie aanspraak kan maken op de bescherming van gegevens die met hem verband houden.5 Aangezien de AVG een uitwerking is van de overkoepelende waarborgen die in deze Handvestbepalingen zijn neergelegd, kan een dergelijke bescherming voor rechtspersonen ook uit de AVG voortvloeien, hoewel deze bescherming niet de rechtspersoon als zodanig betreft, maar de natuurlijke perso(o)n(en) die deze vormen, en zich waarschijnlijk voornamelijk voordoet in gevallen waarin de rechtspersoon in feite een eenmanszaak is of een klein familiebedrijf met een transparante "bedrijfssluier".6
  8. De Geschillenkamer stelt vast dat de wagen en de kentekenplaat ingeschreven zijn op naam van de Z als rechtspersoon, en niet op naam van de klager als natuurlijke persoon. Deze BV is echter een eenpersoonszaak die niet beschikt over een vloot van voertuigen, waardoor er dus een directe link bestaat tussen de kentekenplaat en de klager. Aangezien de klager als natuurlijk persoon de wagen met deze specifieke kentekenplaat gebruikt, wordt hij door zijn omgeving geassocieerd met deze wagen met kentekenplaat zonder dat deze omgeving op de hoogte is of de wagen is ingeschreven op naam van zijn eenmanszaak, dan wel op naam van de klager als particulier. Gelet op bovenstaande concludeert de Geschillenkamer dat de kentekenplaat in de specifieke omstandigheden van onderhavige zaak een kentekenplaat uitmaakt. II.
  9. Artikel 5 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 en lid 2 van de AVG 3 Artikel 7: Eenieder heeft recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie. 4 Artikel 8:
  10. Eenieder heeft recht op bescherming van zijn persoonsgegevens.
  11. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht van inzage in de over hem verzamelde gegevens en op rectificatie daarvan.
  12. Een onafhankelijke autoriteit ziet erop toe dat deze regels worden nageleefd. 5 Zie hieromtrent HvJEU, zaak C-92 / 09 en 93 / 09, Schecke, § 53, zaak C-419 / 14, WebMindLicenses, § 79 ; Zaak T-670 / 16, Digital Rights Ireland, §
  13. 6 L.A. BYGRAVE en L. TOSONI, « Article 4
(1)Personal Data » in C. KUNER et.al. « EU General Data Protection Regulation, a commentary, Oxford University Press, 2020, p.
  1. Beslissing ten gronde 188/2022 - 9/29 Artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG
  2. Aangezien de Geschillenkamer tot de conclusie is gekomen dat de kentekenplaat onder de omstandigheden van deze zaak een persoonsgegeven uitmaakt, betekent dat het vertonen van dit persoonsgegeven in de audiovisuele productie een verwerking uitmaakt. De verweerster werpt op dat zij niet wist dat zij een persoonsgegeven verwerkte. De Geschillenkamer vestigt er de aandacht op dat de al dan niet aanwezigheid van een intentie geen criterium vormt voor de verwerking van persoonsgegevens in de zin van artikel 4
(2)AVG.7 Ongeacht of het de bedoeling was van de verweerster om het persoonsgegeven te verwerken, is het enkele feit dat de kentekenplaat wel degelijk werd vertoond in de audiovisuele productie voldoende om dit als verwerking te bestempelen die in overeenstemming met de grondbeginselen inzake gegevensbescherming zoals begrepen in artikel 5 AVG moet gebeuren. 27. Als verwerkingsverantwoordelijke is de verweerster verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet zij kunnen aantonen dat deze beginselen worden nageleefd (verantwoordingsplicht - artikel 5, lid 2 AVG). 28. Bovendien moet zij, eveneens in haar hoedanigheid van verwerkingsverantwoordelijke, alle nodige maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd (artikel 24 en 25 AVG). 29. In het kader van zijn onderzoek omtrent de verantwoordingsplicht heeft de Inspectiedienst het volgende gestuurd aan de verweerster om de volgende documenten over te maken: “Een kopie van de documenten van [de verweerster] over de maatregelen en beslissingen die werden genomen om de naleving van de beginselen inzake verwerking van persoonsgegevens te waarborgen ten aanzien van de klager op basis van artikel 5, artikel 24, lid 1 en artikel 25 van de AVG.” 30. De verweerster heeft hierop een antwoord geformuleerd maar bezorgde, aldus de Inspectiedienst, geen documenten waaruit blijkt welke maatregelen en beslissingen werden genomen om de beginselen inzake verwerking van persoonsgegevens te waarborgen specifiek ten aanzien van de klager op basis van artikel 5, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 van de AVG. De Inspectiedienst stelt vast in haar verslag dat de overgemaakte documenten betrekking hebben op het transparantiebeginsel in artikel 5, lid 1,
  1. a)AVG, maar dat de verweerster niet verduidelijkt hoe de andere beginselen van artikel 5, lid 1 AVG 7 Artikel 4 AVG: “Voor de toepassing van deze verordening wordt verstaan onder: […] 2) „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens” Beslissing ten gronde 188/2022 - 10/29 worden gewaarborgd. Bovendien concludeert de Inspectiedienst dat bepaalde elementen niet in concreto worden toegelicht door de verweerster, zoals of de klager, wiens persoonsgegevens werden verwerkt door de verweerster, effectief een kopie heeft gekregen van diens algemeen privacybeleid. Tijdens het onderzoek stelt de verweerster dat zij geen persoonsgegevens verwerkt heeft. De Inspectiedienst volgt deze visie niet en stelt dat de verweerster wel persoonsgegevens verwerkt.. Hierbij verwijst de Inspectiedienst naar de webpagina van de Gegevensbeschermingsautoriteit (https://www.gegevensbeschermingsautoriteit.be/burger/privacy/lexicon) waarop vermeld staat dat “ook informatie die niet toelaat om een persoon rechtstreeks te identificeren (bv. een naam), maar wel onrechtstreeks (bv. een nummerplaat) een persoonsgegeven is”. Bijgevolg komt de Inspectiedienst tot de vaststelling dat er een inbreuk is op artikel 5, artikel 24, lid 1 en artikel 25, lid 1 AVG. 31. In haar conclusies betwist de verweerster deze vaststelling. De verweerster verduidelijkt dat zij van mening was dat zij in casu geen persoonsgegevens verwerkte. Verder toont de verweerster aan welke stappen zij onderneemt in het geval van gelijkaardige verwerkingen van persoonsgegevens, te weten het verwerken van nummerplaten in andere audiovisuele producties wanneer zij wel van oordeel is dat zij persoonsgegevens verwerkt. 8 32. De Geschillenkamer stelt dat de Inspectiedienst als onderzoekorgaan van de GBA belast is met het onderzoeken van klachten over en ernstige aanwijzingen van inbreuken op de Europese en Belgische wetgeving inzake persoonsgegevens, waaronder de AVG. Eén van de manieren waarop het onderzoek gevoerd wordt, is zich van alle nuttige inlichtingen en documenten laten voorzien. Deze mogelijkheid laat de verwerkingsverantwoordelijken en/of verwerkers toe uit te leggen en aan te tonen welke maatregelen zijn genomen om de toepasselijke wetgeving na te leven.9 33. In het kader van het onderzoek van de naleving van de grondbeginselen en de verantwoordingsplicht, zoals begrepen in artikel 5 van de AVG, heeft de Inspectiedienst een algemeen verzoek gericht aan de verwerkingsverantwoordelijke om het volgende over te maken: “Een kopie van de documenten van [de verweerster] over de maatregelen en beslissingen die werden genomen om de naleving van de beginselen inzake verwerking van persoonsgegevens te waarborgen ten aanzien van de klager op basis van artikel 5, artikel 24, lid 1 en artikel 25 van de AVG.” 34. De Geschillenkamer stelt vast dat de vraag van de Inspectiedienst slaat op de verwerking van de persoonsgegevens van de klager, te weten het publiceren van een kentekenplaat in 8 9 zie infra. Charter van de Inspectiedienst, augustus 2022, online te https://www.gegevensbeschermingsautoriteit.be/publications/charter-van-de-inspectiedienst.pdf raadplegen via Beslissing ten gronde 188/2022 - 11/29 een audiovisuele productie. De verweerster voert aan dat zij in casu geen dergelijk document voorafgaandelijk heeft overgemaakt aan de klager omdat ze van oordeel was dat geen persoonsgegeven verwerkt werd, en bovendien, dat ze ook niet wist dat deze kentekenplaat aan een persoon toegewezen was en al helemaal niet aan wie deze kentekenplaat toegekend was. Verder maakt de verweerster de documenten over dewelke zij hanteert wanneer zij wel – bewust – persoonsgegevens van betrokkenen verwerkt. Zoals hierboven uiteengezet is de Inspectiedienst in casu van oordeel dat bepaalde informatie, die voor de Inspectiedienst essentieel is om tot een goede beoordeling te komen, ontbreekt. Bijgevolg werd door de Inspectiedienst geoordeeld dat er sprake was van een schending van artikel 5, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG. 35. De Geschillenkamer herinnert eraan dat een onderzoek door de Inspectiedienst op een loyale wijze dient te gebeuren. Indien het antwoord van de verwerkingsverantwoordelijke voor de Inspectiedienst niet volstaat, komt het normaal gesproken toe aan de Inspectiedienst om te verduidelijken op welke punten meer informatie gevraagd wordt. Dit kan bijvoorbeeld door specifiekere vragen te stellen over een bepaald onderwerp of door concrete documenten of informatie op te vragen. Het is immers voor de verwerkingsverantwoordelijke niet altijd gemakkelijk om op dergelijk algemene en ruime vraag een omvattend antwoord te formuleren of de exacte documenten te bezorgen die de Inspectiedienst wenst te onderzoeken. Indien de Inspectiedienst specifiekere vragen zou gesteld hebben of concrete documenten zou opgevraagd hebben en de verwerkingsverantwoordelijke niet de gevraagde informatie heeft kunnen aanleveren, komt het toe aan de Inspectiedienst om een schending van de verantwoordingsplicht zoals begrepen in artikel 5, lid 2 en artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG vast te stellen. De Geschillenkamer merkt hierbij op dat de Inspectiedienst geen bijkomende vragen gesteld heeft over welbepaalde onderwerpen en dat er geen welbepaalde documenten werden opgevraagd om tot een goede beoordeling van de zaak te kunnen komen. De Geschillenkamer stelt dan ook vast dat het Inspectieonderzoek niet voldoende specifiek gevoerd werd voor wat betreft deze vaststelling. Bijgevolg komt de Geschillenkamer tot de conclusie dat het in casu disproportioneel is om een schending van de artikelen 5, 24, lid 1 en 25, lid 1 en 2 AVG vast te stellen op basis van een algemene vraag in het kader van de verantwoordingsplicht, waarop geantwoord werd door de verweerster, zonder verdere opvolgvragen van de Inspectiedienst. Het komt toe aan de Inspectiedienst om op basis van een loyaal onderzoek een eventuele tekortkoming van artikel 5, artikel 2, lid 1 en artikel 25, lid 1 en lid 2 AVG door de verweerster aan te tonen. Artikel 5, lid 1 AVG 36. De Geschillenkamer stelt vast dat, op basis van het aangeleverde antwoord van de verweerster in het kader van het onderzoek, de Inspectiedienst tot de vaststelling komt dat Beslissing ten gronde 188/2022 - 12/29 er een inbreuk is op alle grondbeginselen met betrekking tot de bescherming van persoonsgegevens zoals bepaald in artikel 5, lid 1 AVG. Hoewel artikel 5, lid 1 en lid 2 AVG nauw met elkaar verbonden zijn, betekent een eventuele schending van de verantwoordingsplicht van artikel 5, lid 2 AVG niet automatisch ook een schending van artikel 5, lid 1 AVG. De verantwoordingsplicht is immers de formele veruitwendiging om door middel van documenten de naleving van de materiële grondbeginselen van de AVG aan te tonen. Beide elementen dienen dus ook apart beoordeeld te worden. 37. De Geschillenkamer stelt vast dat het Inspectieverslag enkel vaststellingen bevat omtrent het transparantiebeginsel zoals begrepen in artikel 5, lid 1, a). De Geschillenkamer zal dan ook deze vaststelling behandelen. Zoals hierboven reeds uiteengezet stelde de Inspectiedienst vast dat bepaalde elementen niet in concreto worden toegelicht door de verweerster, zoals of de klager, wiens persoonsgegevens werden verwerkt door de verweerster effectief een kopie heeft gekregen van diens algemeen privacybeleid. 38. In haar conclusies betwist de verweerster de vaststellingen uit het Inspectieverslag. Zij stelt dat binnen haar organisatie verschillende privacyverantwoordelijken werden aangeduid per departement, ook voor het departement fictie. Toen de verweerster het schrijven van de klager ontving via het infoadres (dus niet via een specifiek e-mailadres bestemd voor privacy-aangelegenheden) heeft zij alles in het werk gesteld om accuraat en tijdig te kunnen antwoorden. Verder herhaalt de verweerster dat zij niet ontkent dat een kentekenplaat een persoonsgegeven kán uitmaken, maar dat dit in casu niet het geval is. Vervolgens licht de verweerster toe welke passende en technische organisatorische maatregelen zij neemt om ervoor te zorgen dat met betrekking tot audiovisuele producties de persoonsgegevens van betrokkenen worden verwerkt overeenkomstig de AVG. Zo zorgt zij ervoor dat in gevallen waarin er wel sprake zou kunnen zijn van de verwerking van persoonsgegevens in haar audiovisuele producties door het filmen en naderhand in beeld te brengen van een bestaande nummerplaat van een betrokkene die hiervoor geen toestemming heeft gegeven, deze relevante scènes worden geschrapt, bijgeknipt of dat het kentekenplaat onleesbaar wordt gemaakt (bijvoorbeeld d.m.v. blurring). Daarnaast, in andere gevallen waar er persoonsgegevens van betrokkenen worden verwerkt in het kader van een audiovisuele productie (en dat is dan in hoofdzaak het geval in non-fictie producties), is de gangbare werkwijze binnen de organisatie van de verweerster dat ofwel, voor betrokkenen die een grotere rol binnen de productie vervullen, in de overeenkomsten met hen de nodige bepalingen inzake gegevensbescherming worden opgenomen, ofwel, voor betrokkenen die een kleinere rol of een kortstondige deelname binnen de productie vervullen, een verkorte ‘quit claim’ wordt ondertekend. Zowel voornoemde contracten als quit claims bevatten clausules met betrekking tot de verwerking van persoonsgegevens. Deze documenten worden aan de betrokkenen bezorgd en toegelicht voorafgaand aan de samenwerking tussen de verweerster en de betrokkene, tezamen met het Algemeen Privacybeleid. In het Beslissing ten gronde 188/2022 - 13/29 geval van de klager is er geen sprake van een ondertekend contract of quit claim, aangezien de verweerster er überhaupt niet vanuit ging dat enig persoonsgegeven werd verwerkt, laat staan dat zij überhaupt wist wiens persoonsgegeven het betrof. Het klopt verder dat ook na het schrijven van de raadsman van de klager het Algemeen Privacybeleid niet aan hem werd overgemaakt door de verweerster. Deze reflex werd niet gemaakt omwille van het feit dat de verweerster vooreerst de overtuiging was toegedaan dat het in deze niet om de verwerking van een persoonsgegeven ging. De verweerster stelt dat, in het geval er door de Geschillenkamer toch zou worden geoordeeld dat een verwerking van persoonsgegevens van de klager heeft plaatsgevonden, zij wenst te benadrukken dat deze situatie, waarbij er een vermeende verwerking van persoonsgegevens heeft plaatsgevonden zonder dat de betrokkene hierover werd geïnformeerd en zonder dat deze het Algemeen Privacybeleid heeft ontvangen, een éénmalig en op zichzelf staand geval uitmaakt dat niet strookt met de gangbare werkwijze inzake het beleid inzake de bescherming van persoonsgegevens in hoofde van de verweerster. 39. De Geschillenkamer stelt vast dat de verweerster bij de totstandkoming van de audiovisuele productie niet op de hoogte was van de identiteit van de klager, als houder van de gepersonaliseerde kentekenplaat. 40. Het Inspectieverslag stelt vervolgens vast dat de verweerster heeft nagelaten om het Algemeen Privacybeleid over te maken aan de klager nadat deze met haar contact had genomen met het verzoek om zijn kentekenplaat te verwijderen uit de productie. De verweerster voert aan dat zij deze reflex niet maakte omdat zij meende dat er geen sprake was van verwerking van persoonsgegevens. De Geschillenkamer stelt vast dat in deze brief enkel het verzoek tot gegevenswissing opgenomen is. De verweerster kon niet redelijkerwijs verwachten dat de klager ook het Algemeen Privacybeleid wilde ontvangen wanneer de brief van de klager waarin de gegevenswissing verzocht wordt, geen enkele vraag naar of vermelding van het Algemeen Privacybeleid, bevatte. 41. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er geen sprake is van een inbreuk op het transparantiebeginsel zoals begrepen in artikel 5, lid 1,
  2. a)AVG voor wat betreft het niet overmaken van het Algemeen Privacybeleid. 42. De Geschillenkamer stelt vast dat het Inspectieverslag een schending van alle basisbeginselen van artikel 5 vaststelt. Deze schending vloeit voort uit de vermeende nietnaleving van de bovenvermelde verantwoordingsplicht. De Geschillenkamer wijst erop dat het vaststellen van gegevensverwerking een vermeende inbreuk op basis een van op alle vermeende grondbeginselen vaststelling inzake van de verantwoordingsplicht disproportioneel is. Bijgevolg concludeert de Geschillenkamer dat de vaststelling van de Inspectiedienst omtrent deze beginselen niet voldoende gestaafd is door Beslissing ten gronde 188/2022 - 14/29 bewijs10 waardoor het verder behandelen van deze vaststellingen onmogelijk is. Gelet op het bovenstaande is de Geschillenkamer van oordeel dat er geen sprake is van een inbreuk op de artikelen 5, 24, lid 1 en 25, lid 1 en 2 AVG. II.3. Artikel 5, lid 1,
  3. a)en artikel 6 van de AVG inzake de rechtmatigheid 43. In zijn conclusies werpt de klager op dat de litigieuze verwerking gebeurde zonder toestemming en daarom onrechtmatig is in de zin van artikel 5, lid 1,
  4. a)AVG is. De klager stelt dat hij aan de verweerster geen toestemming heeft gegeven voor het wereldwijd vertonen van zijn gepersonaliseerde kentekenplaat, zodat deze verwerking van zijn persoonsgegeven op grond van artikel 6 AVG onrechtmatig is. 44. De klager stelt dat een belangenafweging tussen enerzijds het recht van de klager op bescherming van zijn persoonsgegevens en anderzijds het gerechtvaardigd belang van de verweerster, te weten de vrijheid van meningsuiting en informatie (inclusief de vrijheid van artistieke expressie) evenzeer resulteert in een beoordeling in het nadeel van laatstgenoemde. De Geschillenkamer herinnert eraan dat, om zich op deze rechtsgrond uit artikel 6, lid 1,
  5. f)AVG te kunnen beroepen voor de verwerking van persoonsgegevens, moet het gerechtvaardigde belang van de verwerkingsverantwoordelijke of derden worden afgewogen tegen de belangen of de grondrechten en fundamentele vrijheden van de betrokkenen. Het gerechtvaardigd belang hangt nauw samen met – doch verschilt van – het begrip verwerkingsdoel, dat ingevolge artikel 5, lid 1,
  6. b)AVG specifiek moet zijn. Terwijl het 'doel' betrekking heeft op de specifieke reden waarom de gegevens worden verwerkt, d.w.z. het doel of de intentie van de gegevensverwerking, houdt het begrip 'belang' verband met het ruimere belang dat een verwerkingsverantwoordelijke bij de verwerking kan hebben, of het voordeel dat de verwerkingsverantwoordelijke — of een derde, die niet noodzakelijk als medeverwerkingsverantwoordelijke hoeft te worden gekwalificeerd — uit de verwerking haalt.11 45. Overeenkomstig artikel 6, lid 1,
  7. f)van de AVG en de rechtspraak van het Hof van Justitie dient aan drie cumulatieve verwerkingsverantwoordelijke voorwaarden zich te rechtsgeldig zijn kan voldaan beroepen opdat een op deze rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van de derde(
  8. n)aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de 10 Cf. Sectie A.1 van het sepotbeleid van de Geschillenkamer. 11 HvJEU Arrest van 11 december 2019, TK v. Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, ECLI:EU:C:2019:1064, para. 44. Zie in die zin ook beslissing 21/2022 van 2 februari 2022. Beslissing ten gronde 188/2022 - 15/29 derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”)12. 46. Met andere woorden, om zich conform artikel 6, lid 1,
  9. f)van de AVG te kunnen beroepen op de rechtmatigheidsgrond van verwerkingsverantwoordelijke het “gerechtvaardigd aan belang”, te tonen dient de dat: 1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”)13; 2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en 3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke of een derde partij (de “afwegingstoets”). 47. In casu stelt de Geschillenkamer vast dat het belang van de verweerster bestaat uit het creëren van audiovisuele producties als uitoefening van haar artistieke expressie, die wordt gevat onder de grondwettelijk beschermde vrijheid van meningsuiting. Met het oog hierop worden persoonsgegevens van de klager verwerkt. 48. Artistieke expressie omvat onder andere het creëren van fictieve personages en hun leefwereld. Hierbij kan de verweerster gebruik maken van publieke gegevens, zoals in casu het geval is. De kentekenplaat past bij het fictieve personage, wiens zoon een fan is van de Turkse voetbalclub Galatasaray S.K., die opgericht werd in 1905. Bijgevolg is het gebruik van deze kentekenplaat in het kader van de vormgeving van een fictief personage een uitsluitend artistieke uitdrukkingsvorm. Er is naar het oordeel van de Geschillenkamer geen twijfel dat wordt voldaan aan de doeltoets uit de rechtspraak van het Hof van Justitie. Gelet op het artistieke doel om de link met de voetbalclub te benadrukken en de vrijheid voor de verweerster in deze context om daarbij een geschikt middel te kiezen, meent de Geschillenkamer dat ook aan de noodzakelijkheidstoets wordt voldaan. 49. Wat betreft de afwegingstoets, het belang van de klager bestaat uit de bescherming van zijn persoonsgegevens en het daarmee in verband staande feit dat hij wordt aangesproken over de gelijkenis tussen zijn kentekenplaat en de fictieve kentekenplaat. 50. Voor wat betreft de belangen van de klager stelt de Geschillenkamer dat het weinig aannemelijk is dat de klager zeer grote hinder ondervindt van deze gelijkenis. Het zijn immers enkel zijn persoonlijke en/of zakelijke relaties die de overeenkomst tussen beide kentekenplaten kunnen ontdekken en de klager hiermee confronteren. De audiovisuele 12 HvJEU Arrest van 4 mei 2017, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde t. Rīgas pašvaldības SIA „Rīgas satiksme”, C-13/16; ECLI: EU:C:2017:336, para. 28-31. Zie ook HvJEU Arrest van 11 december 2019, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, ECLI:EU:C:2019:1064, para. 40. 13 Waarbij het begrip “doel” moet worden gelezen in het licht van de voorgaande punten van deze beslissing. Beslissing ten gronde 188/2022 - 16/29 productie is fictief en bovendien bestaat er geen andere link tussen de klager en het fictief personage. Daarnaast wordt bij elke aflevering geduid dat het een fictieve productie betreft en dat elke overeenkomst met personen berust op louter toeval. Hierbij merkt de Geschillenkamer op dat er, ondanks de overeenstemmende kentekenplaten, geen andere gelijkenis, overeenstemming of enige andere link bestaat tussen het fictieve personage en de klager. In dit kader herinnert de Geschillenkamer er ook aan dat de verweerster geen weet had van het bestaan van de kentekenplaat van de klager waardoor zij hieruit ook geen inspiratie geput heeft. De creatie kwam bijgevolg zelfstandig door de verweerster tot stand. 51. Bijgevolg concludeert de Geschillenkamer dat het voor deze persoonlijke of zakelijke relaties duidelijk zou moeten kunnen zijn dat de klager geen enkele band heeft met milieus waarin het fictieve personage uit de audiovisuele producties zich begeeft. 52. De Geschillenkamer wijst er ook op dat de klager ervoor gekozen heeft om een kentekenplaat aan te vragen, bestaande uit publieke gegevens verbonden aan een voetbalclub die wereldwijd bekend is. Het kon dan ook door de klager voorzienbaar zijn dat deze gegevens gebruikt zouden kunnen worden voor artistieke doeleinden. De omstandigheid dat de verweerster als programmamaker niet noodzakelijk deze nummerplaat had kunnen gebruiken maakt niet dat de litigieuze verwerking onrechtmatig zou zijn op grond van artikel 6, lid 1,
  10. f)AVG. De keuze om een personage vorm te geven aan de hand van een bepaalde culturele achtergrond met verwijzing naar een zeer betekenisvolle voetbalclub binnen deze cultuur, valt onder de vrijheid van de artistieke uitdrukkingsvorm. 53. Gelet op het bovenstaande concludeert de Geschillenkamer dat in casu het belang van de artistieke expressie van de verweerster zwaarder weegt dan het recht op bescherming van persoonsgegevens van de klager. Derhalve wordt door de verweerster voldaan aan de afwegingstoets. De gegevens mochten derhalve worden verwerkt. De vraag in hoeverre de mogelijke nadelige gevolgen voor de klager hadden kunnen worden beperkt door gebruik te maken van het recht op gegevenswissing wordt hieronder in Sectie II.4 besproken. 54. De Geschillenkamer stelt dan ook vast dat er geen sprake is van een inbreuk op artikel 5, lid 1,
  11. a)en artikel 6, lid 1,
  12. f)AVG. II.4. Inbreuk op artikel 12, lid 1 en lid 4 van de AVG, artikel 17 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG 55. De Inspectiedienst stelt vast dat de verweerster de verplichtingen opgelegd door artikel 12, lid 1 en lid 4, artikel 17, artikel 24, lid 1 en artikel 25, lid 1 van de AVG niet heeft nageleefd. De Inspectiedienst wijst in dat verband ten eerste op het feit dat het verzoek van de klager om zijn gepersonaliseerde kentekenplaat te wissen uit de audiovisuele productie werd afgewezen omwille van het “recht op artistieke expressie”, zonder daarbij te verduidelijken Beslissing ten gronde 188/2022 - 17/29 welke bepaling van artikel 17, lid 3 AVG wordt ingeroepen. Ten tweede is volgens de Inspectiedienst deze toelichting niet transparant overeenkomstig artikel 12, lid 1 en lid 4 AVG aangezien het voor de klager niet duidelijk is op welke basis precies zijn onderzoek geweigerd werd en bovendien geen melding werd gemaakt van de mogelijkheid klacht in te dienen bij de GBA. De Geschillenkamer zal eerst de weigering om over te gaan tot gegevenswissing beoordelen en vervolgens de transparantieverplichtingen voortvloeiend uit artikel 12 AVG. II.4.1. Artikel 17 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG 56. De Geschillenkamer wijst erop dat op 5 januari 2022 de klager zijn verzoek tot gegevenswissing heeft uitgeoefend ten aanzien van de verweerster, dewelke geweigerd werd door de verweerster op basis van haar vrijheid van artistieke expressie. 57. De Inspectiedienst stelt vast in haar Inspectieverslag dat de gegevenswissing onrechtmatig geweigerd werd door de verweerster. Hierbij verwijst de Inspectiedienst naar de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens 14 (hierna: wet van 30 juli 2018). Deze wet voorziet uitzonderingen op de rechten van de betrokkenen voor verwerkingen van persoonsgegevens ten behoeve van onder meer “artistieke uitdrukkingsvormen”. De Inspectiedienst benadrukt echter dat die uitzonderingen niet van toepassing zijn voor de artikelen 12, 17, 24 en 25 van de AVG. Bovendien moeten die uitzonderingen worden gelezen in het licht van artikel 85, lid 2 van de AVG en dus effectief “noodzakelijk zijn om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van meningsuiting en van informatie”. De klager treedt deze visie bij in zijn conclusies. 58. De verweerster betwist deze vaststelling van de Inspectiedienst. Ze voert aan in haar conclusies dat de wet van 30 juli 2018 in artikel 24 inderdaad bepaalt dat een aantal bepalingen van de AVG niet van toepassing zijn “op verwerkingen van persoonsgegevens voor journalistieke doeleinden en ten behoeve van academische, artistieke of literaire uitdrukkingsvormen”. De verweerster treedt vooreerst de vaststelling van de Inspectiedienst bij dat artikel 17 van de AVG inderdaad niet voorkomt in de opsomming van de artikelen van de AVG waar de uitzonderingen uit de wet op van toepassing zijn. 59. In dit verband verwijst de verweerster naar de Memorie van Toelichting bij het wetsontwerp van de Wet van 30 juli 2018 waarin het volgende wordt verduidelijkt: “[h]et wetsontwerp stelt de verwerkingsverantwoordelijke voor journalistieke, academische, artistieke of literaire doeleinden niet vrij van de verplichting om het recht om vergeten te worden te verlenen aan de betrokken persoon (artikel 17 van de Verordening). Artikel 17.3 van de AVG 14 Wet 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, BS 5 september 2018. Beslissing ten gronde 188/2022 - 18/29 stelt zelf dat het recht om vergeten te worden niet van toepassing is op verwerkingen voor doeleinden van vrije meningsuiting en vrije informatie. De verordening is dus rechtstreeks van toepassing en het is dus niet nodig dat de wet die vrijstelling opnieuw aanmaakt.”15 60. Deze positie werd eveneens gevolgd door de Raad van State, door het volgende te stellen: “in artikel 29 (huidig artikel 24) terecht niet [wordt] bepaald dat het niet van toepassing is op de verwerking van gegevens voor journalistieke, academische, artistieke of literaire doeleinden, aangezien reeds in die uitsluiting wordt voorzien in paragraaf 3, a), zelf van dat artikel 17”.16 61. De Geschillenkamer verwijst naar de opzet van artikel 85 AVG dat de algemene opdracht formuleert aan de (nationale) wetgever om te waken over de verzoening van de verhouding tussen de vrijheid van meningsuiting en de bescherming van persoonsgegevens. De Belgische wetgever heeft deze verhouding geregeld in de wet van 30 juli 2018. Artikel 24 van deze wet stelt dat voor verwerkingen voor journalistieke, academische, artistieke of literaire doeleinden bepaalde rechten van de betrokkene niet van toepassing zijn. De wet verwijst in dit verband naar de artikelen 7 tot 10, artikel 11, lid 2, de artikelen 13 tot 16, 18 tot 20 en 21, lid 1 AVG. In de AVG is immers voor deze artikelen geen dergelijke uitzondering voorzien voor verwerkingen van persoonsgegevens voor journalistieke, academische, artistieke of literaire doeleinden. Artikel 24 van de wet van 30 juli 2018 stelt de verwerkingsverantwoordelijke voor journalistieke, academische, artistieke of literaire doeleinden echter niet expliciet vrij van de verplichting om het recht op gegevenswissing (“recht om vergeten te worden”) te verlenen aan de betrokken persoon (artikel 17 AVG). Een dergelijke expliciete vrijstelling is ook niet noodzakelijk aangezien, zoals ook terecht opgemerkt door de verweerster, artikel 17, lid 3 AVG rechtstreeks toepasselijk is in het Belgisch recht. 62. Op basis van het bovenstaande treedt de Geschillenkamer het standpunt van de verweerster bij en oordeelt dat artikel 17, lid 3 AVG zelf de mogelijke uitzonderingsgronden op het recht op gegevenswissing voorziet, zonder dat deze moeten hernomen worden in de wet van 30 juli 2018. 63. De Geschillenkamer verwijst naar artikel 17, lid 1 van de AVG dat bepaalt dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van de hem betreffende persoonsgegevens te verkrijgen. Op basis van datzelfde artikel, punt c), is de verwerkingsverantwoordelijke verplicht om de persoonsgegevens 15 Wetsontwerp van 11 juni 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, Parl.St. Kamer nr. 54-3216/001, 54. 16 Advies van 19 april 2018 van de Raad van State, Afdeling Wetgeving over een voorontwerp van wet ‘betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens’, Parl.St. Senaat nr. 63.192/2, 80, nr. 4.4; Wetsontwerp van 11 juni 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, Parl.St. Kamer nr. 54-3216/001, 54. Beslissing ten gronde 188/2022 - 19/29 zonder onredelijke vertraging te wissen, onder andere wanneer de betrokkene overeenkomstig artikel 21, lid 1 AVG bezwaar maakt tegen de verwerking en er geen prevalerende dwingende gerechtvaardigde gronden zijn voor de verwerking. Zoals hierboven uiteengezet heeft de klager een verzoek overeenkomstig artikel 17, lid 1,
  13. c)AVG gericht aan de verweerster. 64. Artikel 17, lid 3,
  14. a)AVG stelt evenwel dat artikel 17, lid 1 AVG niet van toepassing is wanneer een dergelijke verwerking noodzakelijk is voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie. Dit artikel voorziet hiermee een uitzonderingsregeling met een belangenafweging tussen twee grondrechten, te weten de balans tussen het recht op vrijheid van meningsuiting en informatie enerzijds en het recht op bescherming van persoonsgegevens anderzijds.17 Het is op deze grond dat de verweerster geweigerd heeft om uitvoering te verlenen aan het verzoek tot gegevenswissing van de klager. 65. In het kader van onderhavig dossier zal de Geschillenkamer aldus nagaan of het verzoek tot gegevenswissing overeenkomstig 17, lid 1,
  15. c)AVG terecht door de verweerster geweigerd werd overeenkomstig artikel 17, lid 3,
  16. a)AVG en met name of het recht op vrijheid van meningsuiting en informatie, enerzijds, en het recht op bescherming van persoonsgegevens, anderzijds, op juiste wijze ten opzichte van elkaar zijn afgewogen. 66. De Geschillenkamer wijst erop dat in deze zaak de klacht werd ingediend tegen de verweerster als productiehuis, dat onder andere fictieve audiovisuele producties maakt. Vooreerst herinnert de Geschillenkamer eraan dat het recht op vrijheid van meningsuiting en informatie wordt beschermd door artikel 10, lid 1 van het Europees Verdrag van de Rechten van de Mens (hierna: “EVRM”). “Dit recht omvat de vrijheid een mening te koesteren en de vrijheid om inlichtingen of denkbeelden te ontvangen of te verstrekken, zonder inmenging van enig openbaar gezag […]" en het gelijkluidende artikel 11 van het Grondrechtenhandvest van de Europese Unie (hierna: “Handvest”), waarvan het tweede lid nog in het bijzonder de eerbiediging van vrijheid en de pluriformiteit van de media waarborgt. 67. Zoals ook aangehaald door de verweerster is het recht op vrijheid van meningsuiting, waar artikel 17, lid 3,
  17. a)AVG naar verwijst, niet alleen van toepassing op bepaalde soorten informatie, ideeën of uitdrukkingsvormen zoals van politieke aard, het omvat ook artistieke uitingen.18 Het Europees Hof van de Rechten van de Mens (EHRM) stelde eveneens: “[d]e bevestiging, voor zover nog nodig, dat deze interpretatie juist is, wordt geleverd door de tweede zin van lid 1 van artikel 10 (art. 10-1), waarin sprake is van "omroep-, televisie- of bioscoopondernemingen", media waarvan de activiteiten zich uitstrekken tot het terrein van de kunst. Een bevestiging dat het begrip vrijheid van meningsuiting ook artistieke uitingen omvat, is ook te vinden in artikel 19, lid 2, van het Internationaal Verdrag inzake 17 Zie arrest HvJEU van 24 september 2019, G.C e.a. v CNIL, ECLI:EU:C:2019:773, § 56 e.v. 18 EHRM, 25 mei 1988, 10737/83, Müller and Others v. Switzerland, § 27. Beslissing ten gronde 188/2022 - 20/29 burgerrechten en politieke rechten, dat informatie en denkbeelden "in de vorm van kunst" uitdrukkelijk rekent tot het recht op vrijheid van meningsuiting. ”19 Bijgevolg ressorteren uitingen van kunstexpressie onder de bescherming van artikel 10 EVRM en artikel 11 van het Handvest. 68. Zoals reeds vermeld, staat in onderhavige zaak de afweging tussen het recht op vrijheid van meningsuiting en informatie, en in het bijzonder de vrijheid van artistieke expressie, van de verweerster (artikel 10 EVRM en artikel 11 Handvest) en het recht op bescherming van persoonsgegevens van de klager (artikel 8 Handvest) centraal. Het gaat dus om een afweging van fundamentele rechten. 69. De Geschillenkamer wijst in dit verband op de rechtspraak van het Hof van Justitie in het kader van de verwijderingsverzoeken aan zoekmachines, meest recentelijk het arrest Google, C-460/20.20 Hierin stelt het Hof: “De omstandigheid dat artikel 17, lid 3, onder a), AVG uitdrukkelijk bepaalt dat het recht op gegevenswissing van de betrokkene is uitgesloten wanneer de verwerking noodzakelijk is voor de uitoefening van het in artikel 11 van het Handvest gewaarborgde recht op, onder meer, vrijheid van informatie, geeft uitdrukking aan het feit dat het recht op bescherming van persoonsgegevens geen absoluut recht is, maar, zoals is benadrukt in overweging 4 van deze verordening, moet worden bezien in verhouding tot de functie ervan in de maatschappij en overeenkomstig het evenredigheidsbeginsel moet worden afgewogen tegen andere grondrechten. [..]In de AVG, en meer bepaald in artikel 17, lid 3, onder a), is dus expliciet het vereiste neergelegd dat er een afweging moet worden gemaakt tussen de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens enerzijds, en het door artikel 11 van het Handvest gewaarborgde grondrecht op vrijheid van informatie anderzijds.” 70. Het antwoord op de vraag welk van deze beide rechten in het concrete geval zwaarder weegt, moet worden gevonden door een afweging van alle ter zake dienende omstandigheden van het geval.21 Deze toetsing dient in één keer te gebeuren, waarbij het oordeel dat een van beide rechten, gelet op alle ter zake dienende omstandigheden, zwaarder weegt dan het andere recht, met zich meebrengt dat de inbreuk op het andere recht voldoet aan de noodzakelijkheidstoets van het desbetreffende lid 2 van artikel 8 en artikel 10 EVRM, als gespecificeerd in artikel 52 van het Handvest. 71. Hieromtrent stelt het arrest Karatas t. Turkije van het EHRM dat de vrijheid van artistieke expressie het volgende omvat: “met name binnen de vrijheid om informatie en idealen te ontvangen en door te geven, die de mogelijkheid biedt om deel te nemen aan de openbare 19 EHRM, 25 mei 1988, 10737/83, Müller and Others v. Switzerland, § 27. Zie ook HvJEU, C-460/20, § 62. 20 HvJEU, 8 december 2022, ECLI:EU:C:2022:962, §§ 60-62. 21 EHRM, VGT Verein gegen Tierfabriken t. Zwitserland, 28 juni 2001, § 68. Beslissing ten gronde 188/2022 - 21/29 uitwisseling van culturele, politieke en sociale informatie en idealen van allerlei aard. Zij die kunstwerken creëren, uitvoeren, verspreiden of tentoonstellen dragen bij tot de uitwisseling van ideeën en meningen die essentieel is voor een democratische samenleving. Vandaar de verplichting voor de staat om niet onnodig inbreuk te maken op hun vrijheid van meningsuiting” 22 (vrije vertaling). 72. De verweerster voert aan dat de keuzes die werden gemaakt om de personages van de audiovisuele productie vorm te geven onder de vrijheid van de artistieke uitdrukkingsvorm vallen. De verweerster heeft de creatieve keuze gemaakt om bepaalde van haar personages een Turkse achtergrond te geven, met een familie die passioneel supportert voor de voetbalclub Galatasaray met een wagen met gepersonaliseerde nummerplaat die naar deze club verwijst. De verweerster verduidelijkt hieromtrent dat de letters en cijfers van de kentekenplaat verwijzen naar de naam van de club zelf en het oprichtingsjaar 1905. 73. Daartegenover stelt de klager dat deze nummerplaat hem toegewezen werd waardoor dit zijn persoonsgegeven is. Door de publicatie van deze nummerplaat wordt hij door zijn relaties (zowel privé als zakelijk) aangesproken over eventuele banden met een criminele bende, aangezien het fictief personage met deze nummerplaat banden zou hebben met het criminele milieu. 74. De Geschillenkamer stelt vast dat de conceptie van het personage in kwestie, met diens wagen en kentekenplaat, een uiting is van de artistieke vrijheid van de verweerster. Galatasaray is een zeer bekende club met een zeer grote supportersaanhang, zeker in de Turkse gemeenschap. Bijgevolg is het niet ondenkbaar dat, bij het creëren van een fictief Turks personage en diens achtergrond en leefwereld verwijzingen naar één van de grootste en populairste Turkse voetbalclubs worden opgenomen. Hierbij maakte de verweerster een keuze, mede gelet op de beperkte plaats op een kentekenplaat, voor publieke gegevens waaruit meteen duidelijk blijkt dat het om die voetbalploeg gaat, te weten afkorting van de naam en het oprichtingsjaar. Dit zijn gegevens die de Turkse gemeenschap meteen associeert met de voetbalploeg in kwestie. 75. Het is dan ook aannemelijk dat per toeval en via een gelijkaardige denkpiste een identieke kentekenplaat werd gekozen door de klager. Hierbij merkt de Geschillenkamer op dat er, buiten de overeenstemmende kentekenplaat geen enkele link bestaat tussen de klager en verweerster. Het persoonsgegeven werd niet verzameld of verkregen van de klager en er is ook geen andere link tussen de klager en het fictieve personage en de milieus waarin zij zich bevinden. 76. Dat de combinatie van deze gegevens door de toewijzing van de kentekenplaat door de Dienst Inschrijving Voertuigen een persoonlijk karakter heeft gekregen voor de klager, doet 22 EHRM,Karatas t. Turkije, 8 juli 1999, § 49. Beslissing ten gronde 188/2022 - 22/29 volgens de Geschillenkamer geen afbreuk aan het publiek karakter van de club en het artistiek denkproces op basis van dewelke het personage met diens wagen met kentekenplaat tot stand gekomen is. 77. De Geschillenkamer stelt hieromtrent vast dat de informatie in verband met de toewijzing van kentekenplaten ook niet vrij beschikbaar is. De voormelde website van de Dienst Inschrijving Voertuigen laat toe om na te gaan of een bepaalde gepersonaliseerde nummerplaat nog beschikbaar is. Tevens was het voor de verweerster onmogelijk om de identiteit van de houder van deze bepaalde nummerplaat te achterhalen. 78. De klager voert aan dat het publiceren van de kentekenplaat niet noodzakelijk is in een democratische samenleving. Bij de beoordeling van de noodzakelijkheidsvoorwaarde gaat het EHRM uit van een globale aanpak. Men dient te kijken naar het spanningsveld tussen beide rechten in de context van de volledige zaak. 23 De Geschillenkamer stelt vast dat de verweerster had kunnen nagaan of deze gepersonaliseerde kentekenplaat nog vrij was via de voormelde website van de Dienst voor Inschrijvingen van Voertuigen. De omstandigheid dat de verweerster als programmamaker niet noodzakelijk deze nummerplaat had kunnen gebruiken, maar een andere had kunnen kiezen, verhindert niet dat deze creatieve keuze valt onder de artistieke expressie zoals beschermd in artikel 10 EVRM. 79. Voor wat betreft de grieven van de klager omtrent het feit dat hij hieromtrent wordt aangesproken door familie, vrienden en zakelijke relaties, merkt de Geschillenkamer op dat enkel personen uit de omgeving van de klager de link kunnen leggen tussen de wagen en de persoon van de klager, in de veronderstelling dat deze relaties de audiovisuele productie in kwestie gezien hebben en de gelijkenis tussen de kentekenplaten opgemerkt hebben. Daarnaast wordt ook bij elke aflevering expliciet vermeld dat elke overeenkomst met personen of organisaties op louter toeval berust. Naast het gebruik van de overeenstemmende nummerplaat in de fictiereeks wordt ook op geen enkel moment een link gelegd naar of gefocust op de persoon van de klager, of elementen aangehaald die verwijzen naar hem persoonlijk of naar zijn privésfeer. Dit wordt ook verklaard door het feit dat de verweerster niet op de hoogte was, of kon zijn, van de identiteit van de klager op het moment van de totstandkoming van de audiovisuele productie. De Geschillenkamer merkt tot slot op dat de klager de keuze heeft gemaakt om publieke gegevens van een zeer bekende club te vermelden op een kentekenplaat. Hij kon dus redelijkerwijze verwachten dat deze gegevens ook door andere personen bedacht konden worden. 80. De Geschillenkamer besluit dan ook dat de overeenkomst tussen beide kentekenplaten toevallig op basis van een gelijklopend denkproces van de klager en de verweerster tot stand gekomen zijn, namelijk het uitdrukken van een identiteit als fervent supporter van 23 EHRM VGT Verein gegen Tierfabriken t. Zwitserland, 28 juni 2001, § 68 en EHRM, Feldek t. Slovakije, 12 juli 2001, §77. Beslissing ten gronde 188/2022 - 23/29 Galatasaray. Hierbij hebben beide partijen gebruik gemaakt van de naam en het oprichtingsjaar van de club, zijnde bekende publieke gegevens met een directe associatie met de club. Gelet op het voorgaande zijn de omstandigheden aan de zijde van de klager van onvoldoende gewicht, om het recht op vrijheid van meningsuiting, inbegrepen het recht op artistieke expressie van de verweerster, zoals gewaarborgd door artikel 10 EVRM te beperken dan wel te ontnemen. De Geschillenkamer concludeert dat er geen sprake is van een inbreuk op artikel 17 AVG. II.4.2. Artikel 12, lid 1 en 4 AVG 81. Op basis van artikel 12 van de AVG moet de verwerkingsverantwoordelijke de betrokkenen transparant informeren en in principe binnen 1 maand en kosteloos antwoorden op hun verzoeken. Het is daarbij essentieel dat de verstrekte informatie begrijpelijk en gemakkelijk toegankelijk is voor de betrokkenen. Verder is het belangrijk dat de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkenen op basis van artikelen 15 tot en met 22 van de AVG faciliteert. Tot slot moet de verwerkingsverantwoordelijke de betrokkenen bij de afwijzing van hun verzoek meedelen waarom dat verzoek werd afgewezen en de betrokkenen informeren over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit alsook beroep bij de rechter in te stellen. 82. De verweerster voert aan dat, hoewel zij in haar antwoordschrijven aan de klager dd. 21 januari 2022 niet uitdrukkelijk heeft verwezen naar de specifieke rechtsgrond van artikel 17, lid 3,
  18. a)van de AVG, zij in haar antwoordschrijven wel zeer duidelijk aangegeven heeft op basis van welke gronden zij besloot geen gevolg te hebben moeten geven aan het verzoek tot het wissen van de kwestieuze nummerplaat uit de fictiereeks, waardoor zij, indien er door de Geschillenkamer toch zou worden geoordeeld dat een verwerking van persoonsgegevens van de klager heeft plaatsgevonden, alsnog voldoet aan haar verplichting onder artikel 12, lid 1 van de AVG die de verwerkingsverantwoordelijke oplegt om, in geval zij geen gevolg geeft aan het verzoek van de betrokkene, deze laatste “onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek [mee te delen] waarom het verzoek zonder gevolg is gebleven”. 83. De Geschillenkamer stelt vast dat de verweerster in het voormeld schrijven dd. 21 januari 2022 heeft toegelicht dat zij meent geen gevolg te moeten geven aan het verzoek tot gegevenswissing omdat zij meent dat er geen sprake is van een verwerking van persoonsgegevens. In ondergeschikte orde, indien er toch sprake zou zijn van de verwerking van een persoonsgegeven, beroept zij zich op haar recht op artistieke expressie, onderdeel van het recht van meningsuiting, om niet tot de wissing van de kentekenplaat over te gaan. In dit kader wijst de Geschillenkamer erop dat de verweerster de redenen van de weigering om tot wissing over te gaan toegelicht heeft, zonder vermelding van de relevante Beslissing ten gronde 188/2022 - 24/29 wetsartikelen hieromtrent. De Geschillenkamer oordeel dat in casu de toelichting inzake de weigering tot gegevenswissing duidelijker had kunnen worden geformuleerd ten opzichte van de klager. Het bijkomend vermelden van de wetsartikelen en een meer omstandige uitleg had ook een bijdrage kunnen leveren aan de duidelijkheid van de weigering. 84. Daarnaast stelt de verweerster dat de klager vertegenwoordigd werd door een raadsman die op de hoogte was van de toepasselijke wetgeving en dus de mogelijkheid om klacht in te dienen bij de GBA, aangezien deze al had meegedeeld dat hij mogelijks klacht zou indienen bij de GBA. De Geschillenkamer neemt kennis van deze uitleg, maar acht deze niet overtuigend. Voor zoveel als nodig herinnert de Geschillenkamer eraan dat deze transparantiebeginselen uit artikel 12, lid 4 AVG van toepassing zijn, ongeacht of de klager of diens raadsman op de hoogte is van de klachtenprocedure bij de GBA. 85. Gelet op het bovenstaande is de Geschillenkamer van oordeel dat de verweerster op een meer zorgvuldige wijze met de transparantieverplichting had kunnen omgaan. Er is sprake van een inbreuk op artikel 12, lid 1 AVG, doch deze inbreuk is niet van zodanig ernstige aard dat daarvoor een sanctie moet worden opgelegd. Het volstaat de verweerster te waarschuwen voor de toekomst dat de transparantiebeginselen uit artikel 12, lid 4 AVG van toepassing zijn ongeacht of de klager of diens raadsman al dan niet hiervan op de hoogte zijn. II.5. Artikel 38, lid 1 en artikel 39 van de AVG 86. De Inspectiedienst stelt vast dat de verweerster de verplichtingen opgelegd door artikel 38, lid 1 van de AVG en door artikel 39, lid 1 van de AVG niet heeft nageleefd. De Inspectiedienst verwijst in dat verband naar de volgende elementen: 87. “Met het oog op het informeren en sensibiliseren van het betrokken personeel met betrekking tot de verwerking van persoonsgegevens door (medewerkers van) [de verweerster] werd door cliënte het nodige overleg georganiseerd tussen haar medewerkers en haar juridisch adviseurs met het oog op het opmaken en implementeren van de nodige documentatie om te voldoen aan haar verplichtingen onder de AVG en werden intern de nodige informatiemomenten georganiseerd om dit toe te lichten. Daarnaast werd een “Privacy- en Vertrouwelijksheidsbeleid” voor de medewerkers van de verweerster opgemaakt en geïmplementeerd, dat de medewerkers van [de verweerster] dienen na te leven en waarin het beleid wordt toegelicht voor het omgaan met vertrouwelijke informatie, inclusief persoonsgegevens, door deze medewerkers. U vindt een kopie van dit beleid in bijlage 3”. 88. De Inspectiedienst stelt echter dat de verweerster niet aantoont: - wat het voormelde “nodige overleg” en “de nodige informatiemomenten” in de praktijk betekenen (er werd immers geen ondersteunend bewijs geleverd voor deze aspecten); Beslissing ten gronde 188/2022 - 25/29 - of en in voorkomend geval hoe zijn functionaris voor gegevensbescherming betrokken is en/of was bij de totstandkoming en opvolging van het voorgaande; - of en in voorkomend geval hoe zijn functionaris voor gegevensbescherming betrokken is en/of was bij de totstandkoming en opvolging van het “Privacy- en Vertrouwelijkheidsbeleid” (bv. aan de hand van ondersteunende documenten zoals interne mails); - hoe de naleving van het “Privacy- en Vertrouwelijkheidsbeleid” in de praktijk wordt gewaarborgd. Richtlijnen inzake gegevensbescherming opleggen is op zich immers onvoldoende als de naleving ervan niet effectief wordt gewaarborgd door de verweerster met medewerking van zijn functionaris voor gegevensbescherming. 89. De AVG erkent dat de functionaris voor gegevensbescherming een sleutelfiguur is voor wat betreft de bescherming van persoonsgegevens wiens aanwijzing, positie en taken aan regels onderworpen zijn. Deze regels helpen de verwerkingsverantwoordelijke om te voldoen aan haar verplichtingen onder de AVG, maar helpen ook de functionaris voor gegevensbescherming om zijn taken naar behoren uit te oefenen. 90. De Geschillenkamer herinnert eraan dat artikel 38, lid 1 AVG voorschrijft dat de verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Op basis van artikel 39, lid 1 AVG moet de functionaris voor gegevensbescherming (
  19. a)de verwerkingsverantwoordelijke informeren en adviseren over diens verplichtingen uit hoofde van de AVG en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en (
  20. b)toezien op naleving van de AVG, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits. 91. De verweerster beklemtoont in haar conclusies dat zij evenwel op het ogenblik van de invoering van de AVG medio 2018 weloverwogen beslist heeft om geen functionaris voor gegevensbescherming aan te stellen. Hieromtrent verwijst zij naar artikel 37, lid 1 van de AVG waarin de aanwijzing van een functionaris voor gegevensbescherming verplicht wordt gemaakt in drie gevallen: “1. De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in elk geval waarin:
  21. a)de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken; Beslissing ten gronde 188/2022 - 26/29
  22. b)een verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen; of
  23. c)de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met grootschalige verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9 en van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10.” 92. De verweerster meent dat geen van deze drie gevallen op haar van toepassing is. Ze is geen overheidsinstantie of overheidsorgaan, noch is zij als producent van audiovisuele werken een grootschalige verwerker van bijzondere categorieën van gegevens, noch van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten. 93. De hoofdactiviteit van de verweerster is het produceren van audiovisuele werken. Omdat de verweerster weliswaar regelmatig persoonsgegevens verwerkte (en verwerkt) in het kader van (een deel van) haar activiteiten (i.e. voor een deel van haar non-fictie activiteiten), maar anderzijds haar hoofdactiviteit zich niet toespitst op verwerkingen die “regelmatige en stelselmatige observatie van betrokkenen” vereist “op grote schaal”, werd artikel 37, lid 1 van de AVG niet van toepassing geacht en werd aldus besloten om geen functionaris voor gegevensbescherming aan te stellen. Wél achtte verweerster het nuttiger en praktischer – zoals dat ook op vandaag nog steeds het geval is – om te werken met een aantal privacyverantwoordelijken (vijf om precies te zijn), één per departement. Voormelde overwegingen en besluit – om geen functionaris voor gegevensbescherming, maar wel privacyverantwoordelijken per departement aan te stellen – werden destijds in 2018 uitdrukkelijk opgenomen in het samenvattend overzicht van alle maatregelen die de verweerster toen heeft genomen om de ondernemingsactiviteiten AVG-conform te maken. 94. Zoals gesteld door de verwerkingsverantwoordelijke maakt artikel 37, lid 1 van de AVG dat de aanwijzing van een functionaris voor gegevensbescherming verplicht wordt gemaakt in drie gevallen (zie randnummer 92). De Geschillenkamer treedt het standpunt van de verweerster bij en stelt vast dat geen van deze drie gevallen uit artikel 37 AVG van toepassing is op de verwerkingsverantwoordelijke, waardoor zij niet verplicht is om een functionaris voor gegevensbescherming aan te stellen. Bijgevolg zijn de verplichtingen voor de functionaris voor gegevensbescherming zoals bepaald in artikel 38 en 39 AVG ook niet van toepassing in deze zaak. 95. Dit betekent echter niet dat de verweerster geen maatregelen genomen heeft om persoonsgegevens conform de AVG te verwerken. Aan de hand van concrete voorbeelden weerlegt de verweerster in haar conclusies de vaststellingen van de Inspectiedienst. Voor wat betreft de vaststelling van de Inspectiedienst dat de verweerster niet zou aantonen wat het ‘voormelde overleg’ en ‘de nodige informatiemomenten” in de praktijk betekenen, maakt Beslissing ten gronde 188/2022 - 27/29 de verweerster een verslag over van de belangrijkste concrete maatregelen en stappen die zij heeft uitgevoerd sinds de inwerkingtreding van de AVG. De verweerster maakt hiertoe mails over inzake informatiesessies die werden gegeven, alsook aanwezigheidslijsten met handtekening. Voor wat betreft het traject inzake transformatie naar AVG-conformiteit maakt de verweerster verschillende e-mailconversaties over waaruit blijkt dat er een directe en nauwe samenwerking blijkt tussen de advocaten van de verweerster en enkele van de privacyverantwoordelijken van mailcorrespondentie waaruit over de verweerster. De verweerster blijkt de raadsleden dat maakt ook e- enerzijds en de privacyverantwoordelijken anderzijds nauw overleg hebben omtrent het Privacy- en Vertrouwelijkheidsbeleid. Voor wat de verdere opvolging betreft, verwijst de verweerster naar haar stukken waaronder een document inzake de te volgen procedure in het geval van een gegevenslek. Nieuwe werknemers worden eveneens systematisch geïnformeerd omtrent het privacy- en vertrouwelijkheidsbeleid en dienen zich er middels hun overeenkomst met de verweerster akkoord mee te verklaren. 96. Tot slot stelt de Inspectiedienst dat de verweerster niet aantoont hoe de naleving van het privacy- en vertrouwelijkheidsbeleid in de praktijk wordt gewaarborgd. Vooreerst kan erop gewezen worden dat de verweerster heel wat organisatorische en technische maatregelen voorziet onder andere om toegang door onbevoegden en/of ongewilde of onbedoelde verspreiding te beveiligen. Daarbij kan in eerste instantie verwezen worden naar het lijstje met de belangrijkste beveiligingsmaatregelen op IT-vlak. De verweerster licht eveneens haar procedures inzake gegevenslekken toe in haar conclusies. Verder verwijst de verweerster naar het gebruik van de quit claims (zie sectie II.2). Productiemedewerkers weten dat zij daarbij ook steeds voldoende exemplaren van de nodige toestemmingsformulieren omtrent de verwerking van persoonsgegevens moeten meenemen naar de opnamelocaties (en doen dat ook), zodat de kandidaat-deelnemers voldoende geïnformeerd hun – al dan niet akkoord – kunnen bevestigen met de verwerking van hun persoonsgegevens. Ook bij het afsluiten van de overeenkomsten met nieuwe medewerkers (vast in dienst of freelance) wordt voldoende informatie verschaft. Verder krijgen zij consequent de nodige toelichting – inclusief middels bezorging van de tekst van het ‘Privacy- en Vertrouwelijkheidsbeleid’ – alvorens zij zich middels de ondertekening van hun overeenkomst akkoord verklaren met de privacyregels. Ten laatste verwijst de verweerster nog een keer naar de klacht die de aanleiding heeft gevormd voor huidige procedure. Van zodra het schrijven van de raadsman van de klager ontvangen werd door de verweerster, werd de klacht onverwijld overgemaakt aan de heer privacyverantwoordelijke voor het departement fictie en de advocaten van de verweerster met verzoek om de verweerster hierin bij te staan. De privacyverantwoordelijke heeft de zaak daarop verder opgevolgd met de raadslieden van de verweerster waaruit opnieuw blijkt dat de verweerster haar privacybeleid weldegelijk ernstig neemt en het niet beperkt blijft tot het louter Beslissing ten gronde 188/2022 - 28/29 “opleggen van richtlijnen” middels de nodige teksten, zoals de Inspectiedienst verkeerdelijk meende vast te stellen. 97. De Geschillenkamer stelt dat het in casu disproportioneel is om een schending van de artikelen 38, lid 1 en 39 AVG vast te stellen. Aangezien de verweerster niet verplicht is om een functionaris voor de gegevensbescherming aan te stellen, zijn de verplichtingen ingevolge de artikelen 38 en 39 AVG niet van toepassing op de verweerster. Bijgevolg concludeert de Geschillenkamer dat er geen inbreuk op de artikelen 38, lid 1 en 39, AVG werd begaan door de verweerster. III. Publicatie van de beslissing 98. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van artikel 100, §1, 1° WOG te seponeren voor wat betreft de inbreuken op: o de artikelen 5, 24, lid 1 en 25 lid 1 en lid 2 AVG o de artikelen 5, lid 1,
  24. a)en artikel 6 AVG, o de artikelen, 17 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG; en o - de artikelen 38, lid 1 en 39 AVG. op grond van artikel 100, §1, 2° WOG de buitenvervolging te bevelen voor wat betreft de inbreuk op artikel 12, lid 1 AVG. - op grond van artikel 100, §1, 5° WOG de verweerster voor de toekomst te waarschuwen dat de transparantieverplichtingen in artikel 12, lid 4 AVG dienen te worden nageleefd. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep te Brussel), met de Gegevensbeschermingsautoriteit als verweerster. Beslissing ten gronde 188/2022 - 29/29 Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 24. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.25, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 24 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 25 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.