← België

Beslissing ten gronde nr. 19/2021

1/33 Geschillenkamer Beslissing ten gronde 19/2021 van 12 februari 2021 Dossiernummer : AH-2018-0124 Betreft : Recht van bezwaar tegen direct marketing en tegen verwerkingen op basis van het gerechtvaardigd belang bij telecomoperator Telenet BV De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Jelle Stassijns en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: - Telenet BVBA, met zetel te Liersesteenweg 4, 2800 Mechelen; KBO-nr. 0652.615.604, hierna de “verweerder”, vertegenwoordigd door mr Tim Van Canneyt en mr Louis Vanderdonckt. . I. FEITEN EN PROCEDURE . . Beslissing ten gronde 19/2021 - 2/33

  1. De verweerder verstrekt telecommunicatie- en TV-diensten. Tussen 17 april 2018 en 8 februari 2019 wisselden de Gegevensbeschermingsautoriteit (GBA) en de verweerder verschillende brieven en emails uit met betrekking tot de behandeling van gegevenslekken door de verweerder en met betrekking tot de manier waarop de verweerder het recht van bezwaar tegen direct marketing aanbood. De aanleiding tot de communicatie over het recht van bezwaar was een e-mail die de GBA van een klant van de verweerder ontving en waaruit bleek dat deze persoon moeilijkheden ondervond om op de website van de verweerder informatie te vinden over zijn recht van bezwaar tegen direct marketing en de manier om dit recht uit te oefenen.
  2. De GBA werd immers in kopie van een e-mailuitwisseling gezet, waarbij een klant vroeg de verweerder hoe hij zijn “opt-out” (i.e. recht van bezwaar) tegen direct marketing kon uitoefenen. Op 12 maart 2019 antwoordde de verweerder aan de klant: “Bedankt voor je aanvraag. Je privacyrechten uitoefenen kan enkel via Mijn Telenet. Voor vragen kan je terecht in een Telenet-winkelpunt”. De klant antwoorde kort daarop: “Dank voor uw antwoord. Ik ben gaan kijken op Mijn Telenet, maar ik vind niet direct waar ik voor een opt-out kan kiezen.”
  3. Rekening houdend met deze uitwisseling alsook met meldingen betreffende gegevenslekken besliste het Directiecomité van de GBA op 27 februari 2019 om een zaak aanhangig te maken bij de Inspectiedienst van de GBA op basis van artikel 63, 1° van de WOG. Het Directiecomité verzocht om na te gaan of het recht van bezwaar werd nageleefd en, wat betreft gegevenslekken, of de risicogebaseerde aanpak (artikelen 32-36 AVG) werd nageleefd.
  4. De beweegredenen hiervoor waren onder meer

(1)mogelijke gebreken in de wijze waarop het recht van bezwaar tegen direct marketing (art. 21.2 AVG1) kan worden uitgeoefend en
(2)de vraag of de verweerder de artikelen 32 tot en met 36 AVG naleefde. In het onderzoek van de Inspectiedienst werden aangaande het tweede punt ook vaststellingen verricht met betrekking tot de rol van de DPO (art. 37-39 AVG).
  1. De Inspectiedienst deed haar waarnemingen inzake de afschaffing/gebrek aan facilitering van het recht van bezwaar in de periode tussen 10 mei 6 juni
  3. Wat betreft de risico-gebaseerde aanpak richtte de Inspectiedienst een schrijven met vragen aan de functionaris voor de gegevensbescherming van de verweerder op 9 juli
  4. De verweerder antwoordde op 9 augustus
  5. Op 17 september 2019 sloot de Inspectiedienst haar verslag van het onderzoek af, samen met een technisch verslag (hierna tezamen: Inspectieverslag). 1 De opdracht van het Directiecomité betrof art. 21.3 AVG. De Inspectiedienst – die uiteraard vrij is om nieuwe grieven te onderzoeken - onderzocht ook de naleving van artikel 21.2 AVG. Beslissing ten gronde 19/2021 - 3/33
  6. Het Inspectieverslag doet onder meer de volgende zeven vaststellingen:
  7. Het gebruik van een groot aantal documenten, wat de informatieverstrekking complex, onduidelijk en moeilijk te begrijpen maakt;
  8. De aanwezigheid van foutieve informatie;
  9. Het gebruik van technieken die een impact kunnen hebben op de keuzes van de betrokkene waaronder het verlenen van een vrije toestemming en het al dan niet kennisnemen van de informatie of de uitoefening van rechten;
  10. De constructie van de informatie in de vorm van een doolhof waarin de betrokkene geen vlotte toegang kan krijgen tot de informatie;
  11. De door Telenet ingestelde standaardkeuzes die niet de meest privacyvriendelijke zijn en steeds profilering toelaten;
  12. De verplichte quasi-automatische aanvaarding van mededeling van gegevens via cookies;
  13. In combinatie met de ontbrekende mogelijkheid om op een eenvoudige wijze het recht van bezwaar uit te oefenen.
  14. Het Inspectieverslag preciseert daarbij dat de uiteindelijke vaststellingen niet enkel betrekking hebben op de naleving en facilitering van het recht van bezwaar, maar ook op de informatieplicht (artikelen 13 en 14 AVG), de plicht tot het faciliteren van de uitoefening van de rechten (artikel 12.2 AVG) en het verlenen van een bescherming door standaardinstellingen en door ontwerp (artikel 25 AVG).
  15. Op 23 maart 2020 besliste de Geschillenkamer dat het dossier gereed was voor behandeling. Gelet op het grote aantal grieven dat in het Inspectieverslag opgesomd was en waarvan sommigen nog juridische of feitelijke ondersteuning behoefden, besloot de Geschillenkamer om haar beslissing op bepaalde grieven te focussen: - de naleving van het recht van bezwaar tegen direct marketing in combinatie met informatie en transparantieplichten (art. 21.2 AVG juncto art. 12 en 13-14 AVG): de Geschillenkamer verduidelijkte de AVG-bepalingen waarop de verweerder zich kon verweren, en stelde onder andere dat titel 1 van het Inspectieverslag te maken had met het recht van bezwaar tegen direct marketing onder artikel 21.2 AVG. De Geschillenkamer stelde ook verdere vragen ter verduidelijking van de grief van de Inspectiedienst over de ontbrekende mogelijkheid om op een eenvoudige wijze het recht van bezwaar uit te oefenen. De Geschillenkamer vroeg met name op welke platformen de betrokkene de mogelijkheid had om zijn recht van bezwaar onder artikel 21 AVG te uiten wat betreft het verwerken van zijn kijkgedrag en/of het surfgedrag door Telenet die zowel internetdiensten als televisiediensten aanbiedt. Beslissing ten gronde 19/2021 - 4/33 - de manier waarop de toestemming – indien verplicht – op de website van de verweerder vergaard werd, via cookies en of via de privacy-instellingen (art. 7 juncto art. 12 en 13 AVG). - de meldingsplicht: de Geschillenkamer vroeg de verweerder om zijn standpunt mee te delen met betrekking tot de vaststellingen van de Inspectiedienst over de risico-gebaseerde aanpak (focus op meldingsplicht) en de beveiligingsplicht (art. 32 AVG), in verband met de melding van datalekken.
  16. In een brief aan de verweerder stelde de Geschillenkamer een aantal bijkomende vragen en bood ze de verweerder de mogelijkheid om zijn antwoord te beperken tot de door de Geschillenkamer aangekaarte aandachtspunten.
  17. Op 22 mei legde de verweerder zijn conclusie neer en vroeg om in het kader van een hoorzitting gehoord te worden. De verweerder verkoos om zijn conclusie niet tot de vragen van de Geschillenkamer te beperken en antwoordde op alle vaststellingen van de Inspectiedienst. Op 12 augustus 2020 stelde de Geschillenkamer de verweerder in kennis van de datum van de hoorzitting, welke op 23 september vastgesteld werd. In dezelfde brief vroeg de Geschillenkamer om tegen 9 september een kort antwoord op bijkomende vragen over de uitoefening van het recht van bezwaar te bezorgen.
  18. Op 9 september bezorgde de verweerder zijn antwoord op deze vragen. Na kennisname hiervan besloot de Geschillenkamer op 21 september om de debatten te heropenen en stuurde zij een brief aan de verweerder met bijkomende vragen over de manier waarop de verweerder het recht van bezwaar tegen direct marketing aanbood. De Geschillenkamer vroeg ook hoe betrokkenen die geen klant zijn bij de verweerder hun recht van bezwaar kunnen uitoefenen. Op vraag van de verweerder stelde de Geschillenkamer vervolgens een latere datum voor de hoorzitting vast, welke datum bij brief van 23 september 2020 medegedeeld werd.
  19. Op 7 oktober 2020 vond de hoorzitting plaats. Het proces-verbaal van de hoorzitting werd op 23 december 2020 verstuurd en nam akte van het feit dat de pleidooien zich beperkten tot het uitleggen van de geschreven argumenten zoals uiteengezet in de conclusie en latere brieven van de verweerder aan de Geschillenkamer. Het proces-verbaal vat enkele elementen samen ter verduidelijking van deze eerder neergelegde geschreven argumenten.
  20. In deze beslissing onderzoekt de Geschillenkamer de grieven en feiten weerhouden door de Inspectiedienst zoals aangevuld door de antwoorden van de verweerder op de vragen gesteld door de Geschillenkamer in haar brieven van 12 augustus, 9 en 21 september
  21. Beslissing ten gronde 19/2021 - 5/33 II. BEOORDELING IN RECHTE
  22. Oogmerk en structuur van de beslissing
  23. Deze beslissing heeft betrekking op een prioritaire sector zoals aangeduid in het Strategisch Plan 2020 van de GBA, namelijk telecom en media.
  24. De Geschillenkamer beoogt met deze beslissing vooral duidelijkheid te verschaffen over de betekenis van de transparantievereisten uit de AVG voor aanbieders van diensten aan natuurlijke personen. De overwegingen in deze beslissing hebben dan ook een wijder belang voor andere aanbieders. Aanbieders in de sector hebben een voorbeeldfunctie, mede omdat het verwerken van persoonsgegevens voor hen een kernactiviteit is.
  25. Deze beslissing bevat opmerkingen over de bevoegdheid van de Geschillenkamer, rekening houdend met de toepasselijke wetgeving en de betrokken verwerkingen van persoonsgegevens (Titel 2). In Titel 3 oordeelt de Geschillenkamer over het recht van bezwaar tegen direct marketing verwerkingen (21.2 AVG), in verband met transparantieverplichtingen (art. 12.1 AVG) en informatieverplichtingen (art. 13 en 14 AVG) alsook de verplichting om de uitoefening van de rechten onder de AVG te faciliteren (artikel 12.2 AVG).
  26. De Geschillenkamer behandelt in Titel 4 het gebrek aan recht van bezwaar tegen verwerkingen gebaseerd op het gerechtvaardigd belang en die geen direct markering uitmaken, alsmede het gebrek aan informatie over de uitoefeningswijze van dit recht van bezwaar (art. 21.1 AVG juncto artikelen 12.1, 13 en 14 AVG).
  27. De Geschillenkamer antwoordt vervolgens op de grieven inzake cookies (Titel 5) en de melding van gegevenslekken (Titel 6). In Titel 7 reageert de Geschillenkamer op de argumenten van de verweerder met betrekking tot het recht op eerlijk proces en de beginselen van behoorlijk bestuur. Tot slot motiveert de Geschillenkamer de sancties en maatregelen.
  28. Bevoegdheid van de Geschillenkamer - verduidelijking met betrekking tot de toepasselijke wetgeving in verhouding tot de verwerkte persoonsgegevens 2.1 De verwerkte persoonsgegevens Beslissing ten gronde 19/2021 - 6/33
  29. De vaststellingen van de Inspectiedienst hebben betrekking op de verwerkingen van de verweerder tussen 10 en 14 mei
  30. Op dat moment was het Privacybeleid van 25 mei 2018 van toepassing. Volgens dit privacybeleid verwerkt de verweerder verkeersgegevens, gebruikersgegevens en gegevens omtrent gebruik van zijn klanten.2
  31. De Geschillenkamer neemt nota van het feit dat de verweerder gegevens over het kijkgedrag verzamelt, inclusief gegevens over de opt-out voor aanbevelingen van TV-programma’s. De Geschillenkamer neemt ook akte van het feit dat de “gegevens over je gebruik” van de producten van de verweerder op een niet-limitatieve manier in het Privacybeleid gedefinieerd worden en dus3 potentieel ook gegevens over het gebruik van de internetproducten of, anders gezegd, het surfgedrag omvatten. De verweerder maakt profielen op basis van het surfgedrag, zoals aangegeven in artikel 7 van het Privacybeleid. De verweerder doet dit in de gevallen waarin de betrokken klant in de door de verweerder aangeboden privacy-instellingen (algemeen – gericht – persoonlijk – uniek) voor de privacy-instelling “uniek” kiest.4
  32. Uit het inspectieverslag blijkt immers dat de verweerder zowel televisiediensten als internetdiensten aanbiedt. De verweerder heeft dus de mogelijkheid om gegevens over zowel het kijkgedrag als het surfgedrag van zijn klanten te verwerken, zoals blijkt uit een in het Inspectieverslag aangehaald persbericht van 24 april 2018 in de Standaard “Proficiat u koos voor TV-reclame op maat”. Volgens dat persbericht informeerde de verweerder zijn klanten toen met een grote e-mailreclamecampagne dat ze in de toekomst TV-reclame op maat zouden ontvangen. TV-kijkers van de verweerder met een decoder zouden gepersonaliseerde TV-reclame krijgen gebaseerd op het kijkgedrag en, desgevallend, ook op basis van surfgegevens, wat betreft klanten die het privacyniveau “ uniek” zouden kiezen. 2.2 De toepasselijke wetgeving 2 De verschillende categorieën van verwerkte gegevens - wat betreft de klanten van de verweerder - worden in het Privacybeleid gedefinieerd. Het gaat onder andere om :  verkeersgegevens: “deze bijzondere technische gegevens hebben we nodig om je verkeer over elektronische communicatienetwerken af te wikkelen, zoals je IP-adres of MAC-adres”  gebruikersgegevens (“persoonsgegevens die je als gebruiker van onze producten en diensten kunnen identificeren, bv. je naam”) en de keuzes die de klant maakt in de loop van het gebruik van de producten van de verweerder (“bijvoorbeeld je opt-out voor aanbevelingen van TV-programma’s”);  gegevens over je gebruik: “de gegevens die wij ontvangen wanneer je onze producten en diensten gebruikt. Bijvoorbeeld: de opgeroepen (mobiele) telefoonnummers, de datum, het tijdstip, de duur en de locatie van een gesprek of internetverbinding, hoe je gebruik maakt van onze nieuwsbrieven of websites of gegevens betreffende het gebruik van onze TV-diensten (zoals welke films je bekijkt en bestelt uit onze TV-theek, wat je opneemt, pauzeert, verder-en terugspoelt dan wel uitgesteld bekijkt, wat je favoriete TV-kanalen zijn of welke apps op onze decoder je recent hebt gebruikt).” […] Wat betreft niet-klanten van de verweerder zijn de verwerkte gegevens beperkt, zoals door de verweerder in zijn brief van 6 oktober 2020 aan de Geschillenkamer uitgelegd. Art. 3.C van het Privacybeleid van de verweerder “Daarnaast registreren onze systemen ook persoonsgegevens die worden gegenereerd tijdens jouw gebruik van onze producten en diensten (bijvoorbeeld […]”.. 3 4 Zie over de privacy-instellingen titel 3.4.3 punt 80 van deze beslissing. Beslissing ten gronde 19/2021 - 7/33
  33. Er bestaat onduidelijkheid over de toepasselijkheid van de regels uit de ePrivacy Richtlijn 5, zoals geïmplementeerd in de Wet van 13 juni 2005 betreffende de elektronische communicatie (hierna “WEC”) op het verwerken van gegevens betreffende surfgedrag en kijkgedrag door telecomoperatoren. Artikel 122 van de WEC voorziet, ter omzetting van de ePrivacy Richtlijn, specifieke verplichtingen inzake transparantie voorafgaand aan de verwerking van verkeersgegevens (zoals gegevens betreffende surfgedrag) alsook toestemmingsverplichtingen. Volgens Advies 01/2017 van de Groep Gegevensbescherming is de ePrivacy Richtlijn in principe van toepassing op de verwerking van gegevens die zijn verzameld bij het aanbieden van digitale omroepdiensten (zoals gegevens betreffende kijkgedrag), ook al sluit de ePrivacy Richtlijn omroepdiensten uit van haar toepassingsgebied
  35. Gezien de verweerder volgens zijn Privacybeleid en de pers zowel kijkgedrag- als gegevens betreffende surfgedrag verwerkt, heeft de Geschillenkamer aan de verweerder gevraagd om zijn gemotiveerd standpunt te geven over de toepasselijke wetgeving.
  36. De verweerder verduidelijkte nader dat hij voor het personaliseren van TV-reclame enkel verkeersgegevens, TV-kijkgedrag en salesprofileringen verwerkt, en dat hij uiteindelijk beslist heeft om gegevens betreffende surfgedrag voor het personaliseren van TV-reclame niet te verwerken
  37. De Geschillenkamer neemt hiervan akte en dient haar bevoegdheid met betrekking tot het verwerken van gegevens betreffende surfgedrag niet te onderzoeken.
  38. Wat betreft gegevens betreffende kijkgedrag is de Geschillenkamer bevoegd om toezicht te houden op de naleving van de AVG-regels inzake het recht van bezwaar (art. 21.1 en 21.2 AVG) en de transparantieverplichtingen (art. 12 en 13-14 AVG).
  39. Voor alle duidelijkheid stelt de Geschillenkamer vast dat het feit dat recht van bezwaar en de transparantieregels voor een deel in de WEC (recht om de toestemming in te trekken) geregeld worden, geen afbreuk doet aan haar bevoegdheid om toe te zien op de toepassing van de AVG wat betreft de transparantieverplichtingen en recht van bezwaar, ook in het geval de WEC eveneens van toepassing zijn. Zoals de EDPB uitlegt, blijven autoriteiten voor gegevensbescherming bevoegd te oordelen over – elementen van – verwerkingen waarvoor de ePrivacy richtlijn geen specifieke regels 5 Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie), PB L 201/37, zoals gewijzigd bij Richtlijn 2009/
  40. 6 WP247, beschikbaar op: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=
  41. 7 Conclusie van de verweerder, p. 38; brief van de verweerder aan de Geschillenkamer dd. 6 oktober 2020, p.
  42. Beslissing ten gronde 19/2021 - 8/33 stelt. Het enkele feit dat een onderdeel van de verwerking onder de reikwijdte van de ePrivacy richtlijn beperkt de bevoegdheid van de GBA niet.8
  43. Het recht van bezwaar met het oog op direct marketing en transparantie 3.1 De onderzochte grieven
  44. De Geschillenkamer onderzocht de grieven van de Inspectiedienst over - het recht van bezwaar tegen verwerkingen met het oog op direct marketing (art. 21.2 AVG, en niet art. 21.3 AVG, zoals oorspronkelijk vermeld in de opdracht van het Directiecomité van de het Inspectieverslag9); - de transparantie van de informatie op basis van art. 12.1 AVG ; - de informatieverplichtingen op basis van art. 13 en 14 AVG.
  45. Daarnaast onderzocht de Geschillenkamer het recht van bezwaar tegen verwerkingen gebaseerd op het gerechtvaardigd belang (art. 21.1 AVG). Wat betreft het recht van bezwaar tegen direct marketing onderzocht de Geschillenkamer ook de verplichtingen van de verweerder tot het faciliteren van de rechten van betrokkenen onder artikel 12.2 AVG, en meer bepaald het recht van bezwaar op basis van artikel 13.2.b AVG. 3.2 Kwalificatie van de betrokken verwerkingen en bevoegdheid van de Geschillenkamer
  46. Krachtens artikel 21.2 van de AVG heeft de betrokkene wiens persoonsgegevens voor direct marketing doeleinden worden verwerkt ten alle tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens, met inbegrip van profilering die betrekking heeft op direct marketing.
  47. De AVG definieert niet wat onder “direct marketing” verstaan wordt. Tot op heden bestaat er geen wettelijke, officiële of algemeen aanvaarde definitie van dit begrip op Europees niveau. De GBA verduidelijkte haar interpretatie van dit wettelijk begrip in aanbeveling 1/202010: “Elke communicatie, in welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een organisatie of persoon en gericht op de promotie of verkoop van diensten, producten (al dan niet tegen betaling), alsmede merken of ideeën, geadresseerd door een organisatie of persoon die handelt in een commerciële of niet- 8 Groep 29, WP 29, Opinion 5/2019 on the interplay between the ePrivacy Directive and the GDPR, para
  48. 9 De Geschillenkamer verduidelijkte de zijn inziens relevante bepalingen in haar brief aan de verweerder van 23 maart
  49. 10 GBA, Aanbeveling nr. 01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct marketingdoeleinden”, p. 9, beschikbaar op de GBA website. Beslissing ten gronde 19/2021 - 9/33 commerciële context, die rechtstreeks gericht is aan een of meer natuurlijke personen in een privé-of professionele context en die de verwerking van persoonsgegevens met zich meebrengt ”. Onder “direct marketing” worden dus verschillende vormen van promotie verstaan, zoals nieuwsbrieven per e-mail, commerciële telefoontjes of sms’jes of e-mails, of online reclame en dit, al dan niet in een commerciële context.
  50. De verweerder betwist niet dat hij gegevens van klanten verwerkt met direct marketing doeleinden, en derhalve onder art. 21.2 AVG een recht van bezwaar tegen deze verwerkingen moet aanbieden.
  51. Onder artikel 4.B van zijn Privacybeleid van 25 mei 2018 kondigt de verweerder aan dat de verwerkte gegevens voor de volgende direct marketing (promotie) doeleinden gebruikt worden: - om de klant over (nieuwe) producten en diensten van de verweerder en andere bedrijven binnen de groep van de verweerder aan te bieden. Een voorbeeld van promotie voor eigen producten en diensten en speciale acties is: “je kan een sms-bericht ontvangen op het moment dat je bundel op is met een voorstel om over te stappen naar een nieuw tariefplan.” - en om gepersonaliseerde TV-reclame aan te bieden. Een voorbeeld van gepersonaliseerde TV-reclame is: “aan de hand van je profiel kunnen we een aantal TV-zenders waar we mee samenwerken de standaard TVreclame aanpassen aan je interesses en voorkeuren. De combinatie van gebruikersgegevens (bijvoorbeeld je leeftijd, taal, postcode, product-mix en sociodemografische gegevens zoals gezinssamenstelling en statistische gegevens op straatniveau) en je gegevens over je gebruik (zijnde je TV-kijkgedrag) laten ons toe om je TV-ervaring te personaliseren”.
  52. De Geschillenkamer oordeelt hoe het recht van bezwaar onder de AVG moet worden verstrekt in verband met deze direct marketing verwerkingen via verschillende kanalen, ook al is direct marketing via elektronische vorm (b.v. e-mails) geregeld in artikel VI.111 van het Wetboek Economisch Recht dat artikel 5.3 van de ePrivacy Richtlijn in de Belgische wetgeving implementeert.11
  53. In het bijzonder is de Geschillenkamer bevoegd om te oordelen of de uitoefening van het recht van bezwaar tegen direct marketing door de verweerder al dan niet conform artikel 12.2 AVG (verplichting tot het faciliteren van het recht) en al dan niet conform de verplichtingen inzake transparante informatie (artikel 13.2.b AVG) verstrekt wordt. 11 Zie titel 2.2 hierboven. Beslissing ten gronde 19/2021 - 10/33 3.3 Inbreuken op het recht van bezwaar tegen direct marketing als dusdanig (art. 12.2 en art. 21.2 AVG) - Gebrek aan geconsolideerde bezwaarmogelijkheid (“opt-out”) in de periode tussen de inwerkingtreding van de AVG en 18 maart 2019
  54. De Geschillenkamer stelt vast dat artikel 7.c van het Privacybeleid van 25 mei 201812 de klant de mogelijkheid bood om bezwaar te maken tegen alle mogelijke vormen van marketing opgesomd in het Privacybeleid, i.e. sms, e-mail, telefoon, brieven, nieuwsbrieven per e-mail. Daarvoor moest de klant zijn bezwaar per vorm van marketing uitdrukken: op de website van een externe provider (Robinsonlijst voor commerciële brieven, Belmeniet-register voor telefoontjes), in het marketing bericht zelf voor sms’jes en nieuwsbrieven (reageren met “STOP” op het nummer dat de sms stuurde, of gebruikmaken van de uitschrijfmogelijkheid in de commerciële e-mails)
  56. Mocht de klant geen enkele vorm van commerciële communicatie willen ontvangen, dan nodigde artikel 7.c van het Privacybeleid de klant uit om contact op te nemen met de klantendienst van de verweerder of zich naar één van de winkelpunten van verweerder te begeven
  58. De Geschillenkamer oordeelt dat het recht van bezwaar in casu niet voldoende gefaciliteerd is, omdat de betrokkenen tegen alle vormen van direct marketing afzonderlijk (bv. via e-mail, telefoon, enz.) bezwaar moet maken zonder de mogelijkheid te krijgen om gemakkelijk (bv. door op een vakje te klikken) tegen alle vormen van direct marketing tegelijk bezwaar te maken en zonder dat bezwaar via een gepast communicatiekanaal te mogen uiten.
  59. Het recht van bezwaar moet immers via gepaste communicatiekanalen aangeboden worden, rekening houdend met de kanalen waarmee de verwerkingsverantwoordelijke en de betrokkene met elkaar in het kader van de aangeboden diensten communiceren. In Aanbeveling 1/2020 over direct marketing stelt de GBA ook dat de betrokkene zijn recht van bezwaar tegen direct marketing gemakkelijk moet kunnen uitoefenen, rekening houdend met de middelen waarmee de verwerkingsverantwoordelijke met betrokkene communiceert: “als de verplichte informatie digitaal wordt verstrekt of als u de persoon contacteert via digitale kanalen, zou één enkele klik moeten volstaan ”
  60. 12 Technisch verslag Inspectiedienst, p.
  61. 13 Stuk 1 van de verweerder, p.
  62. 14 Ibid. GBA, Aanbeveling nr.01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct marketingdoeleinden, randnummer 162, p.
  63. 15 Beslissing ten gronde 19/2021 - 11/33
  64. De Geschillenkamer stelt vast dat overeenkomstig de AVG het recht op bezwaar op een behoorlijke manier moet worden gefaciliteerd, via gepaste communicatiekanalen. Er bestaat een parallel met artikel 7.3 AVG dat voorschrijft dat het intrekken van de toestemming even gemakkelijk moet zijn als het geven ervan. De Geschillenkamer oordeelt dat het even simpel moet zijn om zijn bezwaar uit te drukken als om zijn gegevens te verstrekken of de verwerkingsverantwoordelijke in het kader van zijn producten en diensten te contacteren. De Geschillenkamer oordeelt dat het voor de uitoefening van het recht van bezwaar ter beschikking gestelde communicatiemedium evenredig moet zijn aan het middel waarmee de verwerkingsverantwoordelijke met de betrokkene communiceert: als de verwerkingsverantwoordelijke de verplichte informatie op grond van de artikelen 13 en14 via zijn website meedeelt en/of als de betrokkene van de verwerkingsverantwoordelijke digitale marketingberichten krijgt, dan moet het recht van bezwaar ook via online kunnen worden geuit.
  65. In casu stelt de Geschillenkamer dus vast dat de verweerder de mogelijkheid moet aanbieden om een bezwaar tegen direct marketing online uit te drukken, aangezien de persoonsgegevens online werden verstrekt en de direct marketing communicatie online gebeurt: het volstaat niet om van de betrokkene klant te eisen dat hij zich naar een winkel van de verweerder begeeft, of telefonisch een klantendienst van de verweerder moet contacteren, als zijn persoonsgegevens online werden verzameld en/of de direct marketing berichten online worden verstuurd.
  66. Samengevat, gelet op de hierboven uiteengezette feiten en gelet op de verplichting om het recht van bezwaar tegen direct marketing communicatie conform 12.2 AVG te faciliteren, is de Geschillenkamer van oordeel dat de verwerkingsverantwoordelijke niet enkel de mogelijkheid moet voorzien om het bezwaar granulair per communicatiekanaal (e-mail, sms, enz.) aan te bieden, maar dat hij ook een eenvoudige manier moet verstrekken om gemakkelijk alle vormen van commerciële communicatie te weigeren, en dit, via gepaste communicatiekanalen, rekening houdend met de kanalen waarmee de verweerder zijn direct marketing berichten stuurt en/of de persoonsgegevens verzamelt.
  67. Op basis van de vaststellingen van het Inspectieverslag stelt de Geschillenkamer vast dat een dergelijke geconsolideerde online uitschrijfmogelijkheid tussen 25 mei 2018 tot en met minstens 17 maart 2019 niet bestond
  68. Derhalve werd er in deze periode een inbreuk gepleegd op art. 21.2 juncto 12.2 AVG.
  69. Deze inbreuk is te meer belangrijk aangezien de CBPL nochtans de verweerder in haar brief van 4 mei 2018 had gewaarschuwd: “Het recht van bezwaar moet volgens de AVG worden gefaciliteerd, wat betekent dat er een makkelijk vindbare uitschrijfmogelijkheid zou moeten zijn. Andere verantwoordelijken passen dit consequent toe 16 Zie beslissing van de Geschillenkamer 72/2020, paras 23-
  70. via eenvoudige tools zoals, een online Beslissing ten gronde 19/2021 - 12/33 uitschrijfformulier, een gebruikelijke opt-out weblink in correspondentie, de GSM of een helpline. […] De verwijzing naar tal van externe lijsten (Robinson lijst, bel me niet lijst) is een bijkomende bemoeilijking van het recht, dat blijkbaar wordt versnipperd in deelcategorieën naargelang de vorm van marketing door of namens Telenet groep.”.
  71. De verweerder had deze geconsolideerde uitschrijfmogelijkheid uit eigen beweging moeten implementeren, overeenkomstig de verantwoordelijkheid van de verwerkingsverantwoordelijke op grond van artikel 24 AVG. Desondanks heeft verweerder gewacht op de opmerkingen van de Inspectiedienst tot 18 maart 2019 alvorens aan deze tekortkoming te verhelpen. De Geschillenkamer stelt derhalve voor de periode tot en met 18 maart 2019 een inbreuk vast op de plicht om het recht van bezwaar tegen direct marketing conform art. 12.2 AVG juncto art. 21.2 AVG te faciliteren.
  72. De verweerder legt uit dat hij sinds 18 maart 2019 een uitschrijfknop heeft voorzien, en dat deze knop vanuit verschillende delen van zijn website beschikbaar is 17: “Om het gemak bij het vinden van het online uitschrijfformulier voor gebruikers te vergroten heeft Telenet meerdere pistes op de website uitgewerkt waarlangs de betrokkene zijn recht op verzet kan uitoefenen. Zo kan de betrokkene zijn recht op bezwaar uitoefenen (i) via de Privacy-instellingen (ii) via de pagina ‘Wat betekent GDPR voor mij’? en (iii) via de afzonderlijke uitschrijfknop die de betrokkenen te zien krijgt op de Contactpagina voor de Telenet klantendienst.”. Deze uitschrijfknop biedt inderdaad de mogelijkheid om “een volledige uitschrijving voor alle commerciële communicatie” te vragen
  74. Op basis van de stukken van de verweerder stelt de Geschillenkamer vast dat deze uitschrijfknop als volgt in het deel “je persoonsgegevens beheren” aangeboden wordt: verschillende aanvragen inzake persoonsgegevens worden voorgesteld (bv. het verwijderen of aanpassen van persoonsgegevens), inclusief het recht van bezwaar tegen alle communicatiekanalen. 17 Conclusie van de verweerder, p.
  75. 18 Brief van de verweerder dd. 9 september 2020, p.
  76. Beslissing ten gronde 19/2021 - 13/33 3.4 Inbreuken op de informatie en transparantieverplichtingen 3.4.1 Context
  77. De Inspectiedienst oordeelt dat de informatiearchitectuur op de website van de verweerder op een “doolhof” gelijkt gelet op de overmaat aan informatie en op de veelvuldige herhalingen.19 De Inspectiedienst onderstreept dat de verweerder 14 keer moet klikken om het Privacybeleid in zijn geheel te kunnen raadplegen, hetgeen volgens de Inspectiedienst een inbreuk op artikelen 13 en 14 AVG uitmaakt, alsook een inbreuk op artikel 12 AVG, in de mate dat deze informatie de uitoefening van de rechten, inclusief het recht van bezwaar, niet faciliteert.
  78. Artikelen 13 en 14 geven een lijst van te verstrekken informatie afhankelijk van de omstandigheden (wanneer persoonsgegevens bij de betrokkene zijn verzameld of, bij wijze van alternatief, niet rechtstreeks bij hem worden verkregen). Artikelen 13.2.b en 14.2.b AVG schrijven voor dat de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens, of, wanneer de gegevens niet direct bij hem verkregen werden, binnen een redelijke termijn en uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt, informatie moet verstrekken over het recht om tegen de verwerking bezwaar te maken, dit om een behoorlijke en transparante verwerking te waarborgen. 19 Vaststellingen 1 en 4 van het Inspectieverslag. Beslissing ten gronde 19/2021 - 14/33
  79. Artikel 12.1 AVG schrijft voor dat de verwerkingsverantwoordelijke “passende maatregelen” neemt “opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie […] in verband met de verwerking in een beknopte, transparante, begrijpelijk en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is”. Artikel 12.2 schrijft voor dat de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene, waaronder het recht van bezwaar, moet faciliteren. Volgens overweging 39 van de AVG betekent de verplichting tot transparantie dat de personen op een toegankelijke en begrijpelijke manier geïnformeerd moeten worden, o.a. over de wijze waarop hun rechten uitgeoefend kunnen worden.
  80. De Geschillenkamer moet oordelen of de inhoud en structuur van de privacy-verbonden informatie op de website van de verweerder voldoende lezersvriendelijk en overzichtelijk is om aan de eisen van artikelen 13, 14 en 12.2 AVG te voldoen.
  81. De Geschillenkamer begrijpt uit het Inspectieverslag, het technisch verslag en de argumenten van de verweerder dat de relevante operationele informatie over het recht van bezwaar zich niet in het Privacybeleid van de verweerder, doch voornamelijk in het klantenportaal Mijn Telenet bevindt. De Geschillenkamer beschikt niet over vaststellingen van de Inspectiedienst over de Mijn Telenet applicatie. De Geschillenkamer onderstreept dat de verweerder door de informatie voornamelijk in het besloten klantgedeelte van zijn website te verstrekken, in onvoldoende mate zijn verplichtingen nakomt om de uitoefening van de rechten, inclusief het recht van bezwaar, te faciliteren. Niet-klanten moeten ook, vooraleer ze met verweerder contracteren, op het publieke deel van de website van verweerder een goed beeld kunnen krijgen van de manier waarop de verweerder als toekomstige dienstverlener hun persoonsgegevens zal verwerken. Conform de richtsnoeren van de Groep 29 20 moet de verwerkingsverantwoordelijke gedetailleerde informatie over het recht van bezwaar overeenkomstig artikel 21 AVG lid 2 uitdrukkelijk onder de aandacht van de betrokkene brengen, en dit uiterlijk op het moment van het eerste contact met de betrokkene. Daarbij moet deze informatie duidelijk en gescheiden van enige andere informatie aangeboden worden (artikel 21, lid 4). De informatie over het recht van bezwaar en de manier om dit recht uit te oefenen moet dus makkelijk vindbaar zijn op het publieke deel van website van de verweerder en niet alleen in Mijn Telenet. 20 Groep 29, WP251, Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679, 3 oktober 2017, p.
  82. Beslissing ten gronde 19/2021 - 15/33 3.4.2 Structuur van de website in informatielagen en gebrek aan een duidelijke eerste laag synthesepagina
  83. De verweerder stelt dat zijn documentatiearchitectuur goed ontworpen is, met als eerst aangeboden informatie (eerste laag informatie) zijn Privacybeleid bestaande uit uitklapbare hoofdstukken, conform de eisen van de AVG zoals door de EDBP geïnterpreteerd
  84. De verweerder geeft als voorbeeld het feit dat de Gegevensbeschermingsautoriteit ook haar eigen Privacybeleid in uitklapbare hoofdstukken als eerste laag informatie aanbiedt
  86. De Geschillenkamer oordeelt dat de verweerder zijn Privacybeleid als eerste document mag gebruiken om aan de informatieverplichtingen van art. 13 en 14 te voldoen, voor zover dit eerste laag document voldoende duidelijk (niet te gedetailleerd) en overzichtelijk is voor een doorsnee internetgebruiker.
  87. Ook de Groep 29 oordeelt dat een eerste laag informatie helder, overzichtelijk en niet te gedetailleerd moet zijn: “Het ontwerp en de lay-out van de eerste laag van de privacyverklaring/mededeling dienen zodanig te zijn dat de betrokkene een duidelijk overzicht heeft van de informatie over de verwerking van zijn of haar persoonsgegevens die aan hem of haar beschikbaar is gesteld en van de plaats waar/de wijze waarop hij of zij die gedetailleerde informatie kan vinden binnen de lagen van de privacyverklaring/mededeling”
  89. Voorts oordeelt de Geschillenkamer dat de verweerder zijn Privacybeleid in uitklapbare hoofdstukken mag voorstellen op voorwaarde dat deze informatie voldoende duidelijk (eenvoudig) en toegankelijk is. Overweging 39 van de AVG stelt immers: “Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt.”. Dat de internetgebruiker ten tijde van het Inspectieverslag 14 keer moest klikken om een volledig overzicht te krijgen van het Privacybeleid dat in de vorm van hoofstukken met hyperlinks aangeboden wordt, acht de Geschillenkamer niet problematisch, in de mate dat de verweerder tevens een geconsolideerde versie van het Privacybeleid op zijn website – via een hyperlink op elke webpagina van de website – ter beschikking stelde met een overzicht van de relevante titels
  91. De Geschillenkamer beschikt over drie versies van dit Privacybeleid, dd. 25 mei 2018 , dd. 17 maart 2019 en dd. 19 mei 2020, die wat betreft de hier aangekaarte punten niet verschillen. 21 Conclusie van de verweerder dd. 22 mei 2020, p. 15 en
  92. 22 Conclusie van de verweerder dd. 22 mei 2020, p.
  93. 23 EDPB, Richtsnoeren m.b.t. transparantie (WP260rev01), §
  94. 24 Conclusie van de verweerder, p.
  95. Beslissing ten gronde 19/2021 - 16/33
  96. De Geschillenkamer oordeelt echter dat het Privacybeleid van de verweerder in casu onvoldoende helder is om als eerste laag informatie te functioneren. Het Privacybeleid bevat een zeer gedetailleerd niveau van informatie, hetgeen wordt geïllustreerd door de veelvuldige interne kruisverwijzingen die de concrete uitoefening van een recht, zoals het recht van bezwaar, bemoeilijken. In de plaats van een directe link naar de operationele pagina te verstrekken waar het recht van bezwaar kan worden uitgeoefend, krijgt de lezer een beschrijvende uitleg over de manier om het recht van bezwaar uit te oefenen. Deze beschrijving volstaat niet om de betrokkene te faciliteren zijn recht van bezwaar concreet uit te oefenen.
  97. Een voorbeeld is hoofdstuk 8 van dit Privacybeleid over het recht van bezwaar dat naar hoofdstuk 7 verwijst, terwijl hoofdstuk 7 dan opnieuw naar hoofdstuk 8 van het Privacybeleid verwijst.
  98. Wat betreft de lezersvriendelijkheid van dit document stelt de Geschillenkamer vast dat de interne kruisverwijzingen in het Privacybeleid met de nummers van de titels van de uitklapbare hoofdstukken overeenstemmen, wat het surfen door het Privacybeleid aan de hand van deze nummers enigszins vergemakkelijkt. Desalniettemin merkt de Geschillenkamer op dat het Privacybeleid interne kruisverwijzingen bevat zonder mogelijkheid om door te klikken (geen toegevoegde hyperlinks).
  99. De Geschillenkamer stelt eveneens vast dat de voorstelling van de privacy-instellingen fouten bevat. De verweerder geeft de keuze tussen 4 niveaus van privacy die met verschillende gradaties van direct marketing overeenstemmen. De indeling “algemeen”, “persoonlijk”, “doelgericht” en “uniek” werd ten tijde van het Inspectieverslag niet altijd consequent toegepast
  100. Het is nochtans de verantwoordelijkheid van de verweerder om de correctheid van deze privacy-informatie te garanderen.
  101. Inzake de structuur van de website merkt de Geschillenkamer op dat het document Privacybeleid hiërarchisch onduidelijke informatie bevat met betrekking tot de bescherming van de persoonsgegevens op de website van de verweerder. Ten tijde van de vaststellingen van de Inspectiedienst bevatte eenzelfde webpagina van de website van de verweerder verschillende vensters met hyperlinks naar privacy gerelateerde informatie die apart en niet geïntegreerd aangeboden werd, waardoor de informatie overdadig is en niet duidelijk gestructureerd, doordat veel min of meer, doch niet volledig, identieke mededelingen zijn opgenomen, zoals “Eerste hulp bij GDPR: belangrijke begrippen”; “Wat betekent GDPR voor mij”; “Eerste hulp bij GDPR”; “jouw privacy is belangrijk voor ons”; “Privacy”; “Ik heb WIGO en meerdere privacyniveaus”; “Netwerkbeheer: hoe respecteert Telenet mijn privacy”
  102. Dat het Privacybeleid van de verweerder onderaan elke webpagina van de verweerder 25 Inspectieverslag, p.
  103. 26 Verslag van de bevindingen en Technische analyse, p. 7,schermafdruk 9.. Beslissing ten gronde 19/2021 - 17/33 in een hyperlink te vinden is, neemt immers niet weg dat de publiek toegankelijke informatie, onder andere met betrekking tot het recht van bezwaar, niet duidelijk is gestructureerd.
  104. Meer fundamenteel stelt de Geschillenkamer vast dat het niveau van informatie en de veelvuldige interne kruisverwijzingen in het Privacybeleid moeilijk verenigbaar zijn met een lezersvriendelijke eerste laag informatie die de uitoefening van de rechten in de zin van artikelen 12.1, 12.2, 13 en 14 AVG kan faciliteren. Op het publieke deel van de website is
(1)geen gemakkelijk beschikbare operationele informatie te vinden voor de uitoefening van het recht van bezwaar in de eerste laag informatie, rekening houdend met
(2)een complexe en niet voldoende transparante wisselwerking tussen de privacyinstellingen en het recht van bezwaar tegen alle vormen van direct marketing. 64. De Geschillenkamer stelt vast dat er voorbeelden bestaan van een uitklapbaar privacybeleid dat een gepaste transparantie verschaft, met een toegankelijke en operationele communicatie over de uitoefeningswijze van de rechten, zoals de website van de Franse toezichthouder CNIL.27 De eerste bladzijde van het Privacy beleid van de CNIL bevat, onder een korte beschrijving van de inhoud van het beleid, een duidelijke link naar een webformulier waardoor het mogelijk is om rechten uit te oefenen, en dit, onder een duidelijke titel “exercer vos droits“ (vrije vertaling: “uw rechten uitoefenen”) die de aandacht voldoende trekt. 27 Conclusie van de verweerder, p. 19. Beslissing ten gronde 19/2021 - 18/33 De Geschillenkamer zou in dit kader een aantal aanbevelingen willen doen: (
  1. a)Wat betreft de verwijzing naar de uitoefeningswijze van de rechten waaronder het recht van bezwaar tegen direct marketing 65. Weliswaar moet de verweerder een specifieke complexiteit beheren: de gegevens van de websitegebruikers en van de klanten van de verweerder worden niet op dezelfde manier verwerkt, en klanten van de verweerder hebben toegang tot een specifieke toebedeelde applicatie “Mijn Telenet” die enkel door in te loggen bereikbaar is28. 66. De Geschillenkamer geeft bij wijze van beste praktijk de volgende suggestie: De verweerder zou vanuit zijn publieke pagina een link kunnen aanbieden naar het deel van zijn website (de Mijn Telenet 28 Conclusie van de verweerder, p. 33. Beslissing ten gronde 19/2021 - 19/33 klantenapplicatie) waar de rechten door klanten kunnen beheerd worden. Om het recht van bezwaar te faciliteren kan er dus bijvoorbeeld een link verstrekt worden naar Mijn Telenet waar de klant (na identificatie en authenticatie) direct op de pagina terechtkomt waar hij zijn recht van bezwaar kan uitoefenen. Dit is dus niet de startpagina van Mijn Telenet, maar wel de pagina waar het recht van bezwaar tegen direct marketing op een geconsolideerde of granulaire manier kan worden uitgeoefend. 67. De verweerder kan deze webpagina op Mijn Telenet met betrekking tot het recht van bezwaar (en eventueel andere rechten) zodanig inrichten dat de klant zijn recht van bezwaar naar behoren kan uitoefenen (zie titel 3.3.1). Uiteraard is de verweerder niet verplicht om enkel een geconsolideerd recht van bezwaar tegen alle vormen van direct marketing aan te bieden: het staat de verweerder daarnaast ook vrij om een recht van bezwaar per type marketing (bv. e-mails) aan te bieden. (
  2. b)Wat betreft het niveau van detail in de eerste laag informatie en het gebrek aan synthesepagina m.b.t. de beschikbare privacy-informatie 68. De Geschillenkamer begrijpt dat de verweerder zijn Privacybeleid als eerste laag informatie voorstelde in de hoop om hiermee een volledige verplichte informatie onder artikel 13 en 14 AVG te verstrekken. De Geschillenkamer begrijpt dat de keuze van de gepaste informatie een moeilijke oefening is, gelet op de plicht om volledige informatie te verstrekken enerzijds, en de plicht om voldoende overzichtelijke informatie te verstrekken anderzijds, en dat deze keuze een kwestie van appreciatie is. Bij de beoordeling van de vraag of aan artikel 12.1 AVG wordt voldaan, meer in het bijzonder aan de verplichting om beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke informatie in een duidelijke taal te verstrekken, gaat de Geschillenkamer uit van een doorsnee betrokkeneinternetgebruiker. 69. Bij wijze van aanbeveling of beste praktijk wijst de Geschillenkamer op de door de verweerder in zijn pleitbundel aangehaalde pagina “Wat betekent GDPR voor mij”. Deze kan als voorbeeld van een goed begin van eerste laag informatie fungeren (voor zover alle informatie op een geïntegreerde manier wordt aangeboden uiteraard, zie ook onder randnummer 62). Op deze bladzijde vindt men een duidelijke en qua lay-out klantvriendelijke voorstelling waar de gebruiker alle nodige informatie kan vinden om zijn rechten concreet te beheren, naast de privacy-instellingen en (sindsdien toegevoegd) de cookievoorkeuren29. 29 Print screen van het publiek deel van website van de verweerder op 9-12-2020 (https://www2.telenet.be/nl/klantenservice/wat-betekent-gdpr-voor-mij/), dat met de vaststellingen van de Inspectiedienst in zijn Inspectieverslag overeenstemt. Beslissing ten gronde 19/2021 - 20/33 70. Als de websitebezoeker op het venster “je persoonsgegevens beheren” klikt, komt hij terecht op een webpagina waar zijn rechten (beschreven als “aanvragen”) als volgt kan beheren30. 71. Onderaan deze vensters vindt de websitebezoeker een link naar de bladzijde waar hij deze aanvragen, onder andere het recht van bezwaar, kan invullen31: 30 Ibid. 31 Ibid. Beslissing ten gronde 19/2021 - 21/33 72. Op deze pagina vindt men rechtstreekse links naar operationele functionaliteiten met betrekking tot de rechten. Echter, deze pagina is op dit moment, gelet op de structuur van de website van de verweerder, niet de eerste laag informatie die de internetbezoeker kan vinden. 73. De Geschillenkamer heeft aan de verweerder gevraagd hoe deze webpagina op zijn website toegankelijk is, om na te gaan of deze webpagina niet de facto als eerste laag informatie fungeert. Dit zou de grieven van de Geschillenkamer inzake de transparantie van de website voor een deel kunnen wegnemen. In zijn brief dd. 9 september 2020 stelt de verweerder dat de pagina “Wat betekent GDPR voor mij” geen officiële informatie onder artikelen 13-14 AVG uitmaakt, en dat het sluitstuk van de privacy-informatie dat als eerste laag fungeert, de webpagina met het Privacybeleid van de verweerder is32. Het antwoord van de verweerder betwist de argumenten van de Geschillenkamer inzake de transparantie daarmee niet. 74. De verweerder voegt hier aan toe dat alle privacy-gerelateerde documentatie het voorwerp van een herziening uitmaakt en dat de beschikbaarheid van alle privacy-gerelateerde informatie onderdeel van deze herziening uitmaakt 33. 75. De afwezigheid van een duidelijke eerste laag informatie die gemakkelijk naar de operationele uitoefening van de rechten (waaronder het recht van bezwaar tegen direct marketing) leidt, heeft dus een negatieve weerslag op de transparantie van de informatie inzake het recht van bezwaar die idealiter in verschillende lagen verstrekt moet worden. De verweerder is uiteraard vrij om de gepaste techniek te kiezen teneinde dit te verbeteren: bijvoorbeeld, het privacybeleid lezersvriendelijker maken en van de nodige directe links voorzien, of een pagina zoals “Wat betekent GDPR voor mij”, die al directe links naar het recht van bezwaar inhoudt, als eerste laag informatie gebruiken. 32 Brief van de verweerder, 9 september 2020, p. 8. 33 Conclusie van de verweerder, p. 8. Beslissing ten gronde 19/2021 - 22/33 3.4.3 Gevaar voor verwarring wat betreft de draagwijdte van de privacy-instellingen 76. De Geschillenkamer neemt nota van het feit dat de klant die zijn recht van bezwaar tegen alle vormen van marketing via de geconsolideerde uitschrijfknop uitoefent automatisch door de verweerder op Privacyniveau 1 (“algemeen”) wordt gezet34. De Geschillenkamer oordeelt dat de wisselwerking tussen dit geconsolideerd recht van bezwaar en de privacy-instellingen, meer bepaald het Privacyniveau 1 van de verweerder, niet duidelijk beschreven is. Zoals hieronder uitgelegd kan de betrokkene die het bestaan van een recht van bezwaar tegen direct marketing niet kent, gelet op de structuur en inhoud van de beschikbare privacy-informatie op de website, de indruk krijgen dat de privacy-instelling “algemeen” de meest beschermende keuze op de website van de betrokkene is. 77. De privacy-instellingen worden beschreven als de manier bij uitstek om de “Telenet-ervaring” te bepalen en de privacy-instelling “algemeen” wordt als de meest beschermende privacy-ervaring van verweerder beschreven, waardoor de betrokkene omtrent de draagwijdte van de privacy-instellingen en hun verhouding tot het recht van bezwaar een verkeerde indruk krijgt. 78. Op de webpagina “Wat betekent GDPR voor mij” leest men: “Hoe uw Telenet-ervaring eruitziet, kiest u helemaal zelf. Van meest privacy-beschermend naar 100 % gepersonaliseerd.”35, en onder deze zinnen staat een lijst van de vier beschikbare privacyniveaus, Algemeen, Gericht, Persoonlijk en Uniek36. 34 Brief van de verweerder aan de Geschillenkamer van 9 september 2020, p. 7. 35 Pleitbundel, stuk 2, p. 9. 36 Ibid. Beslissing ten gronde 19/2021 - 23/33 79. Het niveau 1 (“algemeen) wordt dus - ten onrechte - op deze pagina beschreven alsof het de meest gunstige privacykeuze was, terwijl er daarnaast nog de mogelijkheid is om een recht van bezwaar tegen direct marketing onder art. 21.2 AVG uit te drukken alsook – zoals hieronder verder uitgelegd37 – een recht van bezwaar tegen verwerkingen verricht onder de rechtsgrond gerechtvaardigd belang onder art. 21.1 AVG. 80. De verweerder legt uit dat de uitoefening van het recht van bezwaar tegen alle vormen van direct marketing een extra bescherming is naast de privacy-instellingen op de website van de verweerder38: 81. De Geschillenkamer begrijpt dus dat de verweerder de uitoefening van het recht van bezwaar tegen alle vormen van marketing mogelijk maakt, zonder commerciële communicatie, zodat het privacyniveau “Algemeen” niet de meest beschermende privacy-ervaring is. De beschrijving van het Privacyniveau “Algemeen” als “de meest beschermende” instelling kan dus tot verwarring leiden. (
  3. a)Er is geen duidelijke informatie te vinden m.b.t. het bestaan en de uitoefeningswijze van het recht van bezwaar op de Mijn Telenet pagina waar de privacyniveaus gekozen worden 37 Zie onder titel 4. 38 Pleitbundel, stuk 2, p. 7. Beslissing ten gronde 19/2021 - 24/33 82. De Mijn Telenet privacy-instellingen lijken geen duidelijke uitnodiging om het recht van bezwaar uit te oefenen te bevatten. Eens de betrokkene zijn privacy-instellingen selecteert in Mijn Telenet, is het volgens de Geschillenkamer niet duidelijk voor hem dat hij daarbij ook over een recht van bezwaar beschikt39. De inleidingsbanner bovenaan de pagina bevat een uitleg over de privacy-instellingen, waaruit blijkt dat de Mijn Telenet-instellingen de manier bij uitstek zijn om te bepalen welke persoonsgegevens de klant met de verweerder deelt40. 83. Helemaal onderaan de pagina bevindt zich een knop: “Een aanvraag over je persoonsgegevens sturen”. Er wordt echter niet direct vermeld dat deze knop de mogelijkheid geeft om de privacyinstelling te nuanceren en de verwerking van de medegedeelde persoonsgegevens door de verweerder te beperken via een bezwaar tegen direct marketing. Ter illustratie toont de Geschillenkamer de relevante schermafdruk. 39 Zie stuk 30 juncto stuk 21 van de verweerder. Deze inleidende banner luidt als volgt : « Dat je voorzichtig omspringt met je persoonlijke gegevens vinden we bij Telenet logisch. Wij denken er net zo over. Jou data is van jou. Punt. Jij bepaalt dus zelf welke persoonsgegevens je met ons wil delen, en hoe persoonlijk je Telenet-ervaring mag zijn. Daarvoor zijn er 4 privacy-niveaus: “Algemeen”, “Gericht”, “Persoonlijk” en “Uniek”. Hoe beter we je leren kennen, hoe beter we kunnen zorgen voor een Telenet-ervaring die echt bij je past. Da’s logisch. 40 […]” (Stuk 21 van de verweerder, p. 1) Beslissing ten gronde 19/2021 - 25/33 Beslissing ten gronde 19/2021 - 26/33 84. Uit de stukken die verweerder heeft overgelegd blijkt dat pas als de betrokkene op de knop “Een aanvraag over je persoonsgegevens sturen” klikt, hij terecht komt op de pagina “Je persoonsgegevens beheren”. Daar krijgt hij de mogelijkheid om een vakje te selecteren waardoor hij concreet “ een volledige uitschrijving voor alle commerciële communicaties” kan aanvragen, naast andere mogelijke vragen betreffende zijn persoonsgegevens (een overzicht van de verwerkte persoonsgegevens, het verwijderen ervan, enz.). 85. De structuur van Mijn Telenet is volgens de Geschillenkamer dus zodanig dat het voor de doorsnee klant die op de pagina over de privacyniveaus belandt, niet direct duidelijk is dat de knop “een aanvraag over je persoonsgegevens sturen” 41 hem een extra mogelijkheid biedt om meer privacybescherming te krijgen, tenzij de klant doorklikt op deze knop of het gedetailleerde privacybeleid (eerste laag privacy-informatie van de verweerder) precies gelezen heeft, wat volgens de Geschillenkamer niet van een doorsnee klant verwacht kan worden. 86. Zelfs voor klanten die kennis hebben van het bestaan van een recht van bezwaar is het niet altijd eenvoudig de relevante webpagina te vinden waar hij dit recht concreet kan uitoefenen, aangezien de verweerder hem vanuit de webpagina met het privacybeleid verwijst naar “Mijn Telenet” zonder directe link naar de relevante webpagina. Er is dus in hoofde van de gebruiker van de website van verweerder een risico om het recht van bezwaar niet te vinden. (
  4. b)De indruk ontstaat dat de privacy-instellingen toelaten om de te verkrijgen reclame (direct marketing) te bepalen 87. Artikel 4.B van het Privacybeleid omvat telkens hetzelfde bericht onder elk privacyniveau, zowel wat betreft reclame voor eigen producten als voor gepersonaliseerde TV-reclame: “Je privacy-instelling (waarover meer in punt 7 van dit privacybeleid) bepaalt in welke mate je dit soort reclame ontvangt, en hoe je je kan aan- en afmelden”42. In zijn conclusie zelf stelt de verweerder de verschillende privacy-opties voor als een “privacydashboard”43. 88. De Geschillenkamer oordeelt dat deze manier om de privacy-instellingen in het Privacybeleid voor te stellen een risico op verwarring inhoudt, wegens het verzwijgen van de wisselwerking tussen de privacy-instellingen en het recht van bezwaar. 89. Hieraan doet niet af dat de verweerder stelt dat de privacy-instellingen op zijn website in feite niets te maken hebben met het recht van bezwaar. In antwoord op de vraag van de Geschillenkamer Mijn 41 42 43 Stuk 21 van de verweerder, p. 2. Privacybeleid, stuk 1 van de verweerder. Zie conclusie van de verweerder, 22 mei 2020, p. 30 en 31. Beslissing ten gronde 19/2021 - 27/33 Telenet-instellingen (“algemeen”, “gericht”, enz.) al dan niet een manier zijn om het recht van bezwaar onder art. 21.2 of 21.1 AVG uit te oefenen, stelde de verweerder immers dat de keuze tussen verschillende privacyniveaus die de verweerder aanbiedt (“algemeen”, “gericht”, “persoonlijk”, “uniek”) niet beoogt het recht van bezwaar tegen direct marketing te vervangen44. 90. De Geschillenkamer acht deze uitleg problematisch, in de mate dat de privacy-instellingen volgens het privacybeleid – zoals hierboven aangetoond – bepalend zijn voor de berichten die de klant al dan niet ontvangt en hoe hij zich kan afmelden, zowel wat betreft berichten over producten en diensten binnen de groep van de verweerder als wat betreft TV-reclame van derden, die aan de hand van het profiel van de klant worden aangemaakt. 91. Ook binnen de webpagina “Beheer uw instellingen” 45 worden de instellingen beschreven als een manier om de commerciële communicatie te beheren (weliswaar met de focus op de aan de verweerder verstrekte gegevens). 92. Onder de webpagina “Je persoonsgegevens beheren”46 wordt uitgelegd dat de klant die zijn recht van bezwaar heeft uitgeoefend en van gedachte veranderd is zijn privacyniveau kan aanpassen naar “gericht”, “persoonlijk” of “uniek”. De Geschillenkamer stelt dientengevolge vast dat de privacyinstellingen een manier zijn om de commerciële communicatie opnieuw te activeren, maar niet om deze te deactiveren. Dit kan volgens de Geschillenkamer bij gebrek aan een meer duidelijke uitleg tot misverstanden leiden, in de context waar het privacyniveau “Algemeen” meermaals als het “meest beschermende” privacyniveau beschreven wordt. 93. Hoofdstuk 7 van het Privacybeleid bevat een verwijzing naar het recht van bezwaar (“opt-out voor direct marketing”) bij wijze van antwoord op de vraag “Hoe bepaal je welke persoonsgegevens we voor commerciële doeleinden mogen gebruiken en hoe”? De Geschillenkamer stelt vast dat betrokkene die het Privacybeleid als eerste document zou raadplegen, in dat document, in de aanhef van de uitleg over het recht van bezwaar, aangemoedigd wordt om zijn privacy-instellingen te kiezen, alsof hij daar alle aspecten van zijn persoonsgegevens zal kunnen beheren, van de meest naar de minst beschermende privacy-optie. 44 Brief van de verweerder aan de Geschillenkamer, 6 oktober 2020, p. 3. 45 Stuk 2 van de pleitbundel van de verweerder, p. 9. 46 Stuk 4 van de verweerder, p. 2. Beslissing ten gronde 19/2021 - 28/33 94. De Geschillenkamer acht de wisselwerking tussen het recht van bezwaar en de privacy-instelling “Algemeen” verwarrend, aangezien de gebruiker de indruk kan krijgen dat het hier om de meest beschermende optie gaat. Deze verwarring is des te groter in het geval waar de klant rechtstreeks via Mijn Telenet op de privacy-instellingen belandt.47 Daarenboven is de wisselwerking tussen het recht van bezwaar tegen alle vormen van direct marketing en het privacyniveau “Algemeen” op een niet coherente manier voorgesteld (het Privacyniveau “Algemeen” laat nog “algemene commerciële communicatie” toe). 3.4.5. Inbreuken op artikelen 21.2 AVG juncto artikelen 12.1 en 12.2, 13 en 14 AVG 95. De Geschillenkamer oordeelt dat de keuze van de verweerder om het recht van bezwaar los te koppelen van de privacy-instellingen tot verwarring bij de betrokkenen kan leiden in de mate dat het eerste (niveau “Algemeen”) als de “meest beschermend” privacyniveau beschreven wordt. Hiermee is de verweerder onvoldoende transparant wat betreft het bestaan en de uitoefeningswijze van het recht van bezwaar onder artikel 21.2 AVG juncto artikelen 12.1, 12.2, 13 en 14 AVG. 96. De Geschillenkamer onderstreept dat het de plicht is van de verweerder om een toegankelijke en begrijpelijke informatie te verschaffen over het bestaan en de uitoefening van de rechten, inclusief het recht van bezwaar, dewelke begrijpelijk moet zijn en gemakkelijk zichtbaar en toegankelijk vanuit alle delen van de website, van waar de klant ook surft. De verwerkingsverantwoordelijke heeft een keuze tussen de gepaste informatiemiddelen die het bestaan en de concrete uitoefeningswijze van de rechten van de betrokkene, waaronder het recht van bezwaar tegen direct marketing, op zijn website begrijpelijk te maken. Hij heeft echter wel een verplichting om de uitoefening van de gegevensbeschermingsrechten op zijn website door zijn privacyinformatie te vergemakkelijken. 97. De Geschillenkamer stelt dus vast dat de structuur van de website en van Mijn Telenet niet als een beste praktijk kan aangemerkt worden en aan verbetering toe is, teneinde beter te voldoen aan de verplichting om een recht van bezwaar tegen direct marketing conform artikel 21.2 juncto 12.2 AVG te faciliteren alsook transparante informatie conform art. 12.1, 13.2.b en 14.2.b AVG te verstrekken. 4. Recht van bezwaar tegen verwerkingen gebaseerd op het gerechtvaardigd belang 98. In zijn brief van 9 juli 2018 aan de verweerder een onderscheid tussen het verlenen van het recht van bezwaar tegen direct marketing (art. 21.2 AVG) en het verlenen van het recht van bezwaar tegen andere vormen van verwerkingen, waarvoor de verweerder – volgens zijn eigen verklaringen – een 47 Volgens het navigatieschema dat verweerder in stukken 21 juncto 30 heeft overgelegd. Beslissing ten gronde 19/2021 - 29/33 webformulier met vrije-tekstveld aan het ontwikkelen was (art. 21.1 AVG). De Geschillenkamer heeft omtrent deze verwerkingen op basis van een gerechtvaardigd belang uitleg gevraagd in haar brief van 12 augustus 2020, met gebruikmaking van haar bevoegdheid om de aan haar voorgelegde stukken en feiten te kwalificeren en de debatten hieromtrent desnoods te heropenen.48 99. Het recht van bezwaar kan immers eveneens worden uitgeoefend buiten de context van verwerkingen voor marketingdoeleinden, voor verwerkingen die berusten op de verwerkingsgronden algemeen belang en gerechtvaardigde belangen (artikel 6.1 onder
  5. e)resp. onder
  6. f)AVG). Om artikel 21.1 AVG geldig in te roepen moet de betrokkene zijn bezwaar kunnen verantwoorden, op basis van redenen die specifiek te maken hebben met redenen die verband houden met zijn situatie. 100. Het Inspectieverslag heeft het recht van bezwaar onder artikel 21.1 AVG niet onderzocht, maar de verweerder heeft zelf in zijn brief van 9 september 2020 dit aspect van het recht van bezwaar toegelicht: “inzake de verzetmogelijkheid tegen verwerkingen die geschieden op grond van artikel 6.1 (
  7. f)AVG (met uitzondering van de verwerkingen voor het doeleinde van de direct marketing) is Telenet in de uitvoeringsfase van het implementeren van dit free tekst webform ” 49. De Geschillenkamer neemt dus akte van het feit dat de verweerder nog geen mogelijkheid aanbiedt om bezwaar te maken tegen verwerkingen verricht op grond van artikel 6.1.f AVG, wat nochtans onder artikel 21.1 AVG is vereist. 101. Op basis van de stukken in het dossier stelt kan de Geschillenkamer niet vaststellen of er wel verwerkingen zijn die op basis van de rechtsgrond “gerechtvaardigd belang” plaatsvinden. Bij gebrek aan bewijs stelt de Geschillenkamer geen inbreuk vast op de verplichting om een recht van bezwaar onder artikel 21.1 AVG aan te bieden. De Geschillenkamer gaat er op basis van de goede trouw van uit dat de verweerder die mogelijkheid heeft willen voorzien om eventueel in de toekomst aan te wenden, maar er op heden géén gebruik van maakt. 102. De Geschillenkamer onderstreept ook dat de verweerder niet heeft geantwoord op haar vraag over “hoe en waar op de Telenet website” de klant/internetbezoeker geïnformeerd wordt over het bestaan en doelen van de verwerkingen op grond van artikel 6.1.f AVG. De Geschillenkamer beveelt aan dat, mocht de verweerder alsnog persoonsgegevens op grond van gerechtvaardigd belang gaan verwerken, zij een gepaste mogelijkheid moeten voorzien voor het uitoefenen van het recht van bezwaar met behulp van een webformulier met vrije-tekstveld. 5. De verplichte quasi-automatische acceptatie van mededeling van gegevens via cookies 48 Zie meer uitgebreid beslissing van de Geschillenkamer 17/2020 van 21 februari 2020. 49 Brief van 9 september 2020 van de verweerder, p. 4. Beslissing ten gronde 19/2021 - 30/33 103. Ten tijde van het Inspectieverslag vroeg de verweerder de toestemming van de website bezoeker voor het plaatsen van cookies door middel van de volgende cookiebanner: “Door verder gebruik te maken van deze website ga je akkoord met het plaatsen van cookies ”50. Zoals door de Inspectiedienst beschreven, volstond als toestemming dat de betrokkenen het venster sloten en verder surften. De Geschillenkamer oordeelt dat een dergelijke manier om de toestemming te verkrijgen niet voldoet aan de eisen van de AVG. Immers, de artikelen 4.11 juncto 7.1 AVG vereisen een ondubbelzinnige en specifieke toestemming. 51 104. Zoals uitgelegd door de EDPB, betekent het vereiste van een ondubbelzinnige en specifieke toestemming dat noch stilzwijgen, noch een gebrek aan actie/handeling in hoofde van de betrokkene noch het simpel gebruik van een dienst, kan worden beschouwd als een geldige toestemming52. De Geschillenkamer wijst ook op overweging 32 van de AVG, volgens dewelke een impliciete toestemming uit den boze is. 105. In het arrest Planet4953 oordeelde het Hof van Justitie dat het vooraf aanvinken van een vakje niet aangemerkt kan worden als een actieve toestemming: “ de eis van een „wilsuiting” van de betrokkene” verwijst “duidelijk naar een actieve en niet naar een passieve gedraging”. Toestemming door middel van een standaard aangevinkt selectievakje impliceert echter geen actieve gedraging van de gebruiker van een website”54. Ook het Hof verwijst daarbij naar overweging 32 van de AVG. 106. In dit arrest interpreteerde het Hof het feit dat de wilsuiting van artikel 2, onder h), van de richtlijn 95/46 “in die zin ‘specifiek’ moet zijn dat deze precies op de verwerking van de betrokken gegevens gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking heeft.” 107. Het Hof oordeelde ook dat deze uitleg zich des te meer opdrong in het licht van de AVG55, “aangezien hier een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene wordt vereist, in de vorm van een verklaring of een „ondubbelzinnige actieve handeling” die zijn toestemming voor een hem betreffende verwerking van persoonsgegevens weergeeft.”. 50 Verslag van de bevindingen en technische analyse, stuk 20, p. 20. “In deze context kan moeilijk aangenomen dat de term “toestemming” overeenkomt met de eisen van de AVG”, Verslag van de bevindingen en technische analyse, stuk 20, p. 20 52 “The use of pre-ticked opt-in boxes is invalid under the GDPR. Silence or inactivity on the part of the data subject, as well 51 as merely proceeding with a service cannot be regarded as an active indication of choice.”, Guidelines 5/2020 on consent under Regulation 2016/679, 4 mei 2020, § 79. 53 HvJEU, 1 oktober 2019, C-673/17, Planet49, ECLI:EU:C:2019:801, § 52. 54 Ibid, § 52. 55 Ibid, § 62. Beslissing ten gronde 19/2021 - 31/33 108. In lijn met dit arrest en met recente beslissingen van andere gegevensbeschermingsautoriteiten 56, oordeelt de Geschillenkamer dat de verweerder ten tijde van het Inspectieverslag geen geldige toestemming vroeg voor het verder surfen op de website, in de omstandigheden zoals in het Inspectieverslag beschreven, omdat de toestemming niet specifiek was, aangezien de gebruiker met één handeling toestemming gaf om informatie of diensten aangeboden op de website te gebruiken en om zijn persoonsgegevens via cookies te laten verwerken. 109. De Geschillenkamer stelt dus een inbreuk op artikel 7 juncto 4.11 AVG vast, maar beslist om geen sanctie uit te spreken, rekening houdend met het feit dat de verweerder zijn cookiebanner uit eigen beweging en sinds 8 december 2019 – dus binnen een redelijke termijn na het Planet49 arrest – heeft aangepast. De nieuwe cookiebanner gaat niet langer uit van een impliciete toestemming (“ door verder gebruik te maken van deze website”) maar geeft de keuze tussen “aanbevolen cookies aanvaarden” en “cookievoorkeuren aanpassen”57. 6. Het recht op een eerlijk proces en de beweerde schending van de algemene beginselen van behoorlijk bestuur 110. De verweerder beklaagt zich over onzorgvuldigheden in het Inspectieverslag, alsook over tegenstellingen tussen dit verslag en de brief van de Geschillenkamer van 23 maart 2020 waarin de Geschillenkamer de grieven van de Inspectiedienst aan de hand van bijkomende vragen meende te verduidelijken en waar gepast aan te vullen58. De verweerder betwist ook het feit dat de Geschillenkamer eigen vaststellingen maakte. Volgens verweerder berust de bevoegdheid om vaststellingen te maken enkel bij de Inspectiedienst. 111. In haar Beslissing 17/2020 heeft de Geschillenkamer de kern van haar bevoegdheid uitgelegd. 59 Het behoort tot haar taak dat zij als orgaan van de toezichthouder de feiten die haar worden voorgelegd kan kwalificeren en verder onderzoeken. De Geschillenkamer kan dus publiek beschikbare informatie of informatie die aan een groot aantal klanten wordt aangeboden gebruiken om daarover vragen te stellen. De Geschillenkamer meent dat een dergelijke uitbreiding van het debat met de rechten van de verdediging verenigbaar is voor zover het recht op tegenspraak verzekerd is60. 7. Sancties en maatregelen 56 CNIL, Délibération 2020-091 du 17 septembre 2020, art. 2, §27. Conclusie van de verweerder, p. 41. 58 Conclusie van de verweerder. 59 GK, beslissing ten gronde nr. 17/2020,28 april 2020 57 Beslissing ten gronde 19/2021 - 32/33 112. De Geschillenkamer is bevoegd om alle in artikel 100 WOG opgesomde sancties en maatregelen op te leggen. Gelet op de vastgestelde inbreuken heeft de Geschillenkamer bij het bepalen van de gepaste maatregel en sanctie in casu rekening gehouden de omstandigheden van de zaak, en besloten vanwege de beperkte ernst van de aanwijzingen van inbreuk en de bereidheid van verweerder deze op te heffen en geen geldboete op te leggen. 113. Tevens oordeelt de Geschillenkamer dat het gepast is om een berisping op te leggen wegens inbreuk op het recht van bezwaar met het oog op direct marketing (art. 21.2 AVG) juncto art 12.2 AVG, en meer bepaald het gebrek aan geconsolideerde bezwaarmogelijkheid in de periode tussen de inwerkingtreding van de AVG en 18 maart 2019. Hierbij acht de Geschillenkamer het van belang dat de verweerder niet uit eigen beweging in een geconsolideerde online uitschrijfmogelijkheid voorzag en de aanmaning van de Inspectiedienst afwachtte. De Geschillenkamer houdt echter rekening met het feit dat deze inbreuk ondertussen door de geconsolideerde uitschrijfknop opgelost is, en dit, nog voordat de Inspectiedienst zijn inspectieverslag aan de Geschillenkamer overmaakte. 114. Tevens stelt de Geschillenkamer beperkte inbreuken vast op de informatie en transparantieverplichtingen onder artikel 12.1, 12.2, 13 en 14 AVG met een impact op de uitoefening van de rechten inclusief het recht van bezwaar (21.2 AVG) (titel 3.4) en meer bepaald, het gebrek aan een duidelijke eerste laag synthesepagina m.b.t. de beschikbare privacy-informatie, die een gemakkelijke toegang zou bieden tot de concrete uitoefeningswijze van de rechten vanuit deze pagina, alsook de onduidelijke verhouding tussen de privacy-instellingen en het recht van bezwaar tegen direct marketing berichten doordat de privacy-instellingen op de website van de verweerder op een potentieel verwarrende manier worden beschreven. 115. Ook doet de Geschillenkamer aanbevelingen wat betreft het gebrek aan recht van bezwaar tegen verwerkingen gebaseerd op het gerechtvaardigd belang en die geen direct marketing uitmaken, het gebrek aan informatie m.b.t. de uitoefeningswijze van dit recht van bezwaar, en het verzuim om dit recht te faciliteren (art. 21.1 AVG juncto artikelen 12.1, 13 en 14 AVG) (titel 4.) 116. De Geschillenkamer oordeelt echter dat deze inbreuken niet van dien aard zijn dat daar een sanctie voor moet worden opgelegd en beveelt de buitenvervolgingstelling (artikel 100 § 1, 2 ° WOG). 117. Hierbij houdt de Geschillenkamer rekening met de inspanningen van de verweerder op de website om privacy-informatie aan te bieden, alsook de bereidwilligheid van de verweerder en zijn samenwerking in de procedure. De Geschillenkamer noemt in dit verband bijvoorbeeld het voorleggen van relevante stukken in aanvulling op de vaststellingen van de Inspectiedienst en als antwoord op de vragen van Beslissing ten gronde 19/2021 - 33/33 de Geschillenkamer in de context waar de Inspectiedienst geen vaststellingen in het klantgedeelte van de website heeft gemaakt. 118. De Geschillenkamer acht deze zaak vooral van belang als opportuniteit om bij wijze van beste praktijken aanbevelingen te doen rond bepaalde te nemen acties ter verhoging van de transparantie, vooral in de telecommunicatiesector. Hierbij draagt de Geschillenkamer bij aan de expliciete taak van toezichthoudende autoriteiten om de verwerkingsverantwoordelijken en de verwerkers beter bekend te maken met hun verplichtingen uit hoofde van de AVG, ingevolge artikel 57.1.
  8. b)van deze verordening. 119. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Gezien de motivering in deze beslissing naar de inhoud en de kenmerken van de website van de verweerder verwijst is het evenwel onmogelijk om de onrechtstreekse identificatie van de verweerder te vermijden, ook al zou zijn naam niet rechtstreeks worden bekendgemaakt. Derhalve oordeelt de Geschillenkamer dat de directe identificatie van de verweerder in deze beslissing hem niet meer nadeel zou brengen dan de indirecte identificatie. Daarom besluit de Geschillenkamer om de identificatiegegevens van de verweerder bekend te maken. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: o op grond van artikel 100, §1, 5° WOG, een berisping te formuleren ingevolge de inbreuk op art. 21.2 AVG juncto art. 12.2 AVG; o voor het overige op grond van artikel 100 § 2 1° WOG een buitenvervolginstelling te bevelen. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de Gegevensbeschermingsautoriteit als verweerder. Hielke Hijmans Voorzitter van de Geschillenkamer kennisgeving, bij het Marktenhof, met de

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.