Beslissing ten gronde nr. 200/2025

1/33 Geschillenkamer Beslissing ten gronde 200/2025 van 28 november 2025 Dossiernummers : DOS-2021-01940 en DOS-2021-04314 Betreft : Klacht over verzoek tot inzage en de grondslag voor de verwerking bij een sollicitatieprocedure De Geschillenkamer van de Gegevensbeschermingsautoriteit; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerders : Y1, vertegenwoordigd door Meesters Frederic Debusseré en Ruben Roex, hierna “de eerste verweerder” Y2, vertegenwoordigd door Meesters Yves Vandendriessche en Bram Baert, hierna “de tweede verweerder” Beslissing ten gronde 200/2025 - 2/33 I. Feiten en procedure 1. De klager was van 1 juni 2005 tot en met 14 november 2016 tewerkgesteld bij de eerste verweerder, Y1 (hierna ‘Y1’). Bij zijn ontslag sloten de klager en Y1 een dadingsovereenkomst die onder meer bepaalde dat Y1, haar management en haar aangestelden zich zouden onthouden van publieke negatieve commentaren over de klager, onder meer ten aanzien van toekomstige werkgevers. 2. Op 6 juli 2020 ontvangt Y1 een aangetekende brief waarin de klager beweert dat Y1 de dadingsovereenkomst zou hebben geschonden. De klager verwijst daarbij naar een e-mail van 2 juli 2020 die hij had ontvangen van de tweede verweerder, de vzw Y2 (hierna ‘Y2’), bij wie hij solliciteerde op 26 juni 2020. In voormelde e-mail deelt een personeelslid van Y2 de klager mee dat hij niet weerhouden wordt als kandidaat in de selectieprocedure. Daarbij wordt onder meer verwezen naar een contactopname met een manager van Y1: “Na ons gesprek van vorige week heb ik uw referenties nagegaan bij […] Y1. […]. De manager van Y1 gaf aan dat er twijfel was en u ook geen ervaring heeft met leiding geven. Op basis van deze info hebben wij beslist u niet te weerhouden voor de verdere selectieprocedure.”. De klager is derhalve van oordeel dat Y2 hem niet heeft aangeworven op basis van de door Y1 verstrekte informatie. 3. Op 8 juli 2020 ontvangt Y1 een e-mail van de klager waarin hij stelt dat de doorgifte van zijn persoonsgegevens aan Y2 in het kader van de referentiecheck een verwerking van persoonsgegevens uitmaakt waarvoor Y1 als verwerkingsverantwoordelijke moet worden beschouwd. De klager verzoekt Y1 tevens om informatie te verschaffen omtrent de verwerking van zijn persoonsgegevens en om een kopie te ontvangen van alle hem betreffende persoonsgegevens waarover zij beschikt, daarbij respectievelijk verwijzend naar artikelen 15.1 en 15.3 AVG. Tot slot vraagt de klager uitdrukkelijk naar de rechtsgrond zoals bedoeld in artikel 6.1 AVG waarop Y1 zich beroept voor de verwerking van zijn persoonsgegevens. 4. Op 9 juli 2020 laat Y1 per e-mail en telefonisch aan de klager weten dat een bijzondere gevolmachtigde werd aangesteld om met hem in overleg te treden. 5. Op 13 juli 2020 vindt, op vraag van de klager, buiten de kantoren van Y1 een gesprek plaats tussen de gevolmachtigde en de klager, waarbij wordt overeengekomen dat er een nieuw voorstel van dading door Y1 zal worden opgemaakt. Op 29 juli 2020 bezorgt Y1 een ontwerp van aangepaste dadingsovereenkomst aan de klager. Bij e-mail van 3 augustus 2020 bevestigt de klager het ontwerp te hebben doorgenomen en hierover overleg te willen plegen. Daaropvolgend trachten de klager en Y1 een datum vast te leggen. 6. In afwachting van een akkoord omtrent de datum voor het geplande overleg, geeft Y1 op 7 augustus 2020 gevolg aan het inzageverzoek van de klager. Y1 verstrekt daarbij evenwel Beslissing ten gronde 200/2025 - 3/33 slechts algemene informatie met betrekking tot de verwerking van persoonsgegevens binnen de onderneming. Y1 voegt geen kopie van de persoonsgegevens toe zoals bedoeld in artikel 15.3 AVG, maar verzoekt de klager om zijn inzageverzoek nader toe te lichten teneinde beter te kunnen beoordelen op welke persoonsgegevens en op welke verwerkingsactiviteiten het verzoek betrekking heeft. Daarnaast stelt Y1 nieuwe tijdstippen voor ten behoeve van verder overleg over het ontwerp van de dadingsovereenkomst. 7. Y1 voert aan dat er op 26 augustus 2020 een nieuw overlegmoment heeft plaatsgevonden, tijdens welk de klager te kennen gaf niet akkoord te gaan met het dadingvoorstel, reden waarom hij een eigen voorstel aan Y1 zou bezorgen. Deze bewering wordt niet betwist door de klager. 8. Op 8 september 2020 stelt de klager Y1 formeel in gebreke wegens het niet-naleven van haar verplichtingen uit hoofde van de artikelen 6.1, 15.1 en 15.3 AVG, alsmede wegens de overschrijding van de in artikel 12, lid 3 en lid 4 AVG vastgestelde termijnen voor het beantwoorden van zijn inzageverzoek en verzoek tot kopie van zijn persoonsgegevens. De klager voert nogmaals aan dat Y1 op 2 juli 2020, evenals tussen 8 juli en 29 juli 2020, zijn persoonsgegevens heeft gedeeld met derden, waardoor hij schade heeft geleden. De klager verduidelijkt dat hij een adequaat antwoord verwacht op de door hem gestelde vragen in zijn initiële verzoek van 8 juli 2020, en verzoekt tevens een volledige kopie van alle hem betreffende persoonsgegevens die in het bezit zijn van Y1, met inbegrip van alle rapporteringen en aanwervingsdocumenten die zij verkregen heeft ten tijde van zijn aanwerving, zoals onder andere zijn CV en de beoordeling van het rekruteringsbureau. 9. Op 28 september 2020 antwoordt Y1 bij brief van haar raadslieden op de ingebrekestelling, waarin zij de beweerde niet-naleving van voormelde AVG-artikelen in zijn geheel ontkent. Zij herhaalt dat zij het recht heeft de klager te vragen zijn inzageverzoek nader te specifiëren, opdat zij er een passend gevolg aan kan geven. 10. Op 22 oktober 2020 herhaalt de klager bij brief van zijn raadsman zijn aantijgingen jegens Y1 omtrent het laattijdige en onvoldoende antwoord op zijn inzageverzoek van 8 juli 2020. Hij wijst Y1 erop dat hij zijn inzageverzoek niet hoeft te specifiëren, en drukt opnieuw zijn wens uit om een kopie te krijgen van alle gegevens die in het bezit zijn van Y1. 11. Op 3 november 2020 herhaalt Y1 bij brief van haar raadslieden nogmaals haar standpunten. Op 26 januari 2021 herhaalt de klager bij brief van zijn raadsman alsnog zijn aantijgingen en verzoeken. 12. Bij gebrek aan nadere toelichting bij het inzageverzoek bezorgt Y1 de klager op 18 februari 2021 de persoonsgegevens “waarvan [zij] redelijkerwijze kon vermoeden dat ze betrekking hebben op zijn verzoek”. Y1 gaat ervan uit dat zij met het verschaffen van deze informatie Beslissing ten gronde 200/2025 - 4/33 volledig heeft voldaan aan de verplichtingen uit hoofde van artikel 15.3 AVG. Aan de overige verplichtingen uit artikel 15 AVG werd volgens Y1 reeds voldaan. 13. Gezien de klager zich niet kan verzoenen met de door Y1 verstrekte informatie en kopie en meent dat deze onvolledig zijn, dient hij op 24 maart 2021 via diens toenmalige raadsheer een klacht in bij de Gegevensbeschermingsautoriteit tegen Y1 (eerste verweerder). De klager is van oordeel dat Y1 niet over een geldige grondslag beschikt om zijn persoonsgegevens te verwerken, zowel tijdens als na afloop van de arbeidsovereenkomst, in overtreding van artikel 6.1 AVG, alsook dat Y1 zijn recht van inzage (art. 15 AVG) heeft geschonden door hem onvolledige informatie te bezorgen na het verstrijken van de termijn voorzien in artikel 12.3 AVG. Verder stelt de klager dat Y1 zijn rechten op rectificatie (art. 16 AVG), op verwijdering van zijn persoonsgegevens (art. 17 AVG), op beperking (art. 18 AVG) en op bezwaar (art. 21 AVG) heeft geschonden. Tot slot beweert de klager dat Y1 niet heeft voldaan aan de beginselen van rechtmatigheid, behoorlijkheid en transparantie (art. 5.1.

1. a)AVG juncto art. 12.1 AVG en 13 AVG), doelbinding (art. 5.1.
2. b)AVG), minimale gegevensverwerking (art. 5.1.
3. c)AVG) en juistheid (art. 5.1.
4. d)AVG) ten aanzien van zijn persoonsgegevens. 14. Op 13 april 2021 wordt de klacht tegen Y1 door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 15. Op 21 april 2021 ontvangt de Eerstelijnsdienst een schrijven van de raadsheren van Y1 waarin zij de aantijgingen in de klacht weerleggen en haar verzoeken om alsnog tussen de partijen te bemiddelen. Tevens benadrukken de raadsheren van Y1 hun vermoeden “dat de uitoefening van zijn rechten onder AVG enkel een manier is voor de heer om zijn onderhandelingspositie voor het sluiten van een nieuwe dading te verbeteren en om een schadevergoeding te bekomen naar aanleiding van een (beweerde) schending van voormelde dading”. 16. Op 18 mei 2021 dient de klager via diens toenmalige raadsheer per aangetekende zending tevens een klacht in bij de Gegevensbeschermingsautoriteit tegen Y2 (tweede verweerder). Het voorwerp van de klacht betreft het nalaten tijdig gevolg te geven aan een verzoek tot inzage (art. 12 juncto 15 AVG), alsmede het ontbreken van een geldige grondslag (art. 6 AVG) voor de verzameling van persoonsgegevens van de klager bij Y1 in het kader van een sollicitatieprocedure en de daaropvolgende verwerking van deze persoonsgegevens. Beslissing ten gronde 200/2025 - 5/33 Tevens is de klager van oordeel dat Y2 zijn rechten op rectificatie (art. 16 AVG), op verwijdering van zijn persoonsgegevens (art. 17 AVG), op beperking (art. 18 AVG) en op bezwaar (art. 21 AVG) heeft geschonden. Tenslotte stelt de klager dat Y2 artikel 14 AVG heeft geschonden door hem onvoldoende informatie te verstrekken over de bron van de hem betreffende persoonsgegevens, als onderdeel van het antwoord op zijn inzageverzoek (ex artikel 15.1.
5. g)AVG). De klager is immers van mening dat Y2 ertoe verplicht is de naam en familienaam mee te delen van de persoon binnen Y1 die zijn persoonsgegevens met haar zou hebben gedeeld. 17. Op 4 juni 2021 wordt de klacht tegen Y2 door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 18. Ingevolge de twee voornoemde klachten die handelen over dezelfde feiten, werden derhalve twee dossiers aanhangig gemaakt bij de Geschillenkamer : DOS-2021-01940 en DOS-2021-04314. Op 2 augustus 2021 besluit de Geschillenkamer op basis van de voorgelegde stukken tot voeging van beide klachten, gelet op hun onderlinge verband. Deze beslissing doet uitspraak over beide klachten. Op 2 augustus 2021 beslist de Geschillenkamer eveneens op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 19. Op 2 augustus 2021 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerders werd daarbij vastgelegd op 27 september 2021, deze voor de conclusie van repliek van de klager op 18 oktober 2021 en deze voor de conclusie van dupliek van de verweerders op 8 november 2021. 20. Op 3 augustus 2021 bevestigen de partijen hun goede ontvangst van de voormelde aangetekende zending, alsmede hun akkoord voor verdere uitwisselingen omtrent de zaak langs elektronische weg. 21. Op 27 september 2021 ontvangt de Geschillenkamer de conclusies van antwoord vanwege Y1 respectievelijk Y2. 22. Op 18 oktober 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager. 23. Op 8 november 2021 ontvangt de Geschillenkamer de conclusies van dupliek van Y1 respectievelijk Y2. 24. De Geschillenkamer is zich ervan bewust dat tussen de neerlegging van de laatste conclusie en de uitspraak in deze zaak een aanzienlijke periode is verstreken. Zij wenst zich Beslissing ten gronde 200/2025 - 6/33 hiervoor uitdrukkelijk te verontschuldigen bij de partijen. Ondanks dit tijdsverloop acht de Geschillenkamer het aangewezen om in deze zaak alsnog een gemotiveerde beslissing te nemen die geanonimiseerd gepubliceerd zal worden op haar website. Dit gebeurt niet enkel met het oog op een zorgvuldige behandeling van voorliggende klacht, maar ook met de bedoeling om bij te dragen aan een correct en uniform begrip van de geldende verplichtingen voor de betrokken actoren. Onderhavig geschil biedt immers een geschikte gelegenheid om de toepasselijke regels inzake de verwerking van persoonsgegevens in het kader van referentiechecks bij sollicitaties nader toe te lichten.. II. Motivering II.1. Omvang van het geschil 25. Ter inleiding stelt de Geschillenkamer vast dat deze zaak kadert binnen een ruimer geschil tussen de klager en Y1 (de eerste verweerder) omtrent de schending van een onderling afgesloten dadingsovereenkomst ten gevolge van het ontslag van de klager in november 2016. De bevoegdheid van de Geschillenkamer in de voorliggende zaak beperkt zich uiteraard tot vragen omtrent gegevensbescherming. De Geschillenkamer zal zich uitspreken omtrent de vermeend onrechtmatige verwerking van referenties betreffende de klager door beide verweerders (Sectie II.2.), alsook over de vermeende schending van zijn recht op inzage naar aanleiding van de verzoeken die de klager bij elk van beide verweerders indiende (Sectie II.3.). Voorts volgt een beoordeling van de Geschillenkamer omtrent de mogelijke schending van de andere rechten uit hoofde van de AVG door beide verweerders (Sectie II.4.), alsook van de vermeende schending van de basisbeginselen inzake de verwerking van persoonsgegevens door Y1 (Sectie II.5.). II.2. De verwerking van persoonsgegevens in het kader van een sollicitatieprocedure II.2.1. Het begrip “persoonsgegeven” — Art. 4.1) AVG 26. Allereerst dient de Geschillenkamer na te gaan in welke mate de verweerders persoonsgegevens aangaande de klager verwerkt hebben. 27. Artikel 4.1) AVG definieert het begrip “persoonsgegevens” als zijnde “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”. Deze definitie omvat dus vier constitutieve en cumulatieve elementen: Beslissing ten gronde 200/2025 - 7/33 a. “alle informatie” 28. De Geschillenkamer wijst erop dat het begrip “persoonsgegevens”, zoals uitgelegd in artikel 4.1) AVG juncto overweging 26 AVG, het Advies 4/2007 van de Groep Gegevensbescherming, alsook de rechtspraak van het Hof van Justitie, ruim dient te worden geïnterpreteerd en dat dit zowel objectieve als subjectieve informatie omvat, ongeacht of deze informatie al dan niet correct dan wel bewezen is.1 Het begrip “alle informatie” gehanteerd in artikel 4.1) AVG dient bijgevolg letterlijk te worden geïnterpreteerd, ongeacht de aard, de inhoud of vorm van de betrokken informatie. Overweging 26 AVG benadrukt overigens deze extensieve uitlegging van het begrip “persoonsgegevens”, door te stellen dat “de beginselen van gegevensbescherming voor elk gegeven betreffende een geïdentificeerde of identificeerbare persoon [moeten] gelden”.2 29. Dit werd eveneens bevestigd door de Groep Gegevensbescherming in zijn Advies 4/2007 over het begrip persoonsgegeven, waarin deze hieromtrent het volgende stelt: “Wat de aard van de informatie betreft, omvat ‘persoonsgegeven’ alle soorten uitspraken over een persoon. Ook ‘subjectieve’ informatie, meningen en oordelen vallen eronder. […] Om als ‘persoonsgegeven’ te worden aangemerkt, is het niet nodig dat de informatie waar is of bewezen.”3 30. Voorgaande werd inmiddels meermaals benadrukt door het Hof van Justitie van de Europese Unie. In zijn arrest “Nowak” van 20 december 2017 stelt het Hof in dit verband meer bepaald: “Het gebruik van de woorden “iedere informatie’ in de definitie van het begrip ‘persoonsgegevens’ […] wijst er immers op dat het de bedoeling van de Uniewetgever was om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie onder de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene ‘betreft’ ”.4 31. Meer specifiek oordeelde het Hof van Justitie in het arrest Nowak dat de evaluatie en opmerkingen van een examinator met betrekking tot een door de betrokkene afgelegd examen als persoonsgegevens in de zin van huidig artikel 4.1) AVG dienen te worden beschouwd. Het Hof wees er tevens op dat het niet-kwalificeren van deze gegevens als zijnde persoonsgegevens, deze informatie volledig zou onttrekken aan de bescherming van de beginselen en waarborgen inzake persoonsgegevens en meer bepaald aan de 1 A. FOCQUET (ED.), JULIE MANNEKENS EN SOFIE DEPREZ, Handboek Gegevensbescherming in de diepte en in de praktijk, LeA Uitgevers 2024, Leuven, p. 15 ; C. DOCKSEY en H. HIJMANS, “The Court of Justice as a Key Player in Privacy and Data Protection: An Overview of Recent Trends” in Case Law at the Start of a New Era of Data Protection Law, EDPL Review 2019, p. 302-304. 2 Onderlijning door de Geschillenkamer. 3 Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 6 (onderlijning door de Geschillenkamer). 4 HvJEU, 20 december 2017, C-434/16, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, randnr. 34. Beslissing ten gronde 200/2025 - 8/33 rechten van toegang, rectificatie en verzet evenals het toezicht van de toezichthoudende autoriteiten.5 32. De Groep Gegevensbescherming en het Hof van Justitie verduidelijkten verder dat deze informatie zowel betrekking kan hebben op het persoonlijke leven van de betrokkene als diens professionele6 of publieke activiteiten: “ ‘Persoonsgegevens’ omvatten informatie die betrekking heeft op iemands privéleven of familie- en gezinsleven in strikte zin, maar ook informatie over allerlei activiteiten die iemand onderneemt, bijvoorbeeld over iemands beroepsrelaties of economisch of sociaal gedrag. Het gaat hier dus om informatie over personen, ongeacht de positie of de hoedanigheid van die personen (consument, patiënt, werknemer, klant, enz.).”7 33. Op grond van de bovenstaande elementen kan de Geschillenkamer tot het besluit komen dat het eerste constitutief element te dezen aanwezig is. b. “over” 34. Een tweede constitutief element van de definitie van het begrip “persoonsgegeven” uit artikel 4.1) AVG houdt in dat de informatie dient te gaan “over” een natuurlijke persoon, de betrokkene. In zijn Advies 4/2007 wijst de Groep Gegevensbescherming erop dat zulks zowel direct als indirect het geval kan zijn, in zoverre de informatie “verwijst naar de identiteit, de kenmerken of het gedrag van een persoon of indien dergelijke informatie wordt gebruikt om de wijze waarop die persoon wordt behandeld of beoordeeld te bepalen of te beïnvloeden”.8 35. De Groep Gegevensbescherming preciseert in dit verband dat informatie die niet direct betrekking heeft op een natuurlijke persoon alsnog als “informatie over” de betrokken natuurlijke persoon kan worden beschouwd in de volgende twee gevallen: a. Wanneer de gegevens worden gebruikt of naar verwachting kunnen worden gebruikt met als doel de betrokkene te beoordelen, op een bepaalde manier te behandelen of zijn status of gedrag te beïnvloeden; of b. Wanneer het gebruik van de gegevens naar verwachting een impact kan hebben op bepaalde personen, waarbij het irrelevant is of deze impact groot of klein is. 5 HvJEU, 20 december 2017, C-434/16, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, randnr. 49. 6 EHRM, 16 februari 2000, nr. 27798. 7 Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 7. Cf. in diezelfde zin de conclusie van advocaatgeneraal E. Sharpston van 12 december 2013 in de gevoegde zaken C-141/12 en C-372/12 (Y.S.), randnr. 45. 8 Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 10. Beslissing ten gronde 200/2025 - 9/33 36. De Groep Gegevensbescherming wijst er hierbij op dat, zolang de mogelijkheid bestaat dat de betrokkene bijvoorbeeld anders zal worden behandeld ten gevolge van de verwerking van de betrokken gegevens, er sprake is van een impact op de persoon. 9 37. Dit werd tevens bevestigd door het Hof van Justitie, dat in dit verband stelde dat deze tweede voorwaarde “is vervuld wanneer de informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon”.10 38. In casu stelt de Geschillenkamer vast dat de betrokken informatie — i.e. referenties omtrent de relevante ervaring en kwalificaties van de klager — onmiskenbaar kan herleid worden tot de klager en een impact kan hebben op hem, met als gevolg dat het tweede constitutieve element aanwezig is. c. “een geïdentificeerde of identificeerbare” “natuurlijke persoon” 39. Een persoon is “geïdentificeerd” wanneer die persoon individueel onderscheiden is van andere personen binnen een bepaalde groep, aan de hand van één of meerdere identificatoren.11 40. Gelet op het feit dat de uitwisseling van referenties over een individuele kandidaat noodzakelijkerwijze met zich meebrengt dat de betrokkene minstens onrechtstreeks identificeerbaar is voor de voormalige en toekomstige werkgever, stelt de Geschillenkamer vast dat de betrokkene onweerlegbaar werd geïdentificeerd en de door de verweerders uitgewisselde informatie in casu aldus betrekking heeft op een “geïdentificeerd of identificeerbaar persoon” in de zin van artikel 4.1) AVG. 41. Er dient bijgevolg te worden vastgesteld dat ook het derde en vierde constitutieve element van het begrip persoonsgegevens te dezen aanwezig zijn. De Geschillenkamer oordeelt derhalve dat de referenties omtrent de relevante ervaring en kwalificaties van de klager weldegelijk als hem betreffende persoonsgegevens moeten worden aanzien. II.2.2. Het begrip “verwerking” – Art. 4.2) AVG 42. Overeenkomstig artikel 2.1 juncto overweging 15 van de AVG, is zij van toepassing op de volledige dan wel gedeeltelijk geautomatiseerde verwerkingen van persoonsgegevens, evenals op de niet-geautomatiseerde verwerkingen van persoonsgegevens die in een bestand zijn opgenomen, dan wel bestemd zijn om daarin te worden opgenomen. 9 Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 11-12. 10 HvJEU, 20 december 2017, C-434/16, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, randnr. 35 (eigen onderlijning). 11 Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 13. Beslissing ten gronde 200/2025 - 10/33 Overeenkomstig artikel 4.2) AVG dient als een “verwerking” van persoonsgegevens te worden beschouwd: “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”. 43. In voorliggende zaak poneren beide verweerders dat het litigieuze telefoongesprek louter mondeling heeft plaatsgevonden, niet werd opgenomen of anderszins geregistreerd, noch op enigerlei wijze inhoudelijk werd verwerkt. Bijgevolg kan er geenszins sprake zijn van een verwerking in de zin van de AVG, aldus de verweerders. De klager meent daarentegen dat de AVG wel van toepassing is, gezien er volgens hem weldegelijk sprake is geweest van een verwerking van persoonsgegevens. Op 2 juli 2020 ontving Y2 immers persoonsgegevens van de klager via Y1, dewelke Y2 vervolgens heeft verwerkt in een e-mail aan de klager, wat een bestand is. 44. De Geschillenkamer wijst erop dat de doorgifte van persoonsgegevens tijdens een mondeling telefoongesprek weldegelijk een “verwerking” van persoonsgegevens uitmaakt in de zin van artikel 4.2) AVG. Dat artikel stipuleert immers duidelijk dat het “verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen”12 van persoonsgegevens, een “verwerking” in de zin van de AVG uitmaakt. De Geschillenkamer wijst tevens op het arrest Endemol Shine Finland, waarin het Hof van Justitie ondubbelzinnig heeft vastgesteld dat het begrip “verwerking” als bedoeld in artikel 4.2) AVG noodzakelijkerwijs de mondelinge verstrekking van persoonsgegevens omvat. 13 45. Aangezien een mondelinge verstrekking als zodanig een niet-geautomatiseerde verwerking is, moet de Geschillenkamer in onderhavig geval nagaan of de door Y1 verstrekte gegevens in een “bestand” zijn “opgenomen” of “bestemd zijn om daarin te worden opgenomen”. Volgens artikel 4.6) AVG dient het begrip “bestand” te worden uitgelegd als “elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid”. De Geschillenkamer wijst erop dat deze bepaling een ruime omschrijving geeft van het begrip “bestand”. Bovendien beoogt de vereiste dat het geheel van persoonsgegevens moet zijn “gestructureerd volgens bepaalde criteria”, uitsluitend ervoor te zorgen dat de persoonsgegevens gemakkelijk kunnen worden teruggevonden. Behalve dit vereiste bevat artikel 4.6) AVG 12 Onderlijning door de Geschillenkamer 13 HvJEU, 7 maart 2024, C-740/22, Endemol Shine Finland, ECLI:EU:C:2024:216, randnr. 32 Beslissing ten gronde 200/2025 - 11/33 geen enkele bepaling over de wijze waarop een bestand moet worden gestructureerd, en over de vorm die een dergelijk bestand moet hebben. 14 46. In casu voert Y1 aan dat zij geen enkel bestand, zoals het personeelsdossier van de klager, zou hebben geraadpleegd om de daarin opgenomen informatie aan Y2 te verstrekken. De Geschillenkamer merkt op dat zij niet dient te verifiëren of Y1 al dan niet een bestand heeft geraadpleegd waarin de persoonsgegevens van de klager zijn opgenomen. De Geschillenkamer oordeelt namelijk dat Y1 wist, of had moeten weten, dat de door haar meegedeelde informatie omtrent de klager zou worden opgenomen in een bestand door Y2, namelijk in het rekruteringsdossier dat deze laatste bijhoudt over de klager. Gelet op die omstandigheden, oordeelt de Geschillenkamer dat het mondeling verstrekken aan Y2 van informatie over de klager door Y1 een verwerking van persoonsgegevens vormt die binnen de materiële werkingssfeer van de AVG valt. 47. De Geschillenkamer acht het tevens voldoende bewezen dat Y2 de persoonsgegevens van de klager in het kader van de sollicitatieprocedure heeft verwerkt in de zin van artikel 4.2) AVG, en bovendien dat die persoonsgegevens werden opgenomen in een bestand. De Geschillenkamer stelt immers vast dat Y2 de inhoud van het gesprek, ofschoon niet verbatim, minstens wel in algemene termen, schriftelijk heeft vastgelegd in een e-mail aan de klager. 48. Bijgevolg zal de Geschillenkamer zich in een volgende sectie (II.2.3) moeten buigen over de rechtmatigheid van de verwerkingen door beide verweerders. II.2.3. Rechtmatigheid van de verwerkingen — Art. 6.1 AVG 49. Nu het vaststaat dat beide verweerders persoonsgegevens over de klager hebben verwerkt in de zin van de AVG, dient de Geschillenkamer zich te buigen over de rechtmatigheid van deze verwerkingen. Om een logische redenering te waarborgen, zal zij eerst de rechtmatigheid beoordelen van de verzameling en verdere verwerking van referenties door Y2 (de tweede verweerder). Aansluitend zal zij de rechtmatigheid onderzoeken van de doorgifte van de persoonsgegevens van de klager door Y1 (de eerste verweerder) a. De rechtmatigheid van de verzameling en verdere verwerking van referenties door Y2 (de tweede verweerder) 50. De Geschillenkamer stelt vast dat Y2 zich beroept op de toestemming van de klager voor de verzameling en verdere verwerking van referenties. Hiertoe brengt Y2 de door haar opgemaakte notulen van het sollicitatiegesprek aan, waaruit moet blijken dat de klager zijn 14 Zie ook HvJEU, 7 maart 2024, C-740/22, Endemol Shine Finland, ECLI:EU:C:2024:216, randnr. 37 ; HvJEU, 10 juli 2018, C-25/17, Jehovan todistajat, ECLI:EU:C:2018:551, randnrs. 57-58 Beslissing ten gronde 200/2025 - 12/33 toestemming heeft gegeven voor het contacteren van Y1.15 Daarnaast voert Y2 aan dat, gezien de klager Y1 uit eigen beweging in zijn CV heeft vermeld, dit kan gelden als een geldige toestemming. 51. De Geschillenkamer herinnert eraan dat uit de artikelen 4.11) en 7 AVG, samen gelezen met overweging 43 AVG, volgt dat in de context van een sollicitatieprocedure de toestemming van de betrokkene slechts in uitzonderlijke gevallen kan dienen als een rechtmatige rechtsgrond voor de verzameling en verdere verwerking van referenties. Het staat met name vast dat de verhouding tussen een potentiële werkgever en een sollicitant wordt gekenmerkt door de afhankelijke positie van laatstgenoemde, hetgeen leidt tot een veronderstelde wanverhouding waarbinnen toestemming in principe niet vrijelijk gegeven kan worden. 52. De Geschillenkamer aanvaardt daarentegen dat toestemming als rechtsgrond kan gebruikt worden, indien de verwerkingsverantwoordelijke de toestemming van de betrokkene heeft verkregen middels de ondertekening van een verklaring waarvan hij de draagwijdte duidelijk kon begrijpen en die ten minste volgende elementen bevat: a. De identiteit van de organisatie of de personen die de toekomstige werkgever wil raadplegen b. De aard van de opgevraagde gegevens c. De redenen voor het verzamelen van de gegevens d. De periode waarin de toestemming zal worden gebruikt De Geschillenkamer benadrukt dat dergelijke toestemming alleen als vrijelijk wordt beschouwd indien de betrokkene geen negatieve gevolgen riskeert wanneer hij zijn toestemming niet verleent.16 In de context van een sollicitatieprocedure betekent dit, bij wijze van voorbeeld, dat de potentiële werkgever in geen geval de verwachting mag wekken bij de sollicitant dat zijn kandidatuur ongunstig zal worden beoordeeld of niet in aanmerking zal komen wanneer hij geen toestemming verleent voor het opvragen van referenties. 53. De Geschillenkamer aanvaardt tevens dat toestemming als geldige rechtsgrond kan gebruikt worden indien de sollicitant spontaan, zonder vraag vanuit de potentiële werkgever, in zijn CV uitdrukkelijk een referentiepersoon aanduidt met de bedoeling deze te contacteren. De Geschillenkamer benadrukt dat, ook in dit geval, de verwerkingsverantwoordelijke haar informatieverplichtingen in artikel 14 AVG dient na te komen. 15 Stuk 4 bij de conclusies van antwoord van de tweede verweerder d.d. 27 september 2021 16 EDPB, Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, versie 1.1., 4 mei 2020, p. 8-10 Beslissing ten gronde 200/2025 - 13/33 54. Gelet op bovenstaande en op de verweermiddelen van de partijen, oordeelt de Geschillenkamer dat Y2 niet aantoont dat de mondelinge toestemming van de klager die tijdens het sollicitatiegesprek werd verleend, voldoet aan de vereiste onder de AVG van een vrije wilsuiting. De notulen van een sollicitatiegesprek kunnen bij gebreke aan ondertekening door de betrokkene immers niet als een geldige toestemming dienen, om de eenvoudige reden dat de notulen niet door de betrokkene werden genomen. Uit de overgemaakte stukken blijkt tenslotte evenmin dat de klager Y1 als een referentiepersoon in zijn CV heeft vermeld, hetgeen desgevallend als geldige toestemming zou kunnen dienen. Y1 werd door de klager immers uitsluitend genoemd in het onderdeel ‘werkervaring’, maar wordt nergens expliciet genoemd als referentie. 55. Gelet op bovenstaande, oordeelt de Geschillenkamer dat Y2 niet rechtmatig kon steunen op de toestemming van de klager conform artikel 6.1.
6. a)AVG voor het raadplegen en de daaropvolgende verwerking van referenties. 56. De Geschillenkamer stelt vast dat de Y2 zich voor de litigieuze verwerking tevens beroept op haar gerechtvaardigd belang conform artikel 6.1.
7. f)AVG. De Geschillenkamer heeft er in haar eerdere beslissingen reeds op gewezen dat de verwerkingsverantwoordelijke voorafgaand aan de verwerking één rechtmatigheidsgrond dient aan te wijzen op basis waarvan zij de verwerking van persoonsgegevens wenst uit te voeren. 17 De verschillende rechtmatigheidsgrondslagen brengen verschillende gevolgen met zich mee, met name wat de rechten van de betrokkenen betreft. Om voornoemde reden is het niet toegestaan dat een verwerkingsverantwoordelijke zich, afhankelijk van de omstandigheden, beroept op de ene, dan weer op de andere rechtsgrond voor éénzelfde verwerking. 57. Gezien Y2 voor de verzameling van referenties van de klager echter niet rechtmatig kon steunen op diens toestemming, gaat de Geschillenkamer alsnog na of zij op basis van haar gerechtvaardigd belang de persoonsgegevens van de klager kon verwerken. 58. Het Hof van Justitie heeft in haar rechtspraak 18 verduidelijkt dat moet voldaan zijn aan drie cumulatieve voorwaarden opdat een verwerkingsverantwoordelijke zich rechtmatig kan beroepen op artikel 6.1.
8. f)AVG. Meer bepaald dient de verwerkingsverantwoordelijke aan te tonen dat:
9. a)de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden beschouwd (de “doeltoets”); 17 Beslissing ten gronde 55/2021 d.d. 22 april 2021 van de Geschillenkamer, https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-55-2021.pdf; Beslissing ten gronde 138/2021 d.d. 8 december 2021 van de Geschillenkamer, https://gegevensbeschermingsautoriteit.be/publications/beslissingten-gronde-nr.-138-2021.pdf 18 HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas satiksme”, ECLI:EU:C:2017:336, randnr. 28 (“Arrest Rīgas”). Beslissing ten gronde 200/2025 - 14/33
10. b)de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en
11. c)de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van de betrokkene doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”). 59. Wat betreft de eerste voorwaarde, de zogenaamde “doeltoets”, is de Geschillenkamer van oordeel dat het controleren van referenties in navolging van een sollicitatiegesprek inderdaad moet worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Werkgevers hebben er immers alle belang bij om betrouwbare en gekwalificeerde werknemers aan te werven. De Geschillenkamer meent dat de raadpleging van werkgevers die eerder met de klager hebben samengewerkt een betrouwbaar en evenwichtig beeld kan vormen van diens functioneren in een professionele context. De Geschillenkamer stelt aldus vast dat aan de doeltoets werd voldaan. 60. Teneinde te voldoen aan de tweede voorwaarde, de “noodzakelijkheidstoets”, dient Y2 aan te tonen dat de verwerkingen in casu noodzakelijk waren om bovenvermeld gerechtvaardigd belang na te streven. De Geschillenkamer wijst erop dat bij de beoordeling of er sprake is van een “noodzakelijke” verwerking, de verwerkingsverantwoordelijke dient na te gaan of het nagestreefde gerechtvaardigde belang niet op een even doeltreffende wijze gerealiseerd kan worden met alternatieve middelen die minder ingrijpend zijn voor de fundamentele rechten en vrijheden van de betrokkene. Indien er redelijke en even doeltreffende, maar minder ingrijpende alternatieven bestaan, kan de verwerking niet als “noodzakelijk” worden aangemerkt.19 Y2 voert aan dat, hoewel zij beschikte over het curriculum vitae, de motivatiebrief, alsook over de informatie uit het sollicitatiegesprek met de klager, het voor haar noodzakelijk was om de door de klager geponeerde stellingen omtrent zijn ervaring en leiderschap te verifiëren. Y2 acht de raadpleging van referenties een noodzakelijke verwerking om een totaalbeeld van de klager te kunnen schetsen en te achterhalen hoe hij zich in een arbeidsomgeving werkelijk gedraagt, hetgeen niet kon worden afgeleid uit de volgens Y2 eenzijdige verklaringen van de klager in voormelde bronnen. De Geschillenkamer is van oordeel dat het verifiëren van referenties een gangbaar en redelijk middel is voor werkgevers om inzicht te krijgen in de professionele vaardigheden van een sollicitant, op voorwaarde dat zij de verzamelde informatie niet bij de klager zelf kan opvragen. Hierop gelet, acht de Geschillenkamer het in casu dan ook noodzakelijk voor Y2 om, middels de raadpleging van voormalige werkgevers van de klager, werkgerelateerde 19 HvJEU, 4 juli 2023, C-252/21, Meta t. Bundeskartellamt, ECLI:EU:2023:537, randnr. 108; EDPB, Guidelines 1/2024 on processing of personal data based on Article 6