← België

Beslissing ten gronde nr. 199/2025

1/35 Geschillenkamer Beslissing ten gronde 199/2025 van 27 november 2025 Deze beslissing werd gedeeltelijk vernietigd door het Marktenhof (2025/AR/2079) voor zover de Geschillenkamer Infobel NV gelast om de persoonsgegevens te wissen waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over een geldige rechtsgrond beschikt overeenkomstig 5.1.a), 6.1 en 24 AVG; gelast om alle ontvangers van de voornoemde persoonsgegevens in kennis te brengen van de onderhavige beslissing alsmede het voorgaande bevel, en te benadrukken dat de aangehaalde rechtsgrond voor de verwerkingen niet overeenstemt met de AVG; en een administratieve boete oplegt van 40.000,00 € wegens de inbreuken op artikelen 5.1.a), 6.1, en 24 AVG, voor wat betreft de onrechtmatige verwerking van persoonsgegevens. Gebruik makend van haar volle rechtsmacht heeft het Marktenhof Infobel NV veroordeeld tot betaling van een administratieve geldboete van 5.000,00 € wegens schendingen van de artikelen 5.1.a), 6.1 en 24 van de AVG. Dossiernummer : DOS-2025-01687 Betreft : De verkoop van persoonsgegevens voor direct marketingdoeleinden door een gegevensmakelaar De Geschillenkamer van de Gegevensbeschermingsautoriteit, Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: INFOBEL, met maatschappelijke zetel te Sint-Jobsesteenweg 506, 1180 Ukkel, met ondernemingsnummer 0453.604.761, vertegenwoordigd door Meester Marcel Joachimowicz, hierna “de verweerder” Beslissing ten gronde 199/2025 — 2/35 I. Feiten en procedure

  1. Op 18 oktober 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen Z1, Z2, Z3 en Infobel.
  2. De klacht betreft de verwerking van de persoonsgegevens van de klager door de verweerders, met als uiteindelijke doel het verzenden van direct marketing door Z1 naar de klager. Z1 verkreeg de betrokken persoonsgegevens via Z3, een media-agentschap gespecialiseerd in direct marketing. Z3 had op haar beurt deze gegevens ontvangen van Infobel (voorheen Kapitol), een commerciële gegevensmakelaar, die de gegevens oorspronkelijk had verkregen van Z4 (voorheen Z4).
  3. Op 25 oktober 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
  4. Op 11 maart 2024 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde.
  5. Op 11 maart 2024 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
  6. Op 12 maart 2024 verzoekt Infobel een wijziging van de proceduretaal naar het Frans en een uitstel van de conclusietermijnen.
  7. Op 18 maart 2024 geeft Z1 te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
  8. Op 25 maart 2024 verzoekt Z3 eveneens een wijziging van de proceduretaal naar het Frans en een uitstel van de conclusietermijnen.
  9. Op 27 maart 2024 stelt de Geschillenkamer aan de partijen voor dat iedere partij zijn conclusie in zijn eigen taal opstelt. Iedere partij staat dan zelf in voor de vertaling van de conclusies van de overige partijen. De uiteindelijke beslissing van de Geschillenkamer zal zowel in het Frans als in het Nederlands worden opgesteld. Voorts beslist de Geschillenkamer de termijnen met twee weken te verlengen, aangezien tot dit schrijven niet duidelijk was in welke taal de conclusies voor iedere partij konden worden ingediend.
  10. Op 28 maart 2024 verzoekt Z1 om afzonderlijke conclusietermijnen te voorzien voor Z1 enerzijds en Infobel en Z3 anderzijds.
  11. Op 3 april 2024 sluit Z3 zich aan bij het verzoek van Z1 om afzonderlijke conclusietermijnen te voorzien voor iedere verwerende partij. Beslissing ten gronde 199/2025 — 3/35
  12. Op 8 april 2024 oordeelt de Geschillenkamer dat het niet noodzakelijk is de conclusietermijnen op te splitsen. De verwerende partijen hebben immers de mogelijkheid om op elkaars conclusies te reageren in de syntheseconclusies, evenals tijdens de hoorzitting. Rekening houdend met de doorgifte van een kopie van het dossier aan de verweerders, past de Geschillenkamer de termijnen een laatste keer aan.
  13. Op 16 mei 2024 ontvangt de Geschillenkamer de conclusies van antwoord vanwege de verwerende partijen.
  14. Op 6 juni 2024 ontvangt de Geschillenkamer de conclusie van repliek van de klager.
  15. Op 27 juni 2024 ontvangt de Geschillenkamer de conclusies van dupliek van de verwerende partijen.
  16. Op 28 oktober 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 28 november
  17. Om de hoorzitting vlot te laten verlopen, verzoekt de Geschillenkamer de partijen in hun ontvangstbevestiging aan te geven of zij instemmen met een tweetalige hoorzitting in het Nederlands en Frans.
  18. Aangezien de Geschillenkamer geen bezwaar ontvangt met betrekking tot een tweetalige hoorzitting informeert zij de partijen op 19 november 2024 dat de hoorzitting tweetalig en zonder tolk zal plaatsvinden. De Geschillenkamer informeert de partijen dat zij, indien zij daartegen alsnog bezwaar willen maken, dit uiterlijk op 22 november 2024 kenbaar moeten maken.
  19. Op 26 november 2024 informeert de Geschillenkamer de partijen dat zij wegens overmacht de hoorzitting moet uitstellen naar 17 december
  21. Op 17 december 2024 worden de partijen gehoord door de Geschillenkamer.
  22. Op 3 januari 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
  23. Op 8 januari 2025 ontvangt de Geschillenkamer vanwege Infobel enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.
  24. Op 9 januari 2025 ontvangt de Geschillenkamer vanwege Z3 en Z1 enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.
  25. Op basis van de stukken in het dossier stelt de Geschillenkamer dat Z4 mogelijk derdebelanghebbende is in de zin van 108, § 3, lid 2 WOG, in verband met de mogelijke inbreuken door Infobel. Op 31 januari 2025 wordt Z4 per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens wordt zij op grond van artikel 98 WOG in kennis gesteld van de mogelijkheid om tussen te komen in de procedure. De Geschillenkamer informeert de overige partijen dat zij, bij de eventuele tussenkomst van Z4, de gelegenheid krijgen daarop te reageren. Beslissing ten gronde 199/2025 — 4/35
  26. Op 26 februari 2025 bevestigt Z4 haar tussenkomst als derde-belanghebbende in de procedure.
  27. Op 14 maart 2025 ontvangt de Geschillenkamer de conclusie van antwoord vanwege Z
  29. Op 18 maart 2025 ontvangt de Geschillenkamer de conclusie van repliek vanwege de klager.
  30. Op 31 maart 2025 meldt Z3 dat zij niet wenst te repliceren.
  31. Op 8 april 2025 ontvangt de Geschillenkamer de conclusie van dupliek vanwege Infobel.
  32. Op 9 april 2025 ontvangt de Geschillenkamer de conclusie van dupliek vanwege Z
  34. Op 24 april 2025 beslist de Geschillenkamer om het dossier te splitsen in twee afzonderlijke dossiers. Deze beslissing is ingegeven door, enerzijds, de noodzaak om de efficiëntie van de procedure te waarborgen aangezien meerdere verwerende partijen betrokken zijn, en anderzijds door het bestaan van wezenlijke verschillen in de aard van de gegevensverwerkingen die aan de respectieve verweerders ten laste worden gelegd. Terwijl de verwerkingen door Z1 en Z3 zich voornamelijk situeren binnen het kader van direct marketing, betreffen de verwerkingen door Infobel het verhandelen van gegevensbestanden. De Geschillenkamer informeert de partijen dat de klacht van de klager tegen Z1, Z2 en Z3 zal worden verdergezet met dossiernummer DOS-2023-
  35. De klacht van de klager tegen Infobel zal worden verdergezet met dossiernummer DOS-
  37. In DOS-2023-04302 neemt de Geschillenkamer Beslissing 77/
  38. Deze beslissing wordt op 29 april 2025 ter informatie verstuurd naar Infobel en Z
  40. De huidige beslissing betreft DOS-2025-01687, en is slechts gericht tegen Infobel.
  41. Op 15 mei 2025 beslist de Geschillenkamer om de partijen ambtshalve te horen. De partijen worden ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 25 juni
  42. Z4 wordt als derde-belanghebbende eveneens uitgenodigd naar de hoorzitting.
  43. Op 26 mei 2025 informeert Infobel de Geschillenkamer dat zij beroep heeft ingesteld tegen Beslissing 77/2025 in DOS-2023-
  44. Infobel verzoekt aan de Geschillenkamer om de hoorzitting in DOS-2025-01687 uit te stellen.
  45. Op 4 juni 2025 informeert de Geschillenkamer de partijen dat de hoorzitting in DOS-202501687 niet zal worden uitgesteld.
  46. Op 25 juni 2025 worden de partijen gehoord door de Geschillenkamer.
  47. Op 10 juli 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
  48. Op 24 juli 2025 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. Beslissing ten gronde 199/2025 — 5/35
  49. Op 26 september 2025 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt om over te gaan tot het opleggen van sancties, waaronder een administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd.
  50. Op 13 oktober 2025 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van sancties, waaronder een administratieve geldboete, alsmede het bedrag daarvan. II. Motivering II.
  51. Overzicht
  52. Voorafgaand aan de toetsing van de naleving van de wettelijke bepalingen, wordt de gegevensverwerking omschreven in deel II.2 van deze beslissing, waarin de rol en het standpunt van de derde belanghebbende ook worden toegelicht.
  53. Betreffende de vermeende inbreuken, toetst de Geschillenkamer de naleving van de artikelen die in de conclusiebrief van 11 maart 2024 werden vermeld. De Geschillenkamer informeerde de verweerder op deze datum dat de volgende mogelijke inbreuken op haar betrekking hadden: artikel 5.1.a) AVG j° artikel 6 AVG (onrechtmatig verkrijgen en verder verkopen van persoonsgegevens); artikel 24.1 AVG (controleren rechtmatigheid dataset); artikel 17 AVG (geen uitvoering aan een verzoek tot gegevenswissing).
  54. De eerste twee vermeende inbreuken worden samen behandeld in deel II.3 van deze beslissing. Artikel 24 AVG legt algemene verantwoordingsplichten en nalevingsvereisten op aan verwerkingsverantwoordelijken voor de verwerking van persoonsgegevens
  55. Het heeft een rechtstreekse invloed op de beoordeling van andere artikelen, waaronder artikel 5.1.a) en 6.1 AVG, waardoor het in dit geval passend is deze vermeende inbreuken samen te beoordelen.
  56. De derde vermeende inbreuk wordt behandeld in deel II.4 van deze beslissing. II.
  57. Beschrijving van de verwerking Toelichting van de verweerder
  58. De hoofdactiviteiten van de verweerder zijn, enerzijds, het gratis aanbieden van een telefoongidsdienst, en anderzijds het verkopen van gegevens voor historisch en statistisch Arrest van het Hof van Justitie van de Europese Unie van 27 oktober 2022, Z4 NV tegen Gegevensbeschermingsautoriteit, C-129/21, ECLI-EU:C:2022:833, punt 81 1 Beslissing ten gronde 199/2025 — 6/35 onderzoek of voor commerciële doeleinden
  59. Zij stelt dat persoonsgegevens de kern van haar commerciële activiteiten vormen
  61. In dit kader sloot de verweerder meerdere contracten met Z4 (voorheen “Z4”) die in deze procedure betrokken is als belanghebbende derde.
  62. De verweerder verwijst in haar syntheseconclusies naar de contracten “(…)

(2004)” en “(…) (18 november 2013)”. Zij stelt dat Z4 haar met deze contracten het recht verleende om toegang te krijgen tot en gebruik te maken van de (…)-database van Z4, en met name voor marketingdoeleinden binnen de grenzen en voorwaarden van genoemde overeenkomsten4. De verweerder verwijst naar artikel 2.
  1. a)van de overeenkomst (…), gewijzigd bij een aanvullende overeenkomst “(…)” van 18 juni 2018, waarin de “database (…)” wordt gedefinieerd als: "het geheel van namen, telefoonnummers en/of faxnummers en adressen van klanten (natuurlijke personen of rechtspersonen) die in België een telefoonaansluiting hebben bij Z4, en
  2. b)bij derde operatoren indien Z4 zowel met deze derde operatoren als met de Gebruiker passende overeenkomsten heeft gesloten. In alle gevallen, met uitzondering van:
  3. a)“Restrictelijst”-nummers;
  4. b)privénummers; met inbegrip van gegevensupdates...5". De derde belanghebbende partij, waarmee deze contracten werden afgesloten, spreekt deze interpretatie van de contracten tegen (zie hieronder). 48. De verweerder stelt in haar syntheseconclusies dat Z4 op 3 mei 2006 de volgende persoonsgegevens van de klager verstrekte: de voornaam, naam, straatnaam, huisnummer, postcode, stad, en de aanmaakdatum en bron van de gegevens. Dit gebeurde volgens de verweerder in het kader van de contracten “(…)” van 2004 en “(…)” van 20136. In haar reactie op de tussenkomst van de derde belanghebbende preciseert zij dat Z4 de persoonsgegevens van de klager verstrekte in het kader van de “Services Orders” van de Punt 1.1 van de syntheseconclusies van de verweerder: “Depuis près de 30 années, elle oeuvre d’une part à offrir gratuitement un service d’annuaire universel au citoyen belge, mais parallèlement et notamment afin de financer ce service universel et sa propre existence, elle travaille à la mise à disposition de données à des fins d’enquêtes, historiques, statistiques, ou encore à des fins commerciales. 2 Active dans tous les pays du monde, la concluante propose également de multiples solutions B2B dont une large gamme de produits et de services qui permettent d’améliorer, d’acquérir ou d’utiliser des données à des fins de publication, marketing, webvertising, etc.” Punt 1.2 van de syntheseconclusies van de verweerder: “Consciente que la donnée à caractère personnel est le coeur de son activité commerciale, elle en a fait le coeur de ses préoccupations quotidiennes.” 3 4 Punt 1.4 van de syntheseconclusies van de verweerder. Vrije vertaling van punt 1.4 syntheseconclusies verweerder en stuk 6 verweerder. Originele versie: “l’ensemble des noms, des numéros de téléphone et/ou numéros de fax et des adresses des clients (personne physique ou morale) disposant d’un raccordement téléphonique, en Belgique, auprès de Z4 et
  5. b)auprès d’opérateurs tiers dans le cas où Z4 a prévu des accords appropriés tant avec ces opérateurs tier qu’avec l’Utilisateur. Dans tous les cas, à l’exclusion de :
  6. a)des numéros « Restrictel »;
  7. b)des numéros privés; y inclus les Mises à jour des données…” 5 6 Punt 3.1 van de syntheseconclusies van de verweerder. Beslissing ten gronde 199/2025 — 7/35 wijziging N2 en 2/A “data Sales”, en deze gegevens slechts bijgewerkt werden in het kader van het (...) contract7. 49. Volgens de verweerder werden deze gegevens aan haar marketing database toegevoegd op basis van toestemming die de klager zou hebben gegeven aan Z4. De klager zou namelijk bij het afsluiten van een telefoonabonnement toestemming hebben gegeven voor het gebruik van zijn gegevens voor marketingdoeleinden8. De klager spreekt tegen dat hij toestemming zou hebben gegeven voor de verwerking van zijn persoonsgegevens door Infobel9. 50. De naam, voornaam en het adres van de klager werden door de verweerder doorverkocht aan een derde partij in het kader van een marketingcampagne per papieren post10. 51. Tijdens de hoorzitting op 25 juni 2025 stelt de DPO van Infobel dat de betrokken databank sinds 2023 niet meer door Infobel wordt gebruikt. Dit werd besloten op basis van juridische ontwikkelingen bij het Hof van Justitie van de EU die twijfels deden rijzen over de kwaliteit van de toestemming. Bovendien zouden de gegevens niet langer commercieel interessant zijn gebleven. Infobel stelt dat de gegevens werden verwijderd11. Toelichting van de derde belanghebbende (Z4): 52. Op 31 januari 2025 informeerde de Geschillenkamer de partijen dat Z4 mogelijke derdebelanghebbende was wiens belangen mogelijk kunnen worden geschaad door de procedure ten gronde (art. 108.3, 2de lid van de WOG). Z4 kreeg de gelegenheid om desgewenst tussen te komen in de procedure voor de Geschillenkamer. Zij bevestigde haar tussenkomst op 26 februari 2025. De Geschillenkamer ontving haar conclusies op 14 maart 2025. 53. Z4 is een telecomoperator. In het kader van haar activiteiten had zij een databank ontwikkeld met alle namen, telefoonnummers en/of faxnummers en adressen van haar klanten (natuurlijke of rechtspersonen) met een vaste telefoon- en/of faxaansluiting. 54. Z4 (destijds Z4) en de verweerder (destijds Kapitol) sloten oorspronkelijk overeenkomsten met het oog op het opstellen en publiceren van telefoongidsen door de verweerder. 55. Het “(...)-contract” en het “(…)-Contract” betreffen volgens Z4 afzonderlijke contractuele relaties met de verweerder. Volgens Z4 betreffen deze contracten, in tegenstelling tot wat de verweerder stelt, enkel het opvragen van gegevens door de verweerder, hetgeen vereist dat de opvragende partij (de verweerder) reeds over bepaalde gegevens beschikt12. Z4 7 Punt 3 van de reactie van de verweerder op de tussenkomst van de derde belanghebbende. 8 Punt 1.6 van de syntheseconclusies van de verweerder en de brief van de verweerder naar de klager van 12 oktober 2022 9 Conclusies van de klager tegen Infobel, pagina 1 10 Punt 1.5 (pagina 5-6) van de syntheseconclusies van de verweerder 11 PV van de hoorzitting van 25 juni 2025, pagina 5 12 Punt 22 van de conclusies van de derde belanghebbende Beslissing ten gronde 199/2025 — 8/35 merkt op dat de verweerder in paragraaf 1.6 van haar syntheseconclusies beweert dat zij de persoonsgegevens van de klager ontving op basis van het (...)-Contract. Zij stelt echter, op basis van het voorgaande, dat de verweerder toen al minstens één datapunt met betrekking tot de klager moest verwerken13. 56. Voorts merkt Z4 op dat de gegevens van de klager van 2006 dateren. Zij verwijst naar de richtsnoeren van de WP29 in april 2018, en onder andere naar passages als: “Het is belangrijk dat verwerkingsverantwoordelijken de bestaande werkprocessen en registratiemethodes vóór 25 mei 2018 nauwgezet evalueren om er zeker van te zijn dat de toestemming voldoet aan de standaard van de AVG (zie overweging 171 van de AVG)”. Volgens Z4 kan het enkel de verantwoordelijkheid van de verweerder zijn geweest om te evalueren of enige verwerking door Infobel van de persoonsgegevens van de klager vanaf 25 mei 2018, voldeed aan de vereisten van de AVG14. 57. Z4 stelt verder dat de verweerder zich niet kan beroepen op de toestemming die de klager gaf voor de publicatie van zijn gegevens in telefoongidsen. Zij verwijst in dat kader naar het arrest Proximus van het Hof van Justitie van de Europese Unie betreffende telefoongidsen, waarin het Hof bevestigde dat toestemming gegeven voor de publicatie van contactgegevens in telefoongidsen, geldt voor om het even welke aanbieder van telefoongidsen, maar dat niemand zich op een dergelijke toestemming mag beroepen om deze contactgegevens voor andere doeleinden te verwerken. Het Hof van Justitie oordeelde namelijk: “Indien de partij die de gegevens van de abonnee verzamelt of een derde aan wie de gegevens zijn doorgezonden, deze gegevens voor een ander doel wenst te gebruiken, moet daarentegen opnieuw de toestemming van de abonnee worden verkregen, hetzij door de partij die de gegevens oorspronkelijk heeft verzameld hetzij door de derde aan wie de gegevens zijn doorgezonden […]”15 58. Z4 stelt dat “enige verwerking door [de verweerder] naar aanleiding van het verkrijgen van persoonsgegevens onder het (...)-Contract of het (…)-Contract […] op een afzonderlijke rechtsgrond [dient] te rusten, zij het een andere toestemming (niet langer doelgebonden maar wel met identificatie van de verwerkingsverantwoordelijke) of een andere rechtsgrond […]16” Z4 stelt dat de verweerder in het huidige geval “nooit aan [haar] gevraagd [heeft] om enige toestemming te verkrijgen van haar klanten (laat staan, ex-klanten) voor de verwerking door [de verweerder] van persoonsgegevens om direct marketing doeleinden17.” 13 Punt 29 van de conclusies van de derde belanghebbende 14 Punten 30-34 van de conclusies van de derde belanghebbende 15 Hof van Justitie van de Europese Unie, 27 oktober 2022, Z4, C-129/21, Proximus, para. 50 16 Punt 39 van de conclusies van de derde belanghebbende 17 Punt 40 van de conclusies van de derde belanghebbende Beslissing ten gronde 199/2025 — 9/35 59. Bovendien stelt Z4 dat het (...)-Contract, noch het (…)-Contract, enige garantie bevat door Z4 dat de verkregen persoonsgegevens rechtmatig voor direct marketingdoeleinden verwerkt mogen worden18. II.3. Betreffende de vermeende inbreuken op artikel 5.1.
  8. a)AVG juncto artikel 6 AVG en artikel 24 AVG 60. Artikel 5.1.
  9. a)AVG bepaalt dat persoonsgegevens op een ten aanzien van de betrokkenen rechtmatige, behoorlijke en transparante wijze moeten worden verwerkt. Artikel 6.1 AVG bepaalt dat de verwerking van persoonsgegevens slechts rechtmatig is indien en voor zover deze rust op één van de in artikel 6.1.
  10. a)–
  11. f)AVG vastgelegde grondslagen. De verwerkingsverantwoordelijke dient voorafgaand aan de verwerking na te gaan of er wordt voldaan aan de voorwaarden van een van deze mogelijke grondslagen. Ten slotte moet de verwerkingsverantwoordelijke overeenkomstig artikel 24 AVG passende technische en organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. 61. In casu beroept de verweerder zich op artikel 6.1.
  12. a)AVG: “de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden”. Meer bepaald stelt de verweerder dat de persoonsgegevens van de klager werden toegevoegd aan haar marketingdatabank op basis van de toestemming die de klager zou hebben gegeven aan zijn telecomoperator19. De verweerder stelt dat de inhoud van de database (…) betrekking heeft op persoonsgegevens van telefoonabonnees die bij het afsluiten van een telefoonabonnement toestemming hebben gegeven voor het gebruik van hun gegevens voor marketingdoeleinden20. Om dit aan te tonen verwijst de verweerder naar stuk 13 van haar syntheseconclusies, waarin de algemene voorwaarden van Z4 (versie van 01/11/03) zijn opgenomen. De verweerder stelt dat de klager in 2006 toestemming zou hebben gegeven voor het doorgeven van zijn persoonsgegevens voor het doeleinde van direct marketing. Zij verwijst daarbij nogmaals naar de algemene voorwaarden van Z4 en stelt dat zij deze toestemming is blijven verifiëren. Tijdens de hoorzitting op 17 december 2024 herhaalt de verweerder dat de klager in 2006 zijn toestemming zou hebben gegeven voor het doorgeven van zijn persoonsgegevens voor het doeleinde van direct marketing21. De verweerder verwijst nogmaals naar de algemene voorwaarden van Z4 en dat zij de toestemming is blijven verifiëren22. Wanneer zij gevraagd 18 Punt 45 van de conclusies van de derde belanghebbende 19 Zie brief van de verweerder aan de klager op 12 oktober 2022 20 Syntheseconclusies verweerder, pagina 12 21 PV hoorzitting van 17 december 2024, pagina 5 Tijdens de hoorzitting van 25 juni 2025 verduidelijkt Infobel dat dit ging om een verificatie of de klager zich had afgemeld. Infobel gaat ook na of het telefoonnummer en adres steeds actueel zijn via Bpost, Experian en telecomoperators, en of de 22 Beslissing ten gronde 199/2025 — 10/35 wordt hoe deze verificatie plaatsvond, stelt de verweerder dat indien Z4 de gegevens overmaakte, zij daarmee bevestigde dat zij steeds de toestemming van de betrokkenen had om dit te doen23. 62. De DPO van Infobel stelde tijdens de hoorzitting op 27 juni 2025 voorts dat de ePrivacyrichtlijn bepaalt dat toestemming de enige rechtmatigheidsgrond is voor direct marketing. Dat betekent dat de toegang tot een database voor direct marketing gebaseerd moet zijn op die toestemming. Aangezien Z4 op de hoogte was van de door Infobel nagestreefde doeleinden, kon Infobel volgens haar DPO ervan uitgaan dat Z4 de nodige toestemming van de betrokken personen had verkregen. Indien dat niet het geval was geweest, zou de overeenkomst tussen Z4 en Infobel geen zin hebben gehad24. 63. De klager en de derde belanghebbende betwisten dat de verweerder zich kan beroepen op artikel 6.1.
  13. a)AVG. De klager zelf stelt dat hij nooit toestemming heeft gegeven aan Infobel voor de verwerking van zijn persoonsgegevens25. De derde belanghebbende stelt dat de verweerder zich niet kan beroepen op de toestemming die zij van de klager verkreeg voor de publicatie van zijn gegevens in telefoongidsen. Zij stelt dat “enige verwerking door [de verweerder] naar aanleiding van het verkrijgen van persoonsgegevens onder het (...)Contract of het (…)-Contract […] op een afzonderlijke rechtsgrond [dient] te rusten, zij het een andere toestemming (niet langer doelgebonden maar wel met identificatie van de verwerkingsverantwoordelijke) of een andere rechtsgrond […]26” Z4 stelt dat de verweerder in het huidige geval “nooit aan [haar] gevraagd [heeft] om enige toestemming te verkrijgen van haar klanten (laat staan, ex-klanten) voor de verwerking door [de verweerder] van persoonsgegevens om direct marketing doeleinden27.” Toetsing van de toestemming 64. Aangezien de verweerder zich beroept op artikel 6.1.
  14. a)AVG, dient de Geschillenkamer te toetsen of sprake is van een rechtsgeldige toestemming om de gegevens van de klager te verwerken. Toestemming wordt in artikel 4.11 AVG gedefinieerd als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”. 65. De Geschillenkamer zal geen andere mogelijke rechtsgronden in art. 6 AVG onderzoeken. Immers, de verwerkingsverantwoordelijke kan de toestemming niet voor andere betrokkene zich heeft aangemeld op een opt-out lijst zoals de Robinson lijst. Zie PV hoorzitting van 25 juni 2025, pagina 5 en opmerkingen van de verweerder van 24 juli 2025. 23 PV hoorzitting van 17 december 2024, pagina 5 24 PV hoorzitting van 25 juni 2025, pagina 4 25 Zie klacht en pagina 1 van de conclusies van de klager tegen de verweerder 26 Punt 39 van de conclusies van de derde belanghebbende 27 Punt 40 van de conclusies van de derde belanghebbende Beslissing ten gronde 199/2025 — 11/35 rechtsgronden verruilen wanneer problemen worden ondervonden of aan de orde worden gesteld met betrekking tot de geldigheid van de toestemming28. Wegens de verplichting de rechtsgrond te vermelden waarop de verwerkingsverantwoordelijke zich bij het verzamelen van persoonsgegevens baseert, moet hij alvorens te beginnen met verzamelen, hebben beslist wat de passende rechtsgrond hiervoor is29. Het Europees Comité voor gegevensbescherming (hierna: de EDPB) specifieert verder dat “Het doen voorkomen dat gegevens worden verwerkt op basis van toestemming, terwijl men zich in werkelijkheid op een andere rechtsgrond baseert, [wezenlijk oneerlijk zou] zijn ten aanzien van de betrokkenen”30. 66. De EDPB identificeert vier elementen die aanwezig moeten zijn voor geldige toestemming31: toestemming is
(1)vrij/vrijelijk gegeven;
(2)specifiek;
(3)op informatie berustende; en
(4)een ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt. 67. Artikel 7.1 AVG bepaalt dat “de verwerkingsverantwoordelijke [moet] kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.” Dit volgt ook uit artikel 24.1 AVG, op basis waarvan de verwerkingsverantwoordelijke moet “kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd.” In de volgende punten gaat de Geschillenkamer na of de verweerder aantoont dat de betrokkene toestemming heeft gegeven voor het verzamelen en doorverkopen van zijn gegevens door de verweerder voor doeleinden van direct marketing. Vrij/vrijelijk gegeven 68. Volgens de EDPB impliceert het element “vrij” werkelijke keuze en controle voor de betrokkenen. Als algemene regel schrijft de AVG voor dat als een betrokkene geen werkelijke keuze heeft, zich gedwongen voelt om toestemming te geven of het voor hem negatieve gevolgen zal hebben als hij niet toestemt, de toestemming niet geldig is32. 69. Artikel 7.4 AVG bepaalt dat bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, er “onder meer ten sterkste rekening [wordt] gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, 28 Zie bijvoorbeeld beslissingen 81/2020, 38/2021, 54/2023, 77/2023 en 109/2024 van de Geschillenkamer Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 123 29 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 122 30 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 11 31 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 13 32 Beslissing ten gronde 199/2025 — 12/35 toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.” Overweging 43 van de AVG specificeert dat de toestemming “wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is, of indien de uitvoering van een overeenkomst, daaronder begrepen het verlenen van een dienst, afhankelijk is van de toestemming ondanks het feit dat dergelijke toestemming niet noodzakelijk is voor die uitvoering”. De EDPB vat samen: “Indien toestemming is opgenomen als een nietonderhandelbaar onderdeel van de voorwaarden, wordt deze verondersteld niet vrijelijk te zijn verleend”33. 70. In het onderhavige geval verwijst de verweerder naar de algemene voorwaarden van Z4 (versie van 01/11/03)34, waaruit de toestemming van de klager zou volgen. Het doel van de uitvoering van de overeenkomst tussen Z4 en de klager was het verlenen van telefoniediensten. Er is geen sprake van een direct en objectief verband35 tussen de uitvoering van de overeenkomst tussen Z4 en de klager en het doorverkopen van de persoonsgegevens van de klager door de verweerder. 71. Op basis van het bovenstaande moet er overeenkomstig artikel 7.4 AVG worden verondersteld dat de toestemming ongeldig was. Artikel 7.4 AVG is niet op absolute wijze geformuleerd, waardoor er in “zeer” uitzonderlijke36 gevallen kan worden geoordeeld dat dergelijke conditionaliteit de toestemming niet ongeldig zou maken. Hoe dan ook ligt de bewijslast in artikel 7.4 bij de verwerkingsverantwoordelijke37. In casu heeft de verweerder niet aangetoond dat de toestemming van de klager niettemin vrijelijk zou zijn gegeven. De Geschillenkamer beschikt ook anderszins niet over elementen die een indicatie geven dat hier sprake zou kunnen zijn van een zeer uitzonderlijk geval. Specifiek 72. Volgens artikel 6.1.
  1. a)AVG, moet de toestemming van de betrokkene worden verleend met betrekking tot “een of meer specifieke” doeleinden, en dient een betrokkene een keuze te hebben ten aanzien van elk van deze doeleinden38. Volgens de EDPB moet de verwerkingsverantwoordelijke zorgen voor: Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 13 33 34 Syntheseconclusies verweerder, stuk 13 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 30 35 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 35 36 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 36 37 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 55 38 Beslissing ten gronde 199/2025 — 13/35 “
  2. i)specificatie van doeleinden als een bescherming tegen “function creep”,
  3. ii)granulariteit in toestemmingsverzoeken, en iii) een duidelijk onderscheid tussen informatie over het verkrijgen van toestemming voor verwerkingsactiviteiten en informatie over andere zaken39” 73. Betreffende i), de specificatie van doeleinden, verwijst de EDPB in haar richtsnoeren naar een advies van de Groep 29 over doelbinding, waarin het volgende werd gezegd: “Om deze redenen voldoet een doel dat vaag of algemeen is, zoals “verbetering van de gebruikerservaring”, “marketingdoeleinden”, doeleinden met betrekking tot IT-beveiliging, of “toekomstig onderzoek” – zonder meer informatie – meestal niet aan de criteria voor “specifiek”.40” 74. In de algemene voorwaarden van Z4 wordt er vermeld dat de persoonsgegevens “door Z4 op de markt [kunnen] worden gebracht, met uitzondering van de verkeers- en facturatiegegevens. Klanten die niet willen dat hun gegevens door Z4 worden gecommercialiseerd, kunnen echter op elk moment en door contact op te nemen met de lokale dienst van Z4, vragen om gratis te worden opgenomen op een speciale lijst, de zogenaamde ‘Restrictelijst’. Privé nummers worden automatisch opgenomen op de Restrictelijst41.” Hieruit volgt niet dat de verweerder, een partij die niet wordt vermeld in de algemene voorwaarden, voor haar eigen doeleinden, die evenmin worden vermeld, zich zou kunnen beroepen op deze zelfde toestemming. 75. Betreffende ii), de granulariteit in toestemmingsverzoeken, schrijft de EDPB dat indien de verwerkingsverantwoordelijke verschillende doeleinden voor verwerking heeft samengevoegd en niet heeft getracht om voor elk doel afzonderlijke toestemming te krijgen, er sprake is van een gebrek aan vrijheid42. Dit betekent dat een verwerkingsverantwoordelijke die toestemming wil krijgen voor een aantal verschillende doeleinden, voor elk doel een afzonderlijke opt-in moet aanbieden om gebruikers in staat te stellen om specifieke toestemming te verlenen voor specifieke doeleinden43. 76. In casu is er geen sprake van een afzonderlijke opt-in die werd aangeboden om betrokkenen in staat te stellen specifieke toestemming te geven voor specifieke Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 55 39 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 56 en voetnoot 40 Vrije vertaling: originele versie: “Les données précitées peuvent également être commercialisées par Z4, à l’exception des données de trafic et de facturation. Toutefois, les clients ne souhaitant pas que leurs données soient commercialisées par Z4 peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur une liste spéciale, dénommée « liste Restrictel ». Les numéros privés sont portés d’office sur la liste Restrictel.” 41 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 44 42 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 60 43 Beslissing ten gronde 199/2025 — 14/35 doeleinden, en met name niet voor het specifieke doeleinde van het doorverkopen van de persoonsgegevens voor direct marketing doeleinden door Infobel. 77. In conclusie heeft de verweerder geen begin van bewijs geleverd dat de klager specifiek toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens door de verweerder voor de doorverkoop voor marketingdoeleinden. Op informatie berustende 78. Voorts vereist de AVG dat toestemming geïnformeerd moet zijn. Opdat de betrokkene een geïnformeerde beslissing kan nemen, is het noodzakelijk om voorafgaand aan het verkrijgen van zijn toestemming informatie te verstrekken. Indien de verwerkingsverantwoordelijke geen toegankelijke informatie verstrekt, is toestemming een ongeldige grond voor verwerking44. 79. Overweging 42 AVG bepaalt dat, opdat toestemming met kennis van zaken wordt gegeven, “de betrokkene ten minste verwerkingsverantwoordelijke bekend [moet] en doeleinden de zijn met van de de identiteit van de verwerking van de persoonsgegevens.” 80. De EDPB is van mening dat ten minste de volgende informatie nodig is voor het verkrijgen van rechtmatige toestemming45: i. de identiteit van de verwerkingsverantwoordelijke46, ii. het doel van elk van de verwerkingen waarvoor toestemming wordt gevraagd47, iii. welk(
  4. e)(soort) gegevens worden verzameld en gebruikt48, iv. het bestaan van het recht om toestemming in te trekken49, v. informatie over het gebruik van de gegevens voor geautomatiseerde besluitvorming overeenkomstig artikel 22, lid 2, onder c), indien van toepassing50, en vi. informatie over de risico's van dergelijke doorgiften bij ontstentenis van een adequaatheidsbesluit en van passende waarborgen, zoals beschreven in artikel 46. Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 62 44 Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 64 45 Zie overweging 42 AVG: “Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene ten minste bekend zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens […]” 46 47 Ibidem 48 Zie ook WP29 Advies 15/2011 over de definitie van “toestemming” (WP 187), blz. 19-20 49 Zie artikel 7.3 AVG Zie ook WP29-richtsnoeren betreffende geautomatiseerde individuele besluitvorming en profilering in de zin van Verordening 2016/679 (WP251), paragraaf IV.B, blz. 20 e.v. 50 Beslissing ten gronde 199/2025 — 15/35 In het onderhavige geval is de informatie opgenomen in i. tot en met iv. van toepassing. 81. Om te beginnen met i. en ii., de voorwaarden die expliciet worden vermeld in Overweging 42, merkt de Geschillenkamer op dat de identiteit van Infobel nergens wordt vermeld in de algemene voorwaarden van Z4, en als gevolg ook niet het doel van haar verwerking van de persoonsgegevens. Overweging 42 AVG bepaalt nochtans duidelijk dat er slechts sprake kan zijn van geïnformeerde toestemming indien de betrokkenen ten minste bekend is met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens. De EDPB specificeert dat “ingeval meerdere (gezamenlijke) verwerkingsverantwoordelijken zich op de gevraagde toestemming willen baseren of als de gegevens zullen worden doorgegeven aan of verwerkt door andere verwerkingsverantwoordelijken die zich op de oorspronkelijke toestemming willen baseren, al deze organisaties moeten worden genoemd51.” 82. Uit de stukken blijkt nergens dat de klager op de hoogte was dat de verweerder op enig moment zijn gegevens zou verwerken, laat staan dat de klager voldoende op de hoogte was van de doeleinden waarvoor deze verwerking zou geschieden. Tijdens de hoorzitting op 17 december 2024 vraagt de Geschillenkamer aan de verweerder of de klager uitdrukkelijk op de hoogte werd gesteld van het feit dat Infobel zijn gegevens zou verwerken. De verweerder antwoordde dat er destijds geen melding werd gemaakt van de identiteit van Infobel. Om deze reden zou Infobel, rekening houdend met de nieuwe rechtspraak, het gebruik van de betrokken gegevens hebben stopgezet52. 83. De klager had onmogelijk kunnen weten op basis van de algemene voorwaarden van Z4 dat de verweerder zijn gegevens zou verwerken met als doeleinde de commercialisering van zijn gegevens voor direct marketing. In de algemene voorwaarden staat dat Z4 zelf de gegevens op de markt kan brengen53, maar dit strekt niet tot de verdere commercialisering ervan door de verweerder. 84. Betreffende iii. en iv. , merkt de Geschillenkamer op dat de klager deels geïnformeerd werd. In de algemene voorwaarden van Z4 wordt opgenomen welke persoonsgegevens van de klager zouden worden verwerkt, en op pagina 12 van de algemene voorwaarden wordt opgenomen dat de klanten kunnen vragen aan Z4 om op een lijst te staan (“liste Restrictel”) indien zij niet wensen dat hun gegevens gecommercialiseerd worden door Z454. Aangezien Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 65 51 PV hoorzitting van 17 december 2024, pagina 5 52 Originele versie waarover de Geschillenkamer beschikt: “Les données précitées peuvent également être commercialisées par Z4, à l’exception des données de trafic et de facturation. Toutefois, les clients ne souhaitant pas que leurs données soient commercialisées par Z4 peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur une liste spéciale, dénommée « liste Restrictel ». Les numéros privés sont portés d’office sur la liste Restrictel.” 53 Originele versie waarover de Geschillenkamer beschikt: “Toutefois, les clients ne souhaitant pas que leurs données soient commercialisées par Z4 peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur une liste spéciale, dénommée « liste Restrictel ». 54 Beslissing ten gronde 199/2025 — 16/35 de klager niet wordt geïnformeerd over de verwerking van zijn persoonsgegevens door Infobel, kan hij echter onmogelijk weten dat hij rechtstreeks bij Infobel zijn toestemming kan intrekken voor de verwerking van zijn persoonsgegevens door Infobel. 85. In conclusie heeft de verweerder niet aangetoond dat de klager geïnformeerde toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens door de verweerder voor de doorverkoop voor marketingdoeleinden. Ondubbelzinnige wilsuiting door middel van een verklaring of een ondubbelzinnige actieve handeling 86. Artikel 4.11 AVG bepaalt dat toestemming moet worden gegeven “door middel van een verklaring of een ondubbelzinnige actieve handeling”. Overweging 32 AVG specificeert dat toestemming moet worden gegeven door middel van een “duidelijke actieve handeling”, en noemt enkele voorbeelden: “een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, […] het klikken op een vakje bij een bezoek aan een internetwebsite, het selecteren van technische instellingen voor diensten van de informatiemaatschappij…”. Daarentegen bepaalt overweging 32 dat “Stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” niet als toestemming mag gelden. 87. In het onderhavige geval wordt er in de algemene voorwaarden van Z4 vermeld dat de persoonsgegevens “door Z4 op de markt [kunnen] worden gebracht, met uitzondering van de verkeers- en facturatiegegevens. Klanten die niet willen dat hun gegevens door Z4 worden gecommercialiseerd, kunnen echter op elk moment en door contact op te nemen met de lokale dienst van Z4, vragen om gratis te worden opgenomen op een speciale lijst, de zogenaamde ‘Restrictelijst’. Privé nummers worden automatisch opgenomen op de Restrictelijst55.” 88. Tijdens de hoorzitting op 17 december 2024 vroeg de Geschillenkamer aan de verweerder of de toestemming die de klager zou in 2006 zou hebben gegeven geen “opt-out” was. De verweerder antwoordde dat “het geen ‘opt-out’ betrof, maar een ‘opt-in’, die wellicht te breed was, maar zeker conform in zijn tijd”56. 89. De Geschillenkamer oordeelt dat de bovenstaande bepaling van de algemene voorwaarden van Z4 duidelijk een zogenoemde “opt-out” is, en dus niet kan gelden als toestemming. Bij stilzwijgen van de betrokkene wordt namelijk zijn toestemming verondersteld. Overweging 32 AVG bepaalt duidelijk dat “Stilzwijgen, het gebruik van reeds aangekruiste vakjes of Vrije vertaling: originele versie: “Les données précitées peuvent également être commercialisées par Z4, à l’exception des données de trafic et de facturation. Toutefois, les clients ne souhaitant pas que leurs données soient commercialisées par Z4 peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur une liste spéciale, dénommée « liste Restrictel ». Les numéros privés sont portés d’office sur la liste Restrictel.” 55 Vrije vertaling uit het Frans. Franse versie uit PV van de hoorzitting, met aanpassingen van de verweerder op 8 januari 2025: “M. (…) demande si le consentement donné par le plaignant en 2006 n'était pas un "opt-out". M. (…) répond qu'il ne s'agissait pas d'un "opt-out", mais d'un "opt-in", peut-être trop large, mais certainement conforme en son temps. Il ajoute que néanmoins, Infobel S.A. a reçu la confirmation de Z4 en 2018 et 2020 que le plaignant aurait renouvelé son consentement.” 56 Beslissing ten gronde 199/2025 — 17/35 inactiviteit” niet als toestemming mag gelden”. Voorts verwijst de Geschillenkamer naar de volgende paragraaf in de richtsnoeren van de EDPB: “Een verwerkingsverantwoordelijke moet zich er ook van bewust zijn dat toestemming niet kan worden verkregen door middel van dezelfde handeling als die voor het instemmen met een overeenkomst of het aanvaarden van algemene voorwaarden van een dienst. Allesomvattende aanvaarding van algemene voorwaarden kan niet worden beschouwd als een duidelijke actieve handeling waarmee toestemming wordt gegeven voor het gebruik van persoonsgegevens57.” 90. Aldus staat buiten twijfel dat de toestemming van de klager niet geldig kon worden verkregen via de algemene voorwaarden van Z4. 91. Betreffende artikel 24 AVG 92. De AVG bepaalt in artikel 7.1 dat de verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens58. De bewijslast rust op de verwerkingsverantwoordelijke59. Deze bepaling wordt weerspiegeld in artikel 24.1 op basis waarvan de verwerkingsverantwoordelijke een algemene plicht heeft om passende technische en organisatorische maatregelen te treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. 93. De Geschillenkamer herinnert eraan dat het louter verwijzen naar verklaringen en contractuele afspraken met andere partijen (in casu, de derde belanghebbende) niet volstaat. Overeenkomstig artikel 24 AVG en artikel 7.1 AVG is de verwerkingsverantwoordelijke zelf verplicht om te kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. De bewijslast rust op de verweerder. Het behoort niet tot de bevoegdheden van de Geschillenkamer om te oordelen over contractuele disputen tussen de verweerder en de derde belanghebbende, met name betreffende het (contractuele) recht van de verweerder om de betrokken gegevens door te verkopen voor direct marketingdoeleinden. In de onderhavige beslissing onderzoekt zij louter of de verweerder haar verplichtingen in de AVG is nagekomen. De verweerder is als verwerkingsverantwoordelijke op basis van artikel 24 AVG verplicht om dit zelf te kunnen aantonen, zoals hierboven reeds werd toegelicht. Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 81 57 58 Zie ook Overweging 42: “Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. Zie ook Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 104 59 Beslissing ten gronde 199/2025 — 18/35 94. De Geschillenkamer gaf de verweerder dan ook meermaals ruim de mogelijkheid om aan te tonen dat de klager geldige toestemming had gegeven. Tijdens de hoorzitting op 25 juni 2025 kreeg de verweerder nogmaals een kans om dit aan te tonen. De Geschillenkamer benadrukte het belang hiervan in haar uitnodiging naar deze hoorzitting, waarin zij de volgende paragraaf opnam: “Tijdens de hoorzitting zal Infobel in het bijzonder de gelegenheid krijgen om aan te tonen dat zij de persoonsgegevens van de klager (en van de andere betrokkenen in dezelfde databank) verwerkt heeft op basis van een geldige rechtsgrond, zoals vereist op grond van artikel 6 AVG. De Geschillenkamer merkt op dat Infobel heeft verwezen naar een veronderstelde toestemming die de klager voor het eerst gaf in 2006, en dat Infobel S.A. dit daarna is blijven verifiëren. Infobel zou in 2018 en 2020 bevestiging hebben ontvangen van Z4 dat de klager zijn toestemming zou hebben vernieuwd. Infobel wordt nadrukkelijk uitgenodigd om concrete, verifieerbare bewijzen van deze (oorspronkelijke en herhaalde) toestemming voor te leggen tijdens de hoorzitting, in overeenstemming met de verantwoordingsplicht (artikel 5.2 AVG).” 95. Tijdens deze hoorzitting vroeg de Geschillenkamer dan ook nadrukkelijk aan de verweerder of zij over een document beschikt waarmee zij de opt-in toestemming van de klager uit 2006 of recenter kan aantonen. Infobel antwoordde dat het 19 jaar geleden is sinds 2006 en dat de bewaartermijn 5 jaar is. Wat het bewijs betreft, stelde Infobel dat zij facturen kan tonen van de raadpleging van de database (…). De Geschillenkamer vroeg of het enkele feit dat de klager in de database (…) staat, voor Infobel betekent dat de klager een “opt-in” toestemming heeft gegeven. Infobel bevestigde dat de database aangeeft dat, als iemand erin staat, deze persoon nog steeds akkoord gaat met het gebruik van zijn gegevens voor marketingdoeleinden. Z4 benadrukte echter dat de contracten geen enkele garantie bieden dat Infobel de gegevens kon verwerken zoals Infobel heeft gedaan60. 96. Bovendien stelt de verweerder dat zij, naast de vermeende toestemming van 2006, ook in 2018 en 2020 bevestiging zou hebben ontvangen van Z4 dat de klager zijn toestemming zou hebben vernieuwd. De Geschillenkamer merkt op dat Z4 dit betwist61, en dat Infobel geen enkel stuk voorlegt om deze stelling te bewijzen. 97. In conclusie, de verweerder legde gedurende de hele procedure voor de Geschillenkamer geen enkel stuk voor waaruit blijkt dat de klager op enig moment zijn toestemming heeft gegeven voor de betreffende gegevens verwerking. Uit geen enkel stuk blijkt zelfs dat de klager op de hoogte was van het feit dat de verweerder zijn persoonsgegevens verwerkte, 60 PV hoorzitting van 25 juni 2025, pagina 6 61 Punt 57 van de conclusies van de derde belanghebbende Beslissing ten gronde 199/2025 — 19/35 totdat hij zijn recht van inzage uitoefende bij de uiteindelijke verzender van direct marketing. 98. De Geschillenkamer oordeelt dat de verweerder niet aantoont dat de klager via een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting zijn toestemming heeft verleend aan de verweerder om zijn gegevens te verwerken met het doel ze te verkopen voor marketingdoeleinden. Aldus heeft de verweerder inbreuk gemaakt op artikel 5.1.
  5. a)AVG juncto artikel 6 AVG en artikel 24 AVG. II.4. Betreffende de vermeende inbreuk op artikel 17 AVG 99. Artikel 17.1 AVG verleent de betrokkene het recht op wissing van persoonsgegevens, en verplicht de verwerkingsverantwoordelijke deze persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de gevallen in artikel 17.1.
  6. a)–
  7. f)AVG van toepassing is. 100. De klager verzocht op 4 november 2022 aan de verweerder om zijn persoonsgegevens te wissen. Hij verwees naar de gronden opgenomen in artikel 17.1.
  8. b)en 17.1.
  9. c)AVG: “
  10. b)de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
  11. c)de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2” 101. Op 12 oktober 2022 schrijft de verweerder een brief naar de klager. In deze brief antwoordt de verweerder zowel op het verzoek van inzage van de klager als op het verzoek van gegevenswissing. Betreffende het verzoek tot gegevenswissing, schrijft de verweerder dat zij het nodige heeft gedaan om de gegevens van de klager “uit het marketingbestand te verwijderen op 11/10/2022”. 102. Op 7 november 2022 bevestigt de verweerder nogmaals aan de klager dat de gegevens verwijderd zijn uit het marketingbestand. 103. De verweerder stelt in haar conclusies dat zij de gegevens van de klager op 11 oktober 2022 heeft verwijderd van haar databank van marketing gegevens. 104. De Geschillenkamer oordeelt dat er geen inbreuk op artikel 17 AVG kan worden vastgesteld. III. Over de corrigerende maatregelen en straffen Beslissing ten gronde 199/2025 — 20/35 105. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. III.1. Corrigerende maatregelen 106. De Geschillenkamer oordeelde dat de verweerder inbreuk maakte op artikel 5.1.
  12. a)AVG juncto artikel 6 AVG en artikel 24 AVG door niet aan te tonen dat de klager via een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting zijn toestemming heeft verleend aan de verweerder om zijn gegevens te verwerken met het doel ze te verkopen voor marketingdoeleinden. 107. De Geschillenkamer beslist, ten eerste, om de verweerder krachtens artikel 58.2.
  13. g)AVG alsmede artikel 100, § 1, 10° van de WOG, de verwijdering te bevelen van Beslissing ten gronde 199/2025 — 21/35 persoonsgegevens waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over een geldige rechtsgrond beschikt overeenkomstig artikelen 5.1.a), 6.1 en 5.2 AVG. Overeenkomstig Art. 108, § 1, derde lid WOG is dit bevel niet uitvoerbaar bij voorraad. 108. Voorts beslist de Geschillenkamer om de verweerder krachtens 58.2.
  14. g)AVG alsmede artikel 100, § 1, 10° van de WOG te gelasten om alle ontvangers van de voornoemde persoonsgegevens in kennis te brengen van het voorgaande bevel alsmede de onderhavige beslissing, en te benadrukken dat de aangehaalde rechtsgrond voor de verwerkingen niet overeenstemt met de AVG. 109. Deze bevelen zijn noodzakelijk om de onrechtmatige verwerking van persoonsgegevens stop te zetten. III.2. Administratieve geldboete 110. Naast de corrigerende maatregelen, beslist de Geschillenkamer tot het opleggen van een administratieve geldboete met het oog op een krachtige handhaving van de regels van de AVG. Zoals duidelijk blijkt uit overweging 148 AVG62, stelt de AVG immers voorop dat bij elke inbreuk — dus ook bij een eerste vaststelling van een inbreuk — straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd. 111. De Geschillenkamer wijst er ook op dat het haar soevereine verantwoordelijkheid als onafhankelijke administratieve autoriteit is — met inachtneming van de relevante artikelen van de AVG en de WOG — om de passende corrigerende maatregelen en sancties vast te stellen. Dit volgt uit artikel 83 AVG zelf, maar ook het Marktenhof heeft in haar rechtspraak het bestaan van een ruime discretionaire bevoegdheid van de Geschillenkamer benadrukt aangaande de keuze van de sanctie en de omvang ervan, zoals onder meer in zijn arresten van 7 juli 2021 en 6 september 202363. 112. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2.
  15. i)AVG. Het instrument van Overweging 148 AVG bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.” 62 Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2021/AR/320, pp. 37-47; Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2020/AR/1160, p. 34. 63 Beslissing ten gronde 199/2025 — 22/35 administratieve boete heeft geenszins tot doel inbreuken te beëindigen; daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, § 1, 8° en 9° WOG. 113. In haar arrest Deutsche Wohnen oordeelde het Hof van Justitie van de EU dat slechts een administratieve geldboete kan worden opgelegd indien vaststaat dat de verwerkingsverantwoordelijke opzettelijk of uit nalatigheid de betrokken inbreuk heeft begaan64. De huidige beslissing houdt hiermee rekening in randnummer 124. 114. Artikel 83 AVG schrijft de factoren voor waarmee voor elk concreet geval rekening moet worden gehouden bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan. De Geschillenkamer houdt met name rekening met de zwaarte van de inbreuken, de duur van de inbreuken, en het nodige afschrikwekkende effect om toekomstige inbreuken te vermijden. Om te vermijden dat de beoordeling van elke factor herhaald wordt, verwijst de Geschillenkamer naar de beoordeling hieronder, waarin het opleggen van een administratieve geldboete en de hoogte ervan samen worden behandeld. 115. Om in elk geval een doeltreffende, evenredige en afschrikkende boete op te leggen, wordt van de toezichthoudende autoriteiten verwacht dat ze de administratieve boetes aanpassen en daarbij binnen de marge blijven die in de EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (Versie 2.1, Vastgesteld op 24 mei 2023) is voorzien. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van de boete, afhankelijk van de omstandigheden van de zaak. De toepassing van deze Richtsnoeren is noodzakelijk om de coherentie van de toepassing van de AVG te waarborgen. Overeenkomstig de EDPB Richtsnoeren worden administratieve geldboeten voor inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen65. Deze vijf stappen worden in de volgende paragrafen systematisch doorlopen. De Geschillenkamer herinnert eraan dat zij niet verplicht is criteria te onderzoeken die niet van toepassing zijn66. III.2.1. Samenloop van inbreuken en de toepassing van artikel 83.3 AVG 116. Ter herinnering, de Geschillenkamer beslist een geldboete op te leggen wegens een inbreuk op artikel 5.1.
  16. a)AVG juncto artikel 6 en artikel 24 AVG, doordat de verweerder niet aantoonde dat de klager via een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting zijn toestemming heeft verleend aan de verweerder om zijn gegevens te verwerken met het doel ze te verkopen voor marketingdoeleinden. 64 Zie arrest van het Hof van Justitie van de Europese Unie C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78. EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), p. 9 65 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), punt 6 66 Beslissing ten gronde 199/2025 — 23/35 117. De Geschillenkamer oordeelt dat de inbreuken op deze afzonderlijke artikelen van de AVG als één enkele inbreuk dienen te worden beschouwd. De bepalingen waarop de inbreuken werden gemaakt streven namelijk doelen na die onlosmakelijk met elkaar verbonden zijn (het beginsel van rechtmatigheid, de voorwaarden van rechtmatigheid, en de verantwoordelijkheid van de verwerkingsverantwoordelijke om te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd). 118. Samenvattend oordeelt de Geschillenkamer in casu dat zij één enkele geldboete dient op te leggen. III.2.2. Uitgangsbedrag voor de berekening 119. De berekening van administratieve geldboeten begint bij een geharmoniseerd uitgangsbedrag op basis van de richtsnoeren 04/2022 van de EDPB67. Hierbij wordt rekening gehouden met de indeling van inbreuken volgens hun aard op grond van artikel 83, leden 4 tot en met 6, AVG, de zwaarte van de inbreuk en de omzet van de onderneming. Indeling van de inbreuk volgens zijn aard op grond van artikel 83, leden 4 tot en met 6 AVG 120. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die strafbaar zijn onder artikel 83.4 AVG enerzijds en de inbreuken die strafbaar zijn onder artikel 83.5 en 83.6 AVG anderzijds. Op de eerste categorie inbreuken staat een maximumboete van 10 000 000 EUR of 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een boete van maximaal 20 000 000 EUR of 4 % van de van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 121. Voor de inbreuk op artikelen 5.1.
  17. a)AVG juncto artikel 6 en artikel 24 AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
  18. a)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 122. Aangezien de hogere boete van toepassing is, overeenkomstig artikel 83.5.
  19. a)AVG, kan de Geschillenkamer een administratieve boete opleggen van maximaal 20 000 000 EUR of maximaal 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit hoger is. Zwaarte van de inbreuk: EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), p. 18. 67 Beslissing ten gronde 199/2025 — 24/35 123. Artikel 83.2.
  20. a)AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard van de inbreuk merkt de Geschillenkamer op dat het beginsel van rechtmatigheid (artikel 5.1.
  21. a)en 6 AVG) een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd wordt. Het wordt eveneens opgenomen in artikel 8.2 van het Handvest van de Grondrechten van de Europese Unie. Inbreuken op dit kernbeginsel vormen derhalve zwaarwegende inbreuken. Met betrekking tot de ernst van de inbreuk merkt de Geschillenkamer op dat de litigieuze verwerking plaatsvond in het kader van de zakelijke activiteiten van de verweerder. Deze laatste specialiseert zich in het beschikbaar stellen van gegevens tegen betaling. Bovendien merkt de Geschillenkamer op dat de verwerking omvangrijk is, aangezien het minstens de persoonsgegevens van alle klanten van Z4 betreft (met uitzondering van privénummers en “restrictie” nummers) ten tijde van de verzameling van de persoonsgegevens68. Wegens deze redenen moet de inbreuk ernstiger beoordeeld worden. Betreffende de duur van de inbreuk, merkt de Geschillenkamer op dat Infobel stelt dat zij de gegevens in 2006 verzamelde en tot 2023 verwerkte69. De Geschillenkamer concludeert dat de gegevensinbreuk reeds meerdere jaren duurt. 124. Artikel 83.2.
  22. b)AVG – De opzettelijke of nalatige aard van de inbreuk: In casu is er volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de verweerder om met opzet artikelen 5.1.a), 6.1 en 24 AVG te overtreden door ongeldig beroep te maken op artikel 6.1.
  23. a)AVG als rechtsgrond, doch minstens sprake van een ernstige nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU70. De AVG bepaalt duidelijk dat “de verwerkingsverantwoordelijke [moet] kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens” en dat de verwerkingsverantwoordelijke moet “kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd.” Ondanks het feit dat de verweerder deze persoonsgegevens verwerkte in het kader van haar professionele activiteiten, waarbij de verwerking van persoonsgegevens de kernactiviteit uitmaakt, leverde zij geen begin van bewijs van een “vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de [klager] door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”. Bovendien merkt de Geschillenkamer op dat de verweerder, naast de bepalingen van de AVG, zich sinds 2020 ook kon beroepen op Richtsnoeren van de EDPB inzake de toestemming om na te gaan of zij al haar verplichtingen naleefde71. De Geschillenkamer is dan ook van oordeel dat de verweerder op de hoogte had moeten zijn 68 Stuk 5 van de conclusies van de verweerder, pagina 1. 69 Syntheseconclusies van de verweerder en PV van de hoorzitting van 25 juni 2025. 70 Zie arrest Hof van Justitie van de Europese Unie C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78. 71 Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 (Versie 1.1, Vastgesteld op 4 mei 2020). Beslissing ten gronde 199/2025 — 25/35 dat zij zich in casu niet kon beroepen op een rechtsgeldige toestemming van de betrokkenen in het onderhavige geval om hun gegevens te verwerken. 125. Artikel 83.2.
  24. g)AVG – De categorieën van persoonsgegevens waarop de inbreuk betrekking heeft: De litigieuze verwerking betreft de voornaam, naam, straatnaam, huisnummer, postcode, stad, en de aanmaakdatum en bron van de gegevens van de betrokkenen. Hoewel dergelijke persoonsgegevens prima facie niet van gevoelige of bijzondere aard zijn, oordeelt de Geschillenkamer dat zij niettemin behoren tot categorieën van persoonsgegevens waarvan betrokkenen doorgaans niet redelijkerwijs zouden verwachten dat die onrechtstreeks door derden worden verzameld en verwerkt. Dit categorie wordt als neutraal beoordeeld. 126. Op basis van een beoordeling van de bovenstaande factoren wordt de zwaarte van de inbreuk bepaald. De Geschillenkamer neemt in aanmerking dat het een ernstige, omvangrijke en langdurige inbreuk betreft van een fundamenteel beginsel van de AVG in het kader van de kernactiviteit van de verweerder, die met ernstige nalatigheid werd gepleegd. De Geschillenkamer concludeert dat het gaat om een inbreuk van gemiddelde zwaarte. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer het uitgangsbedrag voor de verdere berekening vaststellen op een punt tussen de 10 en 20 % van het toepasselijke wettelijke maximumbedrag72. Aangezien de verweerder de inbreuk pleegde uit nalatigheid, en dit niet klaarblijkelijk met opzet deed, beslist de Geschillenkamer om het uitgangsbedrag te verlagen. 127. De Geschillenkamer zal het uitgangsbedrag voor de verdere berekening vaststellen op 15 % van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. De omzet van de verweerder als relevant element om rekening mee te houden met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige geldboete op grond van artikel 83.1 AVG 128. Overeenkomstig artikel 83.1 AVG dient de Geschillenkamer ervoor te zorgen dat de administratieve geldboeten die worden opgelegd doeltreffend, evenredig en afschrikkend zijn. Aldus laat zij ook in de uitgangsbedragen een onderscheid naar de omvang van de onderneming tot uiting komen. 129. Artikelen 83.4 tot 83.6 AVG bepalen dat de totale wereldwijde jaaromzet van het voorgaande boekjaar moet worden gebruikt voor de berekening van de administratieve geldboete. Hieromtrent geldt dat de term “voorgaande” in overeenstemming met de rechtspraak van het Hof van Justitie in het mededingingsrecht geïnterpreteerd moet EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), par 60. 72 Beslissing ten gronde 199/2025 — 26/35 worden, zodat de relevante gebeurtenis voor de berekening het boetebesluit van de toezichthoudende autoriteit is, en niet het tijdstip van de gesanctioneerde overtreding73. 130. Bij haar schrijven van 13 oktober 2025, heeft de verweerder de Geschillenkamer meegedeeld dat haar jaaromzet van het boekjaar 2024 een bedrag van 5 946 608 EUR bedroeg. 131. De Geschillenkamer stelt vast dat 4% van de jaaromzet van het voorgaande boekjaar 237 864,32 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 83.5 AVG tot 20 000 000 EUR. 132. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG stelde de Geschillenkamer het uitgangsbedrag voor de verdere berekening vast op 15 % van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een uitgangsbedrag van 3 000 000 EUR. 133. Overeenkomstig de Richtsnoeren van de EDPB74, kan de Geschillenkamer voor ondernemingen met een jaaromzet van 2 miljoen EUR tot 10 miljoen EUR overwegen om de berekening voort te zetten op basis van een bedrag tussen de 0,3 en 2 % van het vastgestelde uitgangsbedrag. De Geschillenkamer besluit dat dit in casu gepast is. 134. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG wordt het uitgangsbedrag van 3 000 000 EUR verlaagd naar 45 000 EUR (1,5 % van het uitgangsbedrag). III.2.3. Verzwarende en verzachtende omstandigheden 135. Volgens de AVG moet de toezichthoudende autoriteit, nadat zij een beoordeling heeft gemaakt van de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard van de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (zie hierboven), rekening houden met de overige verzwarende en verzachtende factoren zoals genoemd in artikel 83.2 AVG75. a. Artikel 83.2.
  25. c)AVG – De door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken: De Geschillenkamer houdt rekening met het feit dat de verweerder tijdens de hoorzitting op 25 juni 2023 stelde dat de betrokken databank sinds 2023 niet meer wordt gebruikt en dat de gegevens werden verwijderd, onder andere op basis van juridische overwegingen die twijfels deden rijzen over de kwaliteit van de toestemming. Dit wordt als een verzachtende omstandigheid beoordeeld. EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), randnummer 131. 73 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), randnummer 65. 74 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), randnummer 70. 75 Beslissing ten gronde 199/2025 — 27/35 b. Artikel 83.2.
  26. d)AVG – De mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32: Niet van toepassing. c. Artikel 83.2.
  27. e)AVG – Eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker: De Geschillenkamer houdt rekening met het gegeven dat de verweerder niet schuldig werd verklaard aan eerdere overtredingen op de AVG. Deze factor kan dus als neutraal worden beschouwd. d. Artikel 83.2.
  28. f)AVG – De mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken: De Geschillenkamer merkt op dat de verweerder zich coöperatief heeft opgesteld ten opzichte van haar. Overeenkomstig de richtsnoeren van de EDPB beschouwt de Geschillenkamer de gewone verplichting tot samenwerking als neutraal gelet op de algemene verplichting tot medewerking ex artikel 31 AVG. e. Artikel 83.2.
  29. h)AVG – De wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld: Niet van toepassing. f. Artikel 83.2.
  30. i)AVG – De naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen: Niet van toepassing. g. Artikel 83.2.
  31. j)AVG – Het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42: Niet van toepassing. h. Artikel 83.2.
  32. k)AVG – Elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien: De verweerder maakte gedurende een periode van meerdere jaren financiële winst door het verwerken van persoonsgegevens zonder een geldige rechtsgrond, hetgeen als een verzwarende omstandigheid wordt beoordeeld. 136. De Geschillenkamer neemt in aanmerking dat de verweerder tijdens de hoorzitting op 25 juni 2025 stelde dat de betrokken databank sinds 2023 niet meer wordt gebruikt en dat de gegevens werden verwijderd, onder andere op basis van juridische overwegingen die twijfels deden rijzen over de kwaliteit van de toestemming. Dit wordt als een verzachtende omstandigheid beoordeeld. De Geschillenkamer beslist om het boetebedrag met 10 000 EUR te verlagen naar 35 000 EUR. 137. De Geschillenkamer stelt echter ook vast dat de verweerder gedurende een periode van meerdere jaren financiële winst maakte door het verwerken van persoonsgegevens zonder een geldige rechtsgrond, hetgeen als een verzwarende omstandigheid wordt beoordeeld. De Geschillenkamer beslist om het boetebedrag voor deze inbreuk met 5 000 EUR te verhogen naar 40 000 EUR. 138. De Geschillenkamer concludeert dat geen overige omstandigheid zodanig relevant is dat het meegerekend dient te worden als een verzwarende of verzachtende omstandigheid. Het Beslissing ten gronde 199/2025 — 28/35 staat de verweerder vrij om hierop te reageren, en in het bijzonder om relevante informatie te verstrekken waarvan de Geschillenkamer nog geen kennis heeft mogen nemen III.2.4. Afstemming met maximumbedragen 139. Het maximumbedrag voor de boete in het onderhavige geval werd hierboven reeds berekend. Deze bedraagt overeenkomstig artikel 83.5.
  33. a)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 140. Bij haar schrijven van 13 oktober 2025, heeft de verweerder de Geschillenkamer meegedeeld dat haar jaaromzet van het boekjaar 2024 een bedrag van 5 946 608 EUR bedroeg. 141. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4 % van de brutomarge in het voorgaande boekjaar 237 864,32 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 83.5 AVG tot 20 000 000 EUR. 142. In casu bedraagt de geldboete 40 000 EUR, hetgeen ruim onder de maximale boete van 20 000 000 EUR is. III.2.5. Doeltreffendheid, evenredigheid en afschrikkend effect Doeltreffendheid 143. Overweging 148 AVG benadrukt dat administratieve geldboeten moeten worden opgelegd “[m]et het oog op een krachtiger handhaving van de regels van deze verordening”. De opgelegde geldboete moet daarom hoog genoeg zijn om deze doelstelling te verwezenlijken. 144. De Geschillenkamer overweegt dat de geldboete van 40 000 EUR geschikt is om de fundamentele beginselen waarop inbreuk werd gemaakt krachtig te handhaven. Evenredigheid 145. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde geldboete evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van met name de ernst ervan. 146. In casu werd de betreffende inbreuk als van gemiddelde zwaarte beoordeeld. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer, bij inbreuken van gemiddelde zwaarte, het uitgangsbedrag voor de verdere berekening vast te stellen Beslissing ten gronde 199/2025 — 29/35 op een punt tussen de 10 en 20 % van het toepasselijke wettelijke maximumbedrag76. De Geschillenkamer merkt op dat de inbreuk langdurig en omvangrijk was, en dat het met ernstige nalatigheid werd gepleegd. Daarom stelde de Geschillenkamer het uitgangsbedrag voor de verdere berekening vast op 15 % van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. 147. De Geschillenkamer houdt ook rekening met de omzet van de verweerder, waardoor zij slechts 1,5 % van het uitgangsbedrag gebruikte voor de berekening van de boete (zie hierboven). De Geschillenkamer nodigde de verweerder uit om overeenkomstig randnummer 140 van Richtsnoeren 04/2022 van de EDPB informatie te verstrekken indien zij van oordeel is dat de onderhavige boete haar levensvatbaarheid onherroepelijk in gevaar zou brengen. Aangezien de verweerder dit niet deed, begrijpt de Geschillenkamer dat dit niet het geval is. 148. Bovendien heeft de Geschillenkamer beslist om de boete met 10 000 EUR te verlagen dankzij de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken. 149. De Geschillenkamer oordeelt dat de boete evenredig is. Afschrikkend effect 150. Bij het opleggen van een geldboete houdt de Geschillenkamer rekening met zowel de specifieke als de algemene afschrikking. Een geldboete is afschrikkend wanneer de boete een particulier ervan weerhoudt om de in het EU-recht opgenomen doelstellingen en regelingen te schenden. 151. Het afschrikkende karakter van de boete moet twee dimensies hebben. Het moet de persoon aan wie de boete wordt opgelegd ervan weerhouden de inbreuk in de toekomst te herhalen, maar het moet ook andere personen ervan weerhouden het inbreukmakende gedrag van de eerste persoon te herhalen. De Geschillenkamer moet derhalve geenszins de “minst belastende maatregel” kiezen maar is er integendeel toe gehouden een sanctie vast te stellen die voldoende “belastend” is om aan de vereisten van artikel 83.1 AVG te voldoen. 152. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen als dat op basis van objectieve redenen de meest passende sanctie blijkt te zijn. 153. De Geschillenkamer verwijst naar randnummers 144 tot en met 148 van deze beslissing waarin zij de proportionaliteit van de administratieve geldboete onderzoekt. De minder EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), par 60. 76 Beslissing ten gronde 199/2025 — 30/35 dwingende maatregelen die volgens de verweerder dienen te worden overwogen zijn een waarschuwing of een berisping. Aangezien een waarschuwing gericht is naar de toekomst, en de Geschillenkamer oordeelt dat er in het onderhavige geval een inbreuk werd gepleegd, is het niet van toepassing. Betreffende de mogelijkheid om een berisping uit te spreken, merkt de Geschillenkamer op dat dit niet doeltreffend, evenredig of afschrikkend zou zijn in het onderhavige geval. Zoals opgemerkt in randnummer 136 van deze beslissing, heeft de verweerder jarenlang financiële winst gemaakt op basis van een onrechtmatige verwerking van persoonsgegevens. Een administratieve geldboete is de enige passende maatregel om te vermijden dat dergelijke praktijken commercieel onaantrekkelijk zijn, en aldus een afschrikwekkend effect kan bekomen. Voor dezelfde reden zou de vermindering van het bedrag van de geldboete naar 0 EUR of naar 1 symbolische EUR zou een miskenning van artikel 83.1 AVG zijn, aangezien dit onmogelijk kan voldoen aan de vereisten dat een administratieve geldboete “doeltreffend, evenredig en afschrikkend” is. 154. De sanctie heeft als doel de inbreukpleger ervan te weerhouden dezelfde inbreuk nogmaals te plegen (specifieke afschrikking) en anderen ervan te weerhouden in de toekomst dezelfde inbreuk te plegen (algemene afschrikking). De Geschillenkamer moet bij het bepalen van de sanctie rekening houden met beide aspecten.77 Het staat buiten kijf dat een berisping of waarschuwing minder afschrikkend en derhalve minder doeltreffend is als sanctie dan een geldboete. Het Marktenhof heeft in dit verband geoordeeld dat “Het opleggen van geldboetes verhoogt ontegensprekelijk de draagkracht en impact van een beslissing van de Geschillenkamer ten opzichte van een eenvoudige berisping of waarschuwing. Het komt toe aan de Geschillenkamer zelf om daarin een keuze te maken en die beslissing afdoende te motiveren […]”78 155. De verweerder voert daarna een middel met drie onderdelen aan, op basis waarvan de administratieve geldboete volgens haar verwijderd of verminderd moet worden. 156. Ten eerste voert de verweerder aan dat er geen inbreuk wegens nalatigheid was. De verweerder stelt dat de ongeldigheid van de toestemming waarop haar verwerking van persoonsgegevens was gebaseerd, niet neerkomt op haar nalatigheid, wat een schending van de AVG zou betekenen, maar hoogstens op een contractuele fout van Z4, die de persoonsgegevens aan haar heeft verkocht. Volgens de verweerder is er hoogstens sprake van “onoplettendheid”. De Geschillenkamer volgt dit standpunt niet, en oordeelde in randnummer 123 van deze beslissing dat er minstens sprake is van een ernstige nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU.79 De AVG bepaalt duidelijk dat “de verwerkingsverantwoordelijke [moet] kunnen 77 Europees Comité voor Gegevensbescherming, Richtsnoeren 4/2022, randnr. 142. 78 Brussel (Marktenhof), 20 december 2023, 2023/AR/817, randnr. 64 79 Zie arrest Hof van Justitie van de Europese Unie C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78. Beslissing ten gronde 199/2025 — 31/35 aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens” en dat de verwerkingsverantwoordelijke moet “kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd.” Ondanks het feit dat de verweerder deze persoonsgegevens verwerkte in het kader van haar professionele activiteiten, waarbij de verwerking van persoonsgegevens de kernactiviteit uitmaakt, leverde zij geen begin van bewijs van een “vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de [klager] door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”. Bovendien merkt de Geschillenkamer op dat de verweerder, naast de bepalingen van de AVG, zich sinds 2020 ook kon beroepen op Richtsnoeren van de EDPB inzake de toestemming om na te gaan of zij al haar verplichtingen naleefde80. De Geschillenkamer is dan ook van oordeel dat de verweerder op de hoogte had moeten zijn dat zij zich in casu niet kon beroepen op een rechtsgeldige toestemming van de betrokkenen in het onderhavige geval om hun gegevens te verwerken. De verweerder kan in ieder geval niet stellen dat Z4 verantwoordelijk was voor de inbreuk, aangezien de verweerder als verwerkingsverantwoordelijke zelf verantwoordelijk is om aan te kunnen tonen dat zij de gegevens verwerkt op basis van een geldige rechtsgrond. 157. Ten tweede voert de verweerder aan dat er geen risico was, of dat deze risico verwaarloosbaar was. Om dit te ondersteunen, voert de verweerder aan dat de betrokken gegevens online, in papieren en in elektronische gidsen beschikbaar zijn. Volgens de verweerder lijkt het duidelijk dat gegevens die zo gemakkelijk beschikbaar zijn, door derden kunnen worden verzameld en verwerkt met inachtneming van de bepalingen van de AVG. Voorts stelt de verweerder dat als zij de gegevens niet had gekocht van Z4, die de gegevens verzamelde op basis van toestemming, zij haar eigen verwerking van diezelfde gegevens zou hebben kunnen baseren op een gerechtvaardigd belang. Dit zou, volgens de verweerder, een verzachtende omstandigheid zijn. De Geschillenkamer aanvaardt deze argumenten niet. Het feit dat de gegevens niet van bijzonder gevoelige aard zijn, en hypothetisch beschikbaar zijn op openbare bronnen, heeft niet als gevolg dat de klager had kunnen verwachten dat zij doorverkocht zouden worden aan derde partijen. Het hypothetische scenario waarin de verweerder de gegevens niet van Z4 zou hebben gekocht, maar via een andere bron zou hebben verzameld, kan ook niet worden aanvaard omdat het hypothetisch is. De Geschillenkamer handhaaft haar oorspronkelijke beoordeling van de factor in artikel 83.2.
  34. g)AVG als neutraal. 158. Ten derde voert de verweerder aan dat haar houding tegenover de Gegevensbeschermingsautoriteit rechtvaardigt dat de boete verlaagt moet worden naar 9 000 EUR. De verweerder stelt namelijk dat het feit dat zij zich medewerkend heeft 80 Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 (Versie 1.1, Vastgesteld op 4 mei 2020). Beslissing ten gronde 199/2025 — 32/35 opgesteld tegenover de Gegevensbeschermingsautoriteit als een verzachtende omstandigheid moet worden beoordeeld en een vermindering van de boete met 31 000 EUR (77.5%) rechtvaardigt. Zoals reeds eerder opgemerkt beschouwt de Geschillenkamer de gewone verplichting tot samenwerking als neutraal gelet op de algemene verplichting tot medewerking in artikel 31 AVG. De naleving van een wettelijke verplichting kan niet op zichzelf beschouwd worden als een verzachtende omstandigheid. Bovendien herinnert de Geschillenkamer eraan dat zij de boete verlaagt met 10 000 EUR omdat de verweerder besloot de betrokken gegevens te verwijderen. 159. Uiterst subsidiair verzoekt de verweerder dat de Geschillenkamer 0,3% van het uitgangsbedrag van 3 000 000 euro aanhoudt, wat neerkomt op een bedrag van 9 000 EUR, hetgeen de verweerder bereid zou zijn te aanvaarden. De Geschillenkamer verwijst in dit verband naar randnummer 127 en volgende van deze beslissing, waarin zij rekening houdt met de omzet van de verweerder als relevant element. De Geschillenkamer herinnert eraan dat zij het uitgangsbedrag voor de berekening van de geldboete vast stelde op 15 % van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG, hetgeen in casu leidt tot een uitgangsbedrag van 3 000 000 EUR. Overeenkomstig de Richtsnoeren van de EDPB81, kan de Geschillenkamer voor ondernemingen met een jaaromzet van 2 miljoen EUR tot 10 miljoen EUR overwegen om de berekening voort te zetten op basis van een bedrag tussen de 0,3 en 2 % van het vastgestelde uitgangsbedrag. Aangezien de jaaromzet van de verweerder van het boekjaar 2024 een bedrag van 5 946 608 EUR bedroeg, beslist de Geschillenkamer dat dit in casu gepast is, hetgeen leidde tot het aangepaste bedrag van 45 000 EUR (1,5 % van het uitgangsbedrag). De Geschillenkamer oordeelt een verlaging van het uitgangsbedrag naar 0,3% in plaats van 1,5% niet overeenkomt met de jaaromzet van de verweerder, hetgeen ruim over de 2 miljoen EUR is (5 946 608 EUR). Bovendien dient deze verlaging ervoor te zorgen dat de geldboete betaalbaar is voor de verweerder zonder haar voorbestaan in het gedrang te brengen. De Geschillenkamer nodigde de verweerder uit om informatie te verstrekken indien zij van mening was dat de geldboete haar economische levensvatbaarheid onherstelbaar in gevaar zou brengen. Aangezien de verweerder dit niet heeft gedaan, begrijpt de Geschillenkamer dat dit niet het geval is, en dat deze verdere verlaging disproportioneel zou zijn. Aldus oordeelt zij dat de verlaging van de boete tot 1,5% van het uitgangsbedrag ruim voldoende is om de boete betaalbaar te maken rekening houdend met de omzet van de verweerder. 160. De Geschillenkamer merkt op dat de verweerder zich niet verzet tegen de verlaging van de boete met 10 000 EUR wegens de verwijdering van de betreffende gegevens, noch tegen de verhoging van de boete met 5 000 EUR wegens het feit dat zij gedurende een periode EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), randnummer 65. 81 Beslissing ten gronde 199/2025 — 33/35 van meerdere jaren financiële winst maakte door het verwerken van persoonsgegevens zonder een geldige rechtsgrond. Betreffende de overige maatregelen 161. Voorts stelt de verweerder dat zij de betrokkenen niet kan informeren aangezien de betreffende gegevens verwijderd werden. De Geschillenkamer heeft geen voornemen kenbaar gemaakt om dit te bevelen aan de verweerder. Zij heeft de verweerder echter wel ingelicht dat zij voornemens was om de verweerder op grond van artikel 100, § 1, 10° van de WOG te gelasten om alle ontvangers van de voornoemde persoonsgegevens in kennis te brengen van de onderhavige beslissing alsmede het voorgaande bevel, en te benadrukken dat de aangehaalde rechtsgrond voor de verwerkingen niet overeenstemt met de AVG. 162. Overigens merkt de Geschillenkamer op dat de verweerder op basis van artikel 105 WOG stelt dat feiten verjaren vijf jaar na het plegen ervan. De Geschillenkamer verwijst echter naar hetzelfde artikel waar bepaald wordt dat de verjaring wordt gestuit door daden van onderzoek of vervolging, zoals in casu het geval is. III.2.6. Besluit 163. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de omstandigheden eigen aan deze zaak, acht de Geschillenkamer het passend om - de verweerder op grond van artikel 100, § 1, 10° van de WOG, de verwijdering te bevelen van persoonsgegevens waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over een geldige rechtsgrond beschikt overeenkomstig 5.1.a), 6.1 en 24 AVG; - de verweerder op grond van artikel 100, § 1, 10° van de WOG te gelasten om alle ontvangers van de voornoemde persoonsgegevens in kennis te brengen van de onderhavige beslissing alsmede het voorgaande bevel, en te benadrukken dat de aangehaalde rechtsgrond voor de verwerkingen niet overeenstemt met de AVG; - Krachtens artikel 58.2.
  35. i)AVG alsmede artikel 100, § 1, 13° WOG juncto 101 WOG, een administratieve geldboete ter hoogte van 40 000 EUR EUR op te leggen aan de verweerder wegens de inbreuken op artikelen 5.1.a), 6.1, en 24 AVG, voor wat betreft de onrechtmatige verwerking van persoonsgegevens. IV. Publicatie van de beslissing 164. De verweerder verzoekt dat de Geschillenkamer haar identificatiegegevens niet opneemt in de beslissing die op de website van de GBA zal worden gepubliceerd, aangezien dit de “vereiste” en toegekende anonimiteit van de partijen in de zaak met referentienummer DOS2023-04302 in gevaar zou kunnen brengen. Beslissing ten gronde 199/2025 — 35/35 Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten82. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.83, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Directeur van de Geschillenkamer Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 82 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd. 83

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.