Beslissing ten gronde nr. 23/2024

1/12 Geschillenkamer Beslissing ten gronde 23/2024 van 24 januari 2024 Dossiernummer : DOS-2023-02401 Betreft : Klacht wegens het onrechtmatig doorgeven van persoonsgegevens van leden van een seniorenvereniging De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk VAN DER KELEN en Frank DE SMET, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: Dhr. X, hierna “de klager” De verweerder: Dhr. Y, hierna “de verweerder” Beslissing ten gronde 23/2024 — 2/12 I. 1. Feiten en procedure Het voorwerp van de klacht betreft het beweerdelijk onrechtmatig overdragen van persoonsgegevens aan een derde en het aanwenden van persoonsgegevens voor nietverenigbare doeleinden. 2. De seniorenvereniging “Z” in Blankenberge verloor twee bestuursleden gedurende de COVID-periode, waardoor de actieve werking van de vereniging in het gedrang kwam. Op 30 september 2021 werd tijdens de Algemene Vergadering overgegaan tot een stemming betreffende het verder blijven bestaan van de vereniging. Deze stemming eindigde met het opheffen van de vereniging. 3. Nadat alle communicatie met de (oud-)leden twee jaar lang stil lag, volgt op 8 april 2023 een e-mail vanwege de verweerder. Hij nodigt alle oud-leden van Z uit om weer deel te nemen aan een activiteit die voordien georganiseerd werd door Z, maar die sinds het opheffen van de vereniging niet langer plaatsvond. De verweerder zou op eigen initiatief, in samenwerking met (…) een gelijkaardige activiteit op poten hebben gezet. De uitnodiging wordt verstuurd vanuit de verweerder zijn persoonlijke e-mailadres […]). 4. De verweerder vermeldt dat “uw mailadres in de toekomst NIET MEER zal gebruikt worden tenzij u daar de uitdrukkelijke toestemming voor geeft en op de hoogte wil blijven van deze en/of eventueel andere activiteiten die georganiseerd worden voor senioren. U kan daarbij vrijblijvend vermelden welke activiteiten je interesseren.” De verweerder verduidelijkt dus dat deze uitnodiging de laatste e-mail is die de leden van de voormalige Z zullen ontvangen, behoudens een uitdrukkelijk verzoek van hen om alsnog geïnformeerd te blijven over georganiseerde activiteiten (dit in de schoot van (…) – een lokale seniorenverenging van een politieke partij). Hij sluit de mail af met “mijn verontschuldigingen dat ik een laatste maal jullie mailadres heb gebruikt (tenzij jullie de uitdrukkelijke toestemming daartoe zouden geven dat het verder mag gebruikt worden voor de aankondiging van activiteiten) […].” 5. Op de uitnodiging van de verweerder reageert de klager op 17 april 2023. De klager uit zijn verbazing omtrent het gebruik van zijn e-mailadres ter aankondiging van activiteiten die (mede) georganiseerd worden door een politieke vereniging. Dit zou des te meer verrassend zijn aangezien de vereniging Z volgens de klager politieke neutraliteit hoog in het vaandel droeg. 30 april 2023 verstuurt de klager een herinnering naar de verweerder, aangezien er geen reactie volgde op de eerste brief. 6. 6 mei 2023 volgt er reactie van de verweerder op de berichten van de klager. De verweerder werpt op dat hij denkt “geen toestemming aan u [de klager] te moeten vragen om een initiatief te ontwikkelen om mensen samen te brengen en te laten deelnemen aan een filmnamiddag. [Hij] denkt ook niet dat [hij] [de klager] toestemming moet vragen om [zijn] persoonlijke kennissen daarover te informeren.” Beslissing ten gronde 23/2024 — 3/12 7. Op 17 mei 2023 dient de klager een klacht in bij de plaatselijke politie wegens het misbruik van persoonsgegevens. Tot nu toe heeft dit nog geen verdere consequenties gehad. 8. Op 24 mei 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. 9. Op 26 juni 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 10. Op 12 juli 2023 neemt de Geschillenkamer beslissing 98/2023 aan waarin zij op grond van artikel 58.2.

1. a)AVG en artikel 95, §1, 4°, WOG de verweerder waarschuwt om in de toekomst geen persoonsgegevens te verwerken zonder daartoe een geldige rechtsgrond voorhanden te hebben en de persoonsgegevens daarnevens niet te gebruiken voor andere doeleinden dan waarvoor deze oorspronkelijk werden verkregen. 11. De verweerder verzoekt om een behandeling ten gronde op 1 augustus 2023. Op 17 augustus 2023 wordt de conclusiekalender bepaald en verzonden naar de partijen. 12. Op 17 augustus 2023 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen ten aanzien van de volgende punten: - Beweerdelijke inbreuk op artikel 5.1.
2. a)AVG, wegens het onrechtmatig verder aanwenden van de (oud-)ledenlijst en de bijhorende contactgegevens van “Z” zonder betrokkenen hieromtrent behoorlijk en transparant te informeren; - Beweerdelijke inbreuk op artikel 5.1.
3. b)AVG, wegens een schending van het beginsel van “doelbinding” door de ongeoorloofde aanwending van de contactgegevens van de (oud)leden van seniorenvereniging “Z” ter uitnodiging om zich aan te sluiten bij “…” en deel te nemen aan activiteiten in het kader van de werking van deze organisatie; - Beweerdelijke inbreuk op artikel 6.1 AVG, wegens het ontbreken van een rechtsgrond voor de verdere verwerkingen die plaatsvinden met de (oud-)ledenlijst en de bijhorende contactgegevens; - Beweerdelijke inbreuk op artikel 12.2 en artikel 13, gelezen in samenhang met artikel 5.2 juncto artikel 24.1 en 24.2 van de AVG, wegens het nalaten om de klager te informeren over de verwerking van diens persoonsgegevens door middel van een privacyverklaring. 13. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 6 oktober 2023, deze voor de conclusie van repliek van de klager op 3 november 2023 en deze voor de conclusie van repliek van de verweerder op 1 december 2023. Beslissing ten gronde 23/2024 — 4/12 14. Op 15 september 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. 15. De verweerder werpt op dat de leden van de voormalige Z wel degelijk afdoende geïnformeerd waren in de zin van artikel 5.1.a), in samenhang gelezen met artikel 13) AVG. De mail van 8 april 2023 zou reeds voldoende informatief zijn, aldus de verweerder. Artikel 5.1.
4. b)AVG (het beginsel van doelbinding) zou eveneens niet geschonden zijn volgens de verweerder, aangezien de leden van Z niet verplicht zijn om lid te worden van (…). Het doel van de mail van 8 april 2023 is nog altijd hetzelfde als oorspronkelijk voor ogen, zijnde het samenbrengen van mensen. Aangezien de activiteiten van (…) gelijkaardig zijn aan de activiteiten destijds georganiseerd door Z heeft de verweerder de e-mailadressen eenmalig gebruikt om de leden van de voormalige Z te informeren. 16. De verweerder voegt een formulier toe dat bij het ontstaan van Z aan de toenmalige leden zou zijn overgemaakt. Aan de hand van dit formulier zouden de leden van de opgedoekte Z kunnen aangeven van welke activiteiten zij op de hoogte wensten te worden gehouden. Dit formulier was niet verplicht in te vullen. Onderaan hierop staat te lezen dat “de persoonsgegevens enkel [worden] gebruikt om je op de hoogte te houden van de activiteiten van Z en het Z1 en nooit [worden] doorgegeven aan derden.” De verweerder vermeldt ook het volgende in zijn verweer: “Ik wil hier benadrukken dat de contactgegevens van de oud-leden die ik in mijn bezit heb als vroegere secretaris van Z, NOOIT in het bezit werd gesteld van derden en ook nooit zullen worden gegeven. Wel is (…) op de hoogte van het aantal niet-leden dat op de hoogte wil blijven van de activiteiten ingericht door hen.” 17. Op 29 oktober 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager, waarin met betrekking tot het voorwerp van de klacht de hieronder aangehaalde punten worden meegedeeld. Het voornaamste dat de klager in zijn conclusies naar voren schuift is de verklaring van mevr. W (voorzitster van (...)) dat zij over de oud-ledenlijst van “Z” beschikt.1 Deze verklaring is ondertekend door de voorzitster op 4 oktober 2023. Hieruit concludeert de klager het volgende: “Dit is compleet in tegenspraak met de stelling van dhr. Y dat hij de ledenlijst van Z nooit heeft doorgegeven. Het is duidelijk en hiermee helder bewezen dat de gegevens van de personen die deelnamen aan de activiteiten van Z” wel werden overgemaakt aan de politieke seniorenvereniging en aan (…)” 1 “Ik ben in het bezit van de oud-ledenlijst van “Z”.” Beslissing ten gronde 23/2024 — 5/12 De klager onderstreept eveneens dat het samenbrengen van mensen in de schoot van een politieke vereniging geen verenigbaar doel kan uitmaken als de oorspronkelijke verwerking van persoonsgegevens die plaatsvond in het kader van neutrale organisatie. De klager acht het doelbeginsel aldus geschonden. 18. Op 1 december 2023 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De verweerder brengt aan dat er honderden bestemmelingen wensten verder op de hoogte gehouden te worden. Er zijn er honderden die niet geantwoord hebben en die niet verder gemaild zullen worden. De verweerder verklaart wel degelijk een lijst met gegevens te hebben overgemaakt aan (…), maar dit zou enkel de persoonsgegevens betreffen van zij die uitdrukkelijk zijn ingegaan op de vraag of zij verdere contactopnames wensen, in overeenstemming met wat hij reeds in zijn eerste conclusies heeft geschreven. Wat de verklaring van mevr. W betreft, verduidelijkt de verweerder dat het onduidelijk is van wie zij deze ledenlijst zou hebben verkregen, noch wat deze lijst concreet inhoudt (bijvoorbeeld hoeveel leden deze lijst telt). De verweerder legt vervolgens zelf een verklaring van mevr. W voor die het volgende stelt: “Naar aanleiding van ons telefoongesprek heb ik nog eens goed nagedacht en moet ik vaststellen dat ik nooit gezegd heb dat ik nog [sic] (…) in het bezit zijn van de lijst van Z”. De brief die ik getekend heb was volgens mij dat wij afzien van de lijst en dat wij die niet in ons bezit hebben.” Beslissing ten gronde 23/2024 — 6/12 II. Motivering 19. De klacht kan onderverdeeld worden in twee aspecten; enerzijds is er een luik dat het aanhoudend bewaren van de ledenlijst en het hiervan aanwenden om de oud-leden van Z uit te nodigen voor activiteiten betreft, en anderzijds is er de beweerde doorgifte van diezelfde oud-ledenlijst aan (…). 20. Wat het eerste luik van de klacht betreft, leidt de Geschillenkamer af dat er op voorhand niet duidelijk is bepaald hoe de verwerking van persoonsgegevens zou plaatsvinden, met name wat er moest gebeuren met de (oud-)ledenlijsten wanneer de vereniging zou eindigen te bestaan. In principe zou het retentiebeleid van de vereniging, overeenkomstig het beginsel opgenomen in artikel 5.1.
5. e)AVG, moeten voorzien in een tijdige wissing van de persoonsgegevens. Deze vaststelling van de Geschillenkamer geldt echter ten aanzien van de reeds ontbonden vereniging Z als verwerkingsverantwoordelijke en valt niet binnen de reikwijdte van de huidige klacht. De verweerder in casu heeft pas de verwerkingsverantwoordelijkheid op zich genomen toen deze besloot de persoonsgegevens aan te wenden voor een contactopname met de oud-leden in het kader van het organiseren van een activiteit. 21. De verweerder haalt in dit verband in een van zijn antwoorden aan de klager aan dat hij niet diens toestemming nodig heeft om zijn persoonlijke kennissenkring in te lichten over het plaatsvinden over een activiteit. Hoewel de Geschillenkamer akkoord gaat dat een uitnodiging van de persoonlijke kennissenkring onder de huishoudelijke uitzondering zou kunnen vallen overeenkomstig artikel 2.2.
6. c)AVG, moet zij vaststellen dat er in casu duidelijk gebruik werd gemaakt van de oud-ledenlijst van Z Bovendien betreft het een evenement dat wordt georganiseerd in samenwerking met een vereniging, waaruit blijkt dat dit niet een louter persoonlijke aangelegenheid betreft.2 De maillijst is bovendien opgesteld omwille van het bestaan van de seniorenvereniging Z, een vereniging met rechtspersoonlijkheid. De Geschillenkamer oordeelt dat er geen beroep kan worden gedaan op de huishoudelijke exceptie.3 22. De informatieverplichting van de verweerder in casu slaat louter op het blijvend bewaren van de persoonsgegevens en het aanwenden van de contactgegevens om de oud-leden in te lichten over een gelijkaardige activiteit zoals deze oorspronkelijk door Z werden georganiseerd door de verweerder. De betrokkenen zijn immers op het moment van het uitsturen van de eerste uitnodiging dd. 8 april 2023 niet op de hoogte van het feit dat hun persoonsgegevens nog steeds bewaard blijven op een lijst die voortkomt uit de ledenlijst 2 Zie ook beslissing 25/2020 van de Geschillenkamer, para. 57 e.v., voor meer duiding omtrent het concept “huishoudelijke exceptie”. 3 Zie ook overweging 18 AVG. Beslissing ten gronde 23/2024 — 7/12 van Z Daarnaast werden zij niet geïnformeerd over eventuele latere contactopnames die zouden volgen omtrent activiteiten door derden georganiseerd. 23. In dit verband concludeert de Geschillenkamer dat de betrokkenen niet (afdoende) geïnformeerd werden en er aldus niet voldaan is aan het transparantiebeginsel opgenomen in artikel 5.1.
7. a)AVG. Het transparantiebeginsel dient in samenhang te worden gelezen met de informatieplicht in artikel 13 AVG. De Geschillenkamer oordeelt dat hieraan eveneens niet is voldaan. 24. Een tweede grief die de klager opwerpt, is het aanwenden van de persoonsgegevens die verzameld werden in een specifieke context (i.e. het organiseren van activiteiten in een politiek en ideologisch neutrale vereniging) voor een ander doeleinde (i.e. het organiseren van activiteiten in samenwerking met of in de schoot van een vereniging met een politieke kleur). 25. Het is voor de Geschillenkamer onduidelijk of de persoonsgegevens in het kader van de ledenwerking van Z werden verwerkt op basis van de toestemming (artikel 6.1.
8. a)AVG) of het gerechtvaardigd belang (artikel 6.1.
9. f)AVG). Uit het toestemmingsformulier dat aan de Geschillenkamer werd meegedeeld blijkt immers niet overduidelijk dat het formulier betrekking heeft op het geven van een toestemming overeenkomstig artikel 6.1.
10. a)AVG. Bovendien is niet aan alle vereisten om te kunnen spreken over een geldige toestemming conform artikel 4.11) AVG voldaan. Er is immers geen duidelijke toestemming opgenomen in het formulier dat door de verweerder aan de Geschillenkamer werd overgemaakt. Ook werd geen informatie over de eventuele verwerkingen opgenomen. De Geschillenkamer redeneert daarom dat er wellicht beroep werd gedaan op artikel 6.1.
11. f)AVG (i.e. het gerechtvaardigd belang om de leden op de hoogte te houden van de georganiseerde activiteiten die zij zelf interessant vonden). Bij een oorspronkelijke verwerking die gebaseerd was op artikel 6.1.
12. f)AVG is het mogelijk dat er zich een verdere verwerking voordoet, wanneer deze verwerking verenigbaar is met de oorspronkelijke verwerking (cf. artikel 6.4 AVG). 26. Overeenkomstig artikel 5.1.
13. b)AVG kan de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria opgenomen in artikel 6.4 AVG en overweging 50 AVG4 dient aldus te worden nagegaan of 4 Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. Beslissing ten gronde 23/2024 — 8/12 de verdere verwerking, in casu het aanwenden van de contactgegevens van de ledenlijst van Z ter uitnodiging van een activiteit van een derde vereniging, al dan niet verenigbaar is met de initiële verwerking bestaande uit het bewaren van een ledenlijst en het aanwenden van de contactgegevens voor het informeren van de leden van activiteiten die georganiseerd werden door Z of het Z1. 27. De Geschillenkamer komt tot het besluit dat de klager die zijn persoonsgegevens overmaakte aan het bestuur van Z binnen het kader van diens lidmaatschap bij de vereniging er zich geenszins redelijkerwijs aan kon verwachten dat de verweerder, die wel een link heeft met de organisatie van de voormalige Z maar die niet in het bestuur van deze organisatie zetelde, deze persoonsgegevens zou aanwenden, na de ontbinding van de desbetreffende organisatie, met als doel een uitnodiging uit te sturen voor een activiteit van een andere vereniging.5 In het formulier dat de oud-leden konden invullen, en dat de verweerder in diens conclusies meedeelt aan de Geschillenkamer, staat het volgende vermeld; “De persoonsgegevens worden enkel gebruikt om je op de hoogte te houden van de activiteiten van Z en het Z1 en worden nooit doorgegeven aan derden. (eigen onderstreping door de Geschillenkamer)” Hierbij moet worden gewezen op het feit dat het kader waarin de persoonsgegevens oorspronkelijk werden verzameld geen verenigbare verdere verwerking rechtvaardigt.6 De persoonsgegevens werden immers verzameld door (het bestuur van) Z en deze vereniging werd reeds in 2021 ontbonden. 28. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking, zodat er een afzonderlijke rechtsgrond is vereist opdat de aanwending van de contactgegevens voor het uitsturen van een uitnodiging van een activiteit van een andere vereniging als rechtmatig zou kunnen worden bestempeld. 29. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere verwerking zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een rechtsgrond bestaat. Voor onverenigbare verdere verwerkingen dient te worden teruggevallen op artikel 6.1. AVG en overweging 50 AVG. In overweging 50 AVG 7 is opgenomen dat een afzonderlijke rechtsgrond is vereist voor de verwerking van persoonsgegevens voor andere doeleinden die niet verenigbaar zijn met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Die afzonderlijke rechtsgronden op basis waarvan een verwerking, met inbegrip dus van onverenigbare 5 Zie ook beslissing ten gronde 03/2021 van 13 januari 2021 voor een analoge redenering (para. 13 e.v.). 6 Zie hiervoor artikel 6.4.
14. b)AVG. 7 Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. […] Beslissing ten gronde 23/2024 — 9/12 verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn bepaald in artikel 6.1. AVG. 30. De Geschillenkamer oordeelt daarom dat het beginsel van doelbinding (artikel 5.1.
15. b)AVG) is geschonden door de verweerder, omwille van het ongeoorloofd aanwenden van de contactgegevens van de oud-leden van Z ter uitnodiging van de activiteiten in het kader van de werking van (…), ook wanneer de uitnodiging niet rechtstreeks van deze laatste afkomstig was. 31. De verweerder zelf maakt geen melding van enige rechtsgrond dewelke hem zou toelaten over te gaan tot de gegevensverwerking die het voorwerp uitmaakt van de klacht. Op basis van de feitelijke elementen in het dossier aanwezig gaat de Geschillenkamer ambtshalve na of er desgevallend een rechtsgrond kan worden ingeroepen die de verweerder zou toelaten over te gaan tot het aanwenden van de ledenlijst van Z voor het versturen van mailverkeer aangaande andere activiteiten. 32. De Geschillenkamer stelt wel vast dat er geen rechtsgrond lijkt te zijn waarop de verweerder de verwerking van de persoonsgegevens kan baseren voor wat betreft het verder verwerken van de persoonsgegevens en het contacteren van de betrokkenen voor activiteiten. Noch de toestemming, noch het gerechtvaardigd belang kunnen dienen als een basis voor de verdere verwerking van de persoonsgegevens in het kader van de mail van 8 april 2023 van de verweerder. 33. De toestemming die initieel gegeven werd om de persoonsgegevens te verwerken met het oog op de hoogte te blijven van activiteiten van Z zou immers niet strekken tot informatie over activiteiten georganiseerd door andere verenigingen. Bovendien is er bezwaarlijk sprake van een vrije, geïnformeerde, uitdrukkelijke en specifieke toestemming.8 34. Voor wat betreft het gerechtvaardigd belang als mogelijke rechtsgrond voor de verwerking moet de Geschillenkamer vaststellen dat deze verwerking niet onder de redelijke verwachtingen van de betrokkenen vallen9 (wederom doordat in het formulier net is opgenomen dat de persoonsgegevens enkel worden verwerkt met het oog op de activiteiten van Z en het Z1 ), en de verwerking bijgevolg niet de afwegingstoets die moet plaatsvinden in het kader van de toepassing van artikel 6.1.
16. f)AVG doorstaat10. Deze overweging op zich is reeds voldoende voor de Geschillenkamer om vast te stellen dat er geen beroep kan worden gedaan op artikel 6.1.
17. f)AVG als rechtsgrond voor de verwerking. Hierdoor stelt de Geschillenkamer een schending van artikel 6.1 en 5.1.
18. a)AVG vast. 8 Zie de artikelen 4.11 en 7 AVG; zie richtsnoeren (EDPB) 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 van 4 mei 2020. 9 EDPB Richtsnoeren 3/2019, para. 36; HvJEU Arrest van 7 december 2023, Schufa, Gevoegde zaken C-26/22 en C-64/22, ECLI:EU:C:2023:958, para. 78. 10 HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 30. Beslissing ten gronde 23/2024 — 10/12 35. Wat betreft de eventuele doorgave van de ledenlijsten van Z aan (…), concludeert de Geschillenkamer uit het verweer van de verweerder dat er sprake is van een activiteit die mede door de verweerder is georganiseerd, maar dit in samenwerking met (…). Aangezien echter duidelijk is dat de e-mail verzonden werd door de verweerder zelf (en niet door een organiserend lid van (…)), blijkt hieruit niet dat de ledenlijst van Z zonder meer werd doorgegeven aan (…). De contactopname gebeurt enkel door de verweerder, niet door (…) (en ook later zal (…) geen contact opnemen met de voormalige leden van Z zonder een uitdrukkelijk verzoek hiertoe (i.e. een toestemming conform artikel 6.1.
19. a)AVG). 36. De verklaring van mevr. W die werd ingediend door de klager en die vermeldde dat (…)in het bezit is van een oude ledenlijst van Z volstaat voor de Geschillenkamer niet om te overtuigen dat de verweerder de volledige lijsten heeft overgemaakt aan (…). Zoals de verweerder ook aanhaalt wordt niet gespecifieerd of dit de gehele ledenlijst betreft, of enkel de persoonsen contactgegevens van de oud-leden die uitdrukkelijk hun toestemming hebben verleend tot contactopname. De verweerder geeft ook aan in zijn verweer dat (…) immers wél beschikt over een lijst van de oud-leden van Z die uitdrukkelijk erom verzocht hebben om op de hoogte te worden gehouden van bepaalde activiteiten die in de toekomst nog worden georganiseerd, dit (al dan niet) in samenwerking met (…). Bovendien doet de tweede verklaring van mevr. W duidelijk blijken dat zij onzeker is over haar eerste verklaring. 37. De Geschillenkamer oordeelt daarom dat er geen bewijs is dat een onrechtmatige overdracht van persoonsgegevens heeft plaatsgevonden, in zoverre dat niet de originele ledenlijst werd overgemaakt aan (…), maar slechts een beknoptere versie met de persoonsgegevens van enkel die betrokkenen die duidelijk kenbaar hebben gemaakt op de hoogte te willen worden gehouden. Er moet in dat verband gewaarschuwd worden dat de verwerkingsverantwoordelijk(
20. en)de betrokkenen degelijk moeten informeren over wat er precies met hun persoonsgegevens gebeurt, en wie hiertoe toegang heeft. III. Corrigerende maatregelen en sancties 38. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° de klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; Beslissing ten gronde 23/2024 — 11/12 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of Beslissing ten gronde 169/2023 — 57/60 een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings van Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 39. In lijn met wat reeds eerder werd besloten in beslissing 98/2023 van de Geschillenkamer, berispt de Geschillenkamer de verweerder op basis van artikel 100,§1, 5°, WOG voor het onrechtmatig gebruiken van de oud-ledenlijst van Z voor het versturen van een uitnodiging van een nieuwe activiteit en voor een schending van de informatieplicht en het transparantiebeginsel. Bovendien waarschuwt de Geschillenkamer de verweerder dat deze de ledenlijsten niet mag worden doorgeven aan derden. Aangezien de Geschillenkamer daarentegen van mening is dat een dergelijke doorgifte in casu niet is aangetoond, houdt zij het op een waarschuwing. De Geschillenkamer is van mening dat er geen bijkomende sancties moeten worden genomen, dit omwille van de kleinschalige aard van de overtredingen. 40. Ten slotte beveelt de Geschillenkamer de verweerder overeenkomstig artikel 100, §1, 9°, WOG om zich in regel te stellen met de AVG (artikel 5.1.
21. e)AVG in het bijzonder) indien dit nog niet gebeurd is; dit wil zeggen dat de verweerder de persoonsgegevens dient te verwijderen indien deze niet langer relevant zijn in het kader van de oorspronkelijke verwerking en wanneer betrokkenen niet hun toestemming overeenkomstig artikel 6.1.
22. a)AVG hebben gegeven om hun persoonsgegevens bij te houden met het oog op geïnformeerd te blijven van toekomstige activiteiten. Beslissing ten gronde 23/2024 — 12/12 IV. Publicatie van de beslissing 41. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - Op grond van artikel 58.2.b en
23. a)AVG en artikel 100, §1, 5°, WOG, de verweerder te berispen voor een schending van artikel 5.1.
24. a)juncto artikel 13 AVG, en van artikel 6.1 AVG en te waarschuwen dat de oud-ledenlijst van de vereniging Z niet aan derden mag worden doorgegeven; - Op grond van artikel 58.2.
25. c)AVG en artikel 100, §1, 9°, WOG, de verweerder te bevelen zich in regel te stellen met de artikelen 6.1 en 5.1.
26. a)AVG, door enkel persoonsgegevens te verwerken wanneer hiervoor een rechtsgrond bestaat. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 11. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.12, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 11 12 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.