Beslissing ten gronde nr. 204/2025

1/12 Geschillenkamer Beslissing ten gronde 204/2025 van 8 december 2025 Dossiernummer : DOS-2019-02014 Betreft : gebruik van gegevens uit het Rijksregister zonder voorafgaande machtiging door CAW Oost-Vlaanderen De Geschillenkamer van de Gegevensbeschermingsautoriteit; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, hierna: “Wet Rijksregister”; Gelet op de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten, hierna “eID-Wet”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De verweerder: CAW Oost-Vlaanderen, vertegenwoordigd door mr. JORIS DEENE, hierna “de verweerder”; Beslissing ten gronde 204/2025 — 2/12 I. Feiten en procedure 1. De onderhavige beslissing heeft betrekking op één van twee dossiers die op verschillende wijzen aanhangig gemaakt waren bij de Geschillenkamer van de Gegevensbeschermingsautoriteit en die betrekking hebben op verwerkingsactiviteiten van de verweerder. 2. De dossiers werden, door de sterke intrinsieke verbondenheid, middels de beslissing van de Geschillenkamer dd. 25 juni 2024 gevoegd. Door aanhoudende procedurele betwistingen omtrent met name de toegang door de klager in het andere dossier, DOS-2021-05510, tot de stukken in onderhavig dossier met nummer DOS-2019-02014 (volgend op een ex officio onderzoek), worden er heden echter twee verschillende beslissingen genomen in de twee dossiers. 3. Een onderzoek in het eerste dossier, het onderhavige dossier DOS-2019-02014, werd gestart door de Inspectiedienst op verzoek van het Directiecomité van de Gegevensbeschermingsautoriteit (“GBA”). Dit verzoek volgde op een melding van de Algemene Directie Instellingen en Bevolking (ADIB) van de Federale Overheidsdienst Binnenlandse Zaken aan de GBA. 4. De voornoemde dienst van de FOD Binnenlandse Zaken meldde in februari 2019 dat er sprake was van mogelijke strafrechtelijke inbreuken inzake het gebruik van het Rijksregister en schreef verder: “Drie verschillende partijen hebben letterlijk bevestigd in het mailverkeer met de medewerker dat het rijksregister wordt gebruikt zonder een machtiging hiervoor te hebben […] De inbreuk kan een serieuze weerslag hebben op de rechten en vrijheden van personen. Het gebruik van het Rijksregisternummer is strikt gereguleerd.” 5. In het tweede dossier, met referentie DOS-2021-05510, werd op 18 juni 2021 door de klager klacht ingediend tegen de verweerder, sterk samengevat omwille van een vermeende inbreuk op het recht van inzage bij de toegang tot het personeelsdossier van de klager. 6. Op 25 februari 2019 beslist het Directiecomité van de GBA het eerste (onderhavige) dossier aanhangig te maken en de Inspectiedienst te vatten voor een nader onderzoek overeenkomstig artikel 63, 1° WOG. I.1. 7. Feitelijke kadering dossier en onderzoek Inspectiedienst Het voorwerp van het dossier betreft het onrechtmatig gebruik van gegevens uit het Rijksregister door de verweerder, CAW Oost-Vlaanderen. Beslissing ten gronde 204/2025 — 3/12 8. CAW Oost-Vlaanderen (“CAW OVL”) is één van de twaalf Centra voor Algemeen Welzijnswerk in Vlaanderen en Brussel, gezamenlijk de “CAW-Groep” genoemd. Deze centra worden grotendeels gesubsidieerd door de Vlaamse overheid. Er is een sterke coördinatie binnen de CAW Groep. Zo was de directeur van CAW OVL op het moment van de feiten tevens de voorzitter van de overkoepelende CAW-Groep. 9. De CAW-Groep maakt gebruik van een overkoepelende externe functionaris voor gegevensbescherming, met daarnaast “secundaire” interne DPO’s (adjunct-DPO’

1. s)binnen de afzonderlijke CAW-entiteiten. 10. In de loop van 2017 werd de directie van de verweerder gewaarschuwd door een medewerker dat het voorgenomen gebruik van het Rijksregisternummer via de elektronische identiteitskaart (eID) zonder machtiging onrechtmatig zou zijn. 1 Blijkens het verslag van de Inspectiedienst schreef deze persoon tussen 2017 en begin 20192 herhaaldelijk naar de directeur van de verweerder (tevens voorzitter van de koepel “CAWGroep”) met de nadrukkelijke melding dat het gebruik van het Rijksregisternummer zonder voorafgaande machtiging van de bevoegde minister niet was toegestaan. 11. Voor het verdere feitelijke verloop zij verwezen naar de navolgende sectie. I.2. 12. Het verslag van de Inspectiedienst in DOS-2019-02014 Op basis van het verslag van de Inspectiedienst kan het volgende feitenrelaas worden geschetst in DOS-2019-02014. 13. Op 22 en 27 februari 2019 ontving de Gegevensbeschermingsautoriteit meldingen van de Dienst Toegang Rijksregister van de FOD Binnenlandse Zaken over het gebruik van het Rijksregisternummer door de verweerder zonder geldige machtiging. Deze meldingen hebben betrekking op het gebruik van het Rijksregisternummer –verkregen via het inlezen van de eID van cliënten – bij de aanmaak en interne verwerking van cliëntendossiers, zowel in papieren als in elektronische vorm, met behulp van de softwaretoepassing “Z” (thans “…”), gedurende de periode van 1 januari 2018 tot 17 april 2019. 14. Uit de melding blijkt dat een personeelslid van de verweerder (hierna “de melder”) intern deze praktijk aan de kaak had gesteld. 15. Het onderzoek van de Inspectiedienst spitst zich toe op de vraag of de gegevensverwerkingen door de verweerder in overeenstemming waren met de 1 Verslag Inspectiedienst DOS-2019-02014, p. 33, weergegeven inhoud van e-mail dd. 21 december 2017 aan het Directiecomité van de verweerder. 2 Verslag Inspectiedienst DOS-2019-02014, p. 34, weergegeven inhoud van e-mail dd. 11 januari 2019 aan de toenmalig algemeen directeur, i.a. “Ik wil de wet respecteren. Wanneer ik je opdracht uitvoer, dan overtreed ik de wet. […] Ik verzoek je uitdrukkelijk om mij – en uiteraard ook alle andere personeelsleden – niet aan te zetten de privacywetgeving bewust te overtreden.” Beslissing ten gronde 204/2025 — 4/12 toepasselijke wetgeving, met name de Wet van 8 augustus 1983 tot regeling van het Rijksregister van de natuurlijke personen (“Wet Rijksregister”), de relevante regelgeving inzake identiteitskaarten (Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten, hierna “eID-Wet”, en uitvoeringsbesluiten) en de Algemene Verordening Gegevensbescherming. 16. Reeds in de loop van 2017 werd binnen de koepel van de CAW’s (de “CAW-groep”) besproken om het Rijksregisternummer te gebruiken als uniek identificatiemiddel in het opvolgsysteem voor cliënten genaamd “Z”. In dezelfde periode uitte de melder intern zijn bezorgdheid over privacy en gegevensbescherming en stuurde de melder hierover e-mails naar o.a. de directie van de verweerder, waarin de melder de betrokken actoren opriep de privacywetgeving te respecteren. 17. Op 1 januari 2018 startte de verweerder met het verwerken van het Rijksregisternummer van haar cliënten als uniek registratienummer in de cliëntendossiers. Concreet werd bij de intake van een cliënt diens elektronische identiteitskaart ingelezen, waarbij onder meer het Rijksregisternummer werd uitgelezen en opgeslagen in het centrale informatiesysteem Z ten behoeve van de verdere hulpverlening. De verweerder begon deze verwerking zonder voorafgaande machtiging,3 hoewel artikel 8 §1 Wet Rijksregister voorschrijft dat een machtiging vereist is voor het gebruik van het rijksregisternummer wanneer dit niet bij wet, decreet of ordonnantie is voorzien. 18. Kort na de start van het gebruik van het Rijksregisternummer diende de CAW groep op 12 januari 2018 een eerste machtigingsaanvraag in bij het toenmalige Sectoraal Comité van het Rijksregister van de Privacycommissie (voluit Commissie voor de bescherming van de Persoonlijke Levenssfeer of “CBPL”). De CBPL liet op 24 januari 2018 weten dat wegens een hoge werkdruk voorlopig geen zittingsdatum kon worden vastgesteld voor de behandeling van de aanvraag. Intussen bleef de verweerder het Rijksregisternummer verder gebruiken in de cliëntenbestanden. 19. Op 25 mei 2018 trad de AVG in werking en ging de CBPL over in de GBA, zoals voorzien in de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit. De hangende machtigingsaanvraag werd in juni 2018 overgedragen aan de bevoegde dienst binnen de FOD Binnenlandse Zaken (ADIB). 20. In het najaar van 2018 had de verweerder nog steeds geen machtiging, maar het gebruik van het Rijksregister ging in die periode verder. Dit blijkt onder meer uit een auditrapport dd. 7 december 2018 dat blijk geeft van het gebruik van het Rijksregisternummer. 3 Verslag Inspectiedienst DOS-2019-02014, p. 36, weergegeven inhoud van e-mail dd. 11 januari 2018 aan het personeel van de verweerder: “De machtiging om te werken met het RRN voor het […]dossier is bij de privacy commissie [sic] inderdaad lopende.” Beslissing ten gronde 204/2025 — 5/12 21. Om het gebruik van het Rijksregisternummer formeel te regulariseren diende de CAWgroep op 20 december 2018 een nieuwe machtigingsaanvraag in bij de ADIB met gebruikmaking van het inmiddels door ADIB voorziene aanvraagformulier. 22. Gedurende het verdere verloop van 2018 en begin 2019 bleef de melder zowel intern als extern aandringen op het stopzetten of legaliseren van het gebruik van het Rijksregisternummer. Uit de door de melder bezorgde e-mails blijkt dat de toenmalige algemeen directeur van de verweerder meermaals op de problematiek werd gewezen in de loop van 2017 en 2018. 23. Op 12 maart 2019 nam de ADIB een voorwaardelijke beslissing over de machtigingsaanvraag van de CAW-Groep. In deze beslissing werd principieel toestemming verleend voor toegang tot het Rijksregister en het gebruik van het Rijksregisternummer in het kader van de hulpverlening door de CAW’s, mits aan een aantal voorwaarden werd voldaan. Zo diende onder meer iedere lokale CAW-afdeling een aansluitingsformulier te ondertekenen en moesten bepaalde functies formeel ingevuld en meegedeeld zijn, voordat effectief gebruikgemaakt mocht worden van het Rijksregisternummer. De beslissing van ADIB werd op 14 maart 2019 per e-mail toegestuurd aan de functionaris voor gegevensbescherming van de CAW-groep. 24. Aangezien de verweerder op dat moment (in maart 2019) nog niet volledig voldeed aan alle voorwaarden, bleef het gebruik van het Rijksregisternummer voorlopig onrechtmatig. De inmiddels aangestelde DPO van de CAW-groep onderzocht de situatie en bracht op 9 april 2019 een negatief advies uit over het voortgezette gebruik van het Rijksregisternummer zonder definitieve machtiging. 25. Naar aanleiding van dit advies besliste de directie van de verweerder op 12 april 2019 om de verwerking van het Rijksregisternummer onmiddellijk stop te zetten. De voorzitter van de CAW-groep (algemeen directeur van de verweerder) deelde deze instructie op 17 april 2019 per dringende e-mail mee aan alle medewerkers, met de boodschap dat het registreren van Rijksregisternummers in het softwareplatform Z per direct diende te stoppen. 26. Na de stopzetting van de verwerking nam de verweerder verschillende verdere maatregelen. Op 29 mei 2019 werd bij de softwareleverancier/verwerker (Z) een offerte gevraagd voor het verwijderen van alle reeds verzamelde Rijksregisternummers uit de databases. 27. De effectieve verwijdering van de aanwezige Rijksregisternummers in de elektronische dossiers vond plaats op 16 juni 2019. 28. Daarnaast werden de administratieve voorwaarden uit de machtigingsbeslissing vervuld: op 19 juni 2019 ondertekenden de 11 betrokken CAW-organisaties de benodigde aansluitingsformulieren, die op 21 juni 2019 door de CAW-groep bij de ADIB van de FOD Beslissing ten gronde 204/2025 — 6/12 Binnenlandse Zaken werden ingediend. Vanaf 21 juni 2019 voldeed de verweerder hiermee aan de gestelde voorwaarden en kon het gebruik van het Rijksregisternummer als geautoriseerd en wettelijk rechtmatig worden beschouwd. 29. Het verslag bevat de volgende vaststellingen. 1. De Inspectiedienst stelde vast dat de verweerder gedurende de periode van 1 januari 2018 tot 17 april 2019 actief het Rijksregisternummer van cliënten verwerkte zonder de wettelijk vereiste machtiging. De Inspectiedienst kwalificeerde dit als een inbreuk op artikel 8 van de Wet Rijksregister en op artikel 6 § 4 van de eID-Wet. Daarnaast stelt de Inspectiedienst dat het ongeoorloofd verwerken van het Rijksregisternummer een schending van de basisbeginselen van behoorlijkheid, rechtmatigheid en doelbinding van de verwerking onder de AVG uitmaakt, met name een gebrek aan rechtmatige verwerkingsgrondslag zoals vereist door artikelen 5, lid 1,
2. a)en 6 AVG. 2. De Inspectiedienst constateerde daarnaast dat de verweerder zich voor bepaalde verwerkingen (zoals het delen van cliëntgegevens in het kader van hulpverlening en het inlezen van de eID om het Rijksregisternummer te verkrijgen) beriep op de toestemming van de betrokkene als juridische grondslag. Uit het onderzoek bleek evenwel dat de verkregen “toestemming” niet voldeed aan de strikte voorwaarden van de AVG. De Inspectiedienst stelt dat de toestemming niet volledig vrij gegeven was en, nog volgens de Inspectiedienst, ontbrak het aan een specifieke, geïnformeerde en ondubbelzinnige wilsuiting van de betrokkene. Ook was de procedure om toestemming in te trekken onnodig gecompliceerd. De Inspectiedienst concludeerde dat de door de verweerder gehanteerde toestemming niet beantwoordde aan de definities en vereisten ex artikel 4, lid 11 en artikel 7 AVG. Bijgevolg ontbrak een geldige rechtsgrond voor de betreffende verwerkingsactiviteiten, hetgeen maakt dat de verwerking onrechtmatig was (schending van artikel 6, lid 1,
3. a)AVG) en in strijd met het beginsel van rechtmatigheid van artikel 5, lid 1,
4. a)AVG. 3. De Inspectiedienst stelde tot slot vast dat de verweerder tekortschoot in haar informatieplicht ten opzichte van de betrokkenen in de zin van artikel 12, 13 en 14 AVG. De verweerder beschikte niet over een eigen privacyverklaring of brochures gericht aan haar cliënten, maar verwees naar de algemene privacyverklaring van de overkoepelende CAW-groep. Die centrale privacyverklaring, zo de Inspectiedienst, is echter ontoereikend en onduidelijk voor wat betreft de specifieke verwerkingen bij de verweerder. Zo ontbrak volgens de Inspectiedienst lange tijd expliciete informatie over het gebruik van het Rijksregisternummer en de daaraan verbonden verwerkingen. Pas na afloop van de onrechtmatige verwerking (dd. 17 april 2019) Beslissing ten gronde 204/2025 — 7/12 werd de privacyverklaring aangepast om het stopzetten van het Rijksregisternummer te communiceren, en pas in 2020 werd het gebruik van het Rijksregisternummer weer expliciet vermeld in een nieuwe versie. De Inspectiedienst stelt dat dit een schending van de transparantieverplichtingen van de AVG uitmaakt, meer bepaald van artikel 12, lid 1 (transparante communicatie) en de informatieplichten uit artikelen 13 en 14 AVG. 4. De Inspectiedienst onderzocht eveneens de uitbesteding van de gegevensverwerking aan de externe verwerker Z. Hieruit bleek dat de verweerder (in samenwerking met de CAW-groep) sinds 2014 een contractuele overeenkomst (“mantelovereenkomst”) met Z had voor het gebruik van de cliëntopvolgingssoftware. In de aanloop naar de AVG werden die afspraken geactualiseerd: op 4 en 8 mei 2018 sloot de CAW-groep met Z een aanvullende verwerkersovereenkomst en een Service Level Agreement, ter aanvulling op het bestaande contract. Hoewel de Inspectiedienst opmerkte dat getekende kopieën van sommige documenten ontbraken in het dossier, werden geen wezenlijke tekortkomingen vastgesteld in de afspraken tussen de verweerder en de verwerker die zouden indruisen tegen artikel 28 AVG. De Inspectiedienst besloot dan ook dat geen inbreuk op artikel 28 AVG kon worden vastgesteld met betrekking tot de inschakeling van de verwerker. 5. Tot slot stelde de Inspectiedienst vast dat het door de verweerder bijgehouden register van verwerkingsactiviteiten niet voldeed aan de eisen van artikel 30 AVG. Gezien de omvang van de verweerder (ruim 435 VTE personeelsleden) en het feit dat zij bijzondere categorieën van persoonsgegevens en strafrechtelijke gegevens verwerkt, kan de verweerder zich niet beroepen op de uitzondering van artikel 30, lid 5 AVG – de verweerder is met andere woorden verplicht een volledig register bij te houden. Uit het onderzoek bleek dat het verstrekte uittreksel van het verwerkingsregister onduidelijk en onvolledig was. Zo ontbraken verplichte gegevens in het register, waaronder: de naam en contactgegevens van de verwerkingsverantwoordelijke zelf (in het register stond enkel de naam van de algemeen directeur, niet die van de verweerder) en van de functionaris voor gegevensbescherming, een volledige opsomming van alle verwerkingsdoeleinden, en een beschrijving van de getroffen technische en organisatorische beveiligingsmaatregelen. De Inspectiedienst concludeerde dat dit een inbreuk vormt op artikel 30 AVG, aangezien het register niet in overeenstemming is met de daarin gestelde vereisten voor een register van verwerkingsactiviteiten. Beslissing ten gronde 204/2025 — 8/12 30. Op 29 januari 2025 vindt een hoorzitting plaats voor de Geschillenkamer. Op deze hoorzitting verklaart de raadsman van de verweerder:4 “[de raadsman] verwijst naar de feiten die toegelicht werden in de conclusie, waarbij de verweerder aangeeft tweemaal de aanvraag te hebben gedaan, maar dat men eigenlijk inderdaad had moeten wachten en er dus een inbreuk heeft plaatsgevonden. [De raadsman] wijst erop dat men niet te kwader trouw heeft gehandeld, en dat men op een gegeven moment ook de gegevens heeft verwijderd.” 31. Op 4 februari 2025 wordt het proces-verbaal van de hoorzitting overgemaakt aan de verweerder. II. Motivering II.1.1. Omtrent de overschrijding van de redelijke termijn 32. De verweerder stelt dat de redelijke termijn voor de behandeling van het voorliggende dossier overschreden is. 33. De GBA is als toezichthoudende autoriteit gehouden klachten met de nodige voortvarendheid en zorgvuldigheid te behandelen. 5 De autoriteit heeft dus maar beperkte mogelijkheden om klachten niet te behandelen, en kan dit enkel doen op gemotiveerde wijze.6 Op dezelfde wijze moeten vaststellingen in een ex officio dossier zoals hier door de autoriteit met de nodige voortvarendheid en zorgvuldigheid worden behandeld. 34. Vooreerst staat buiten kijf dat de verjaringstermijn in de zin van artikel 105 WOG niet bereikt is in dit dossier – iets wat de verweerder overigens niet opwerpt. 35. Daarnaast zij benadrukt dat de GBA en haar Geschillenkamer werken met beperkte middelen. Het is aan de Lidstaten om voldoende middelen voor toezichthoudende autoriteiten te voorzien die belast zijn met het toezicht op de AVG – en de bijhorende taken. Zoals het Hof van Justitie heeft bevestigd, is een beperkt aantal middelen voor de autoriteit geen reden op zich om een klacht af te wijzen,7 net zoals de doorlooptijd van een ex officiodossier geen reden uitmaakt om vaststellingen (in casu van de Inspectiedienst) niet te behandelen. 36. 4 De redelijke termijn is in dit dossier niet overschreden. Proces-verbaal hoorzitting 29 januari 2025 in DOS-2019-02014. 5 HvJEU Arrest van 26 september 2024, Land Hessen, C-768/21, par. 32; verder o.m. HvJEU 7 december 2023, Schufa, zaken C-26/22 en C-64/22. 6 Marktenhof 10 maart 2021, 2020/AR/329, p. 6; Marktenhof 1 maart 2023, 2022/AR/1085, p. 7-8. 7 HvJEU Arrest van 9 januari 2025, Datenschutzbehörde, C-416/23, inzonderh. par. 51-52. Beslissing ten gronde 204/2025 — 9/12 II.2. Omtrent het gebruik van het Rijksregister zonder voorafgaande machtiging – inbreuk artikel 6.1 AVG, alsook artikel 8 Wet Rijksregister en artikel 6 eID-Wet 37. De Geschillenkamer stelt vast dat de verweerder persoonsgegevens van betrokkenen heeft verwerkt door rechtstreeks gebruik te maken van gegevens uit het Rijksregister van de natuurlijke personen. 38. Uit het dossier blijkt dat de verweerder niet beschikte over enige machtiging verleend krachtens artikel 5 of artikel 8 van de Wet Rijksregister. Er werd evenmin enig wettelijk instrument (wet, decreet of ordonnantie) voorgelegd dat de verweerder onder één van de uitzonderingsregimes zou plaatsen zoals voorzien in voornoemde wet. 39. De verweerder betwist het gebruik van het Rijksregister niet, maar geeft ter hoorzitting de inbreuk toe. Men stelt tegelijk dat de verweerder “niet te kwader trouw heeft gehandeld”. 40. Artikel 5, §1 van de Wet Rijksregister bepaalt uitdrukkelijk dat uitsluitend de in die bepaling opgesomde overheden, instellingen of personen toegang kunnen hebben tot de informatiegegevens van het Rijksregister, en dit enkel wanneer zij daartoe voorafgaandelijk zijn gemachtigd door de bevoegde minister. 41. Artikel 8, §1 van dezelfde wet preciseert dat het Rijksregisternummer enkel mag worden gebruikt door instanties of personen bedoeld in artikel 5, §1, en voor zover zij beschikken over een machtiging van de minister van Binnenlandse Zaken, tenzij een uitdrukkelijke wettelijke bepaling dit gebruik toestaat. 42. Krachtens artikel 5, lid 1,
5. a)en artikel 6 AVG moeten persoonsgegevens op een rechtmatige wijze worden verwerkt en moet voor elke verwerking een geldige rechtsgrond bestaan. Artikel 87 AVG laat de lidstaten toe het gebruik van nationale identificatienummers onderworpen te maken aan specifieke nationale regels, waarvan de Belgische Wet Rijksregister de concrete uitwerking vormt. 43. De Geschillenkamer stelt vast dat de verweerder geen machtiging kan voorleggen verleend door de minister van Binnenlandse Zaken overeenkomstig artikel 8 van de Wet Rijksregister voor wat betreft het gebruik tussen 25 mei 2018 8 en 12 april 20199. Evenmin blijkt uit het dossier dat de verweerder onder een uitzonderingsgrond valt zoals voorzien door een specifieke wet, decreet of ordonnantie. 44. Bijgevolg is gedurende die periode elke raadpleging, verwerking of verder gebruik van gegevens afkomstig uit het Rijksregister door de verweerder onverenigbaar met de dwingende bepalingen van de Wet Rijksregister. 8 i.e. de inwerkingtreding van de AVG en WOG en het ontstaan van de bijhorende handhavende bevoegdheden voor de GBA en haar Geschillenkamer. 9 i.e. de datum van de interne beslissing om het gebruik van het Rijksregister, en specifiek het registreren van cliënten op basis van dit nummer, stop te zetten. Beslissing ten gronde 204/2025 — 10/12 45. Waar de verweerder overigens gebruikmaakt van de identiteitskaarten (“eID’s”) van cliënten om de nummers uit het Rijksregister te verzamelen, zonder machtiging, maakt zij eveneens een inbreuk op artikel 6 § 4 eID-Wet, zoals de Inspectiedienst aandraagt. 46. De Geschillenkamer heeft reeds eerder verduidelijkt10 dat het gebruik van het Rijksregisternummer of van informatie uit het Rijksregister slechts rechtmatig is voor zover een wettelijke machtiging is verleend, dan wel een specifieke nationale wetsbepaling dit gebruik uitdrukkelijk toestaat. 47. Wanneer geen machtiging aanwezig is, is zowel het gebruik van het Rijksregisternummer als de toegang tot andere Rijksregistergegevens per definitie onrechtmatig. De Geschillenkamer gaat dan ook, om opportuniteitsredenen, niet verder in op de vaststellingen van de Inspectiedienst die verband houden met tekortkomingen in het verkrijgen en intrekken van toestemming door verweerder bij cliënten. Artikel 6 § 4 eID-Wet bepaalt immers uitdrukkelijk: “Het Rijksregisternummer en de foto van de houder mogen enkel gebruikt worden indien hiertoe gemachtigd is door of krachtens een wet, een decreet of een ordonnantie.” Een toestemming had ter zake in elk geval geen afdoende rechtsgrond kunnen vormen. 48. De Geschillenkamer concludeert dat de verweerder door zonder machtiging gegevens uit het Rijksregister te verwerken, een inbreuk pleegt op artikel 8 van de Wet Rijksregister en artikel 6 § 4 eID-Wet. 49. Aangezien de verwerking strijdig is met de nationale bepalingen die het gebruik van het Rijksregisternummer reguleren, ontbreekt eveneens de noodzakelijke rechtsgrond onder artikel 6 AVG, gelezen in het licht van artikel 87 AVG. 50. Om deze redenen zal de Geschillenkamer overgaan tot de berisping van de verweerder. II.3. Omtrent de informatieverplichtingen – opportuniteitsseponering 51. De vaststellingen door de Inspectiedienst met betrekking tot de niet-nageleefde informatieverplichtingen hangen nauw samen met de onrechtmatigheid van de persoonsgegevensverwerkingen die verband houden met het gebruik van het Rijksregister. 52. Gezien de verweerder intussen maatregelen heeft genomen om haar informatie bij te werken, zoals aangekondigd in haar eerste positie-inname bij de Geschillenkamer dd. 5 oktober 2021, besluit de Geschillenkamer ter zake over te gaan tot het Beschikbaar via: Cfr. Sepotcriterium B.6. in Sepotbeleid van de Geschillenkamer, beschikbaar https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. via: opportuniteitssepot.11 10 Vb. Geschillenkamer, Beslissing 61/2020 van 8 september 2020, https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-61-2020.pdf. 11 Beslissing ten gronde 204/2025 — 11/12 II.4. Omtrent het verwerkingsregister – inbreuk art. 30 AVG 53. De Inspectiedienst stelde vast dat verschillende essentiële elementen in het verwerkingsregister ontbraken. 54. Zo werd de naam van de verwerkingsverantwoordelijke en DPO niet uitdrukkelijk vermeld, wat een inbreuk uitmaakt op artikel 30, lid 1,
6. a)AVG. Eveneens werden niet alle verwerkingsdoeleinden opgesomd (inbreuk op artikel 30, lid 1,
7. b)AVG) en werd er geen beschrijving gegeven van de genomen technische en organisatorische beveiligingsmaatregelen cfr. artikel 32, lid 1 AVG (inbreuk op artikel 30, lid 1,
8. g)AVG). 55. Na het onderzoek droeg de verweerder aan dat zij verdere maatregelen zou nemen om het verwerkingsregister beter in overeenstemming te brengen met artikel 30 AVG. Terzelfdertijd zij er op gewezen dat een organisatie als verweerder veel persoonsgegevens, en vaak ook gevoelige persoonsgegevens, verwerkt en dat zij zich dus bewust moet zijn van haar verplichtingen inzake deze verwerkingen. Het nauwkeurig naleven van de verplichtingen is dan ook van primordiaal belang. 56. Om deze reden zal de Geschillenkamer overgaan tot de berisping van de verweerder met betrekking tot dit aspect. III. Publicatie van de beslissing 57. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. 58. In dit kader stelt de Geschillenkamer vast dat de omstandigheden van deze zaak verband houden met het gebruik zonder machtiging van het Rijksregister door de verwerkingsverantwoordelijke. In die omstandigheden werden verschillende interne meldingen gedaan door minstens één medewerker omtrent de rechtmatigheid van dergelijk gebruik. 59. Gezien het gebruik van gegevens uit het Rijksregister per definitie een groot aantal Belgisch burgers treft, en gezien de rol die de verwerkingsverantwoordelijke – die op significante wijze met publieke middelen wordt gefinancierd – heeft in het Belgische en regionale welzijnswerk, is de publicatie van de identiteit van deze verwerkingsverantwoordelijke in het algemeen belang.