Beslissing ten gronde nr. 24/2021

1/44 Geschillenkamer Beslissing ten gronde 24/2021 van 19 februari 2021 Dossiernummer : DOS-2020-02716 Betreft : Passantentellingen op specifieke locaties op de dijk en in winkelzones aan de Kust door middel van intelligente camera’s in het kader van Covid-19 De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Frank De Smet en Dirk Van Der Kelen, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; . . . Beslissing ten gronde 24/2021 - 2/44 heeft de volgende beslissing genomen inzake: - Westtoer APB, met maatschappelijke zetel gevestigd te Koning Albert I-laan 120 - 8200 SINT MICHIELS (BRUGGE) en met ondernemingsnummer 0267.388.418, hierna “de verweerder”. 1. Feiten en procedure 1. Op 9 juli 2020 beslist het Directiecomité van de Gegevensbeschermingsautoriteit op grond van artikel 63, 1° WOG om een dossier aanhangig te maken bij de Inspectiedienst aangezien het ernstige aanwijzingen vaststelde dat het gebruik van intelligente camera’s door de verweerder aanleiding zou kunnen geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens. 2. Meer bepaald werd vastgesteld dat sinds 27 juni 2020 in verschillende kustgemeenten intelligente camera’s werden ingezet teneinde aan druktemeting te doen in het kader van de Covid-19-epidemie op welbepaalde locaties op de dijk en in winkelzones van deze gemeenten. De verweerder schreef hiertoe een overheidsopdracht uit namens de betrokken kustgemeenten, die op 9 juni 2020 werd gegund aan het bedrijf X, dewelke optreedt als verwerker in de zin van artikel 4.8 AVG. 3. Op 16 juli 2020 richt de Inspectiedienst op grond van artikel 66, §1, 3° WOG een schriftelijke vraag om bijkomende informatie en documentatie aan de verweerder omtrent de voormelde verwerkingsactiviteit en meer bepaald betreffende : 1) het register van verwerkingsactiviteiten gehouden door de verweerder op grond van artikel 30 AVG; 2) het aantal geplaatste en actieve intelligente camera’s in het kader van de overheidsopdracht “Passantentellingen op specifieke locaties op de dijk en in winkelzones aan de Kust” uitgeschreven door de verweerder; 3) de naleving van de beginselen van rechtmatigheid, behoorlijkheid en transparantie (artikel 5.1

a)AVG), doelbinding (artikel 5.1
b)AVG) en minimale gegevensverwerking (artikel 5.1
c)AVG); 4) de rechtsgrond van de verwerking van persoonsgegevens via het systeem van intelligente camera’s in de zin van artikel 6.1 AVG, in samenhang gelezen met artikelen 5.2 AVG en 24.1 AVG; 5) de uitvoering van een gegevensbeschermingseffectbeoordeling (artikel 35 AVG) in het kader van de bovenvermelde overheidsopdracht; en Beslissing ten gronde 24/2021 - 3/44 6) de aanwijzing en de positie van de functionaris voor gegevensbescherming van verweerder (artikelen 37 en 38 AVG). 4. Op 13 augustus 2020 richt de Inspectiedienst per e-mail een herinneringsbrief aan de verweerder met betrekking tot de hierboven vermelde schriftelijke bevraging. 5. Per e-mail van 18 augustus 2020 stelt de verweerder de Inspectiedienst in kennis van het feit dat de e-mail via dewelke de antwoorden alsook de gevraagde documenten werden overgemaakt, laatstgenoemde klaarblijkelijk nooit heeft bereikt. 6. Per e-mail van 18 augustus 2020 maakt de verweerder zijn antwoorden op de vragen van de Inspectiedienst alsook de gevraagde documenten opnieuw over aan deze laatste. Het Inspectieverslag 7. Op 25 augustus 2020 maakt de Inspectiedienst overeenkomstig artikel 91, §2 WOG zijn inspectieverslag over aan de voorzitter van de Geschillenkamer, waardoor de Geschillenkamer wordt gevat op grond van artikel 92, 3° WOG. In zijn verslag doet de inspectiedienst binnen de scope van de ernstige aanwijzingen de volgende vaststellingen: 1) Inbreuk op de artikelen 5.1
a)(beginsel van rechtmatigheid, behoorlijkheid en transparantie),
b)(beginsel van doelbinding) en
c)(beginsel van minimale gegevensverwerking) AVG en artikel 5.2 AVG (verantwoordingsplicht): de Inspectiedienst stelt hierbij vooreerst dat de verweerder niet afdoende aantoont dat de betrokkenen behoorlijk en transparant worden geïnformeerd over de verwerking van hun persoonsgegevens via de intelligente camera’s en dat de verwijzing door de verweerder naar “de privacyverklaring die terug te vinden is op de websites van Westtoer, waaronder dekust.be” te vaag en onnauwkeurig is. Ten tweede stelt de Inspectiedienst dat de verweerder onvoldoende aantoont dat de verwerking van persoonsgegevens via de betrokken intelligente camera’s gebeurt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Ten derde stelt de Inspectiedienst dat de verweerder onvoldoende aantoont dat de via de intelligente camera’s verwerkte persoonsgegevens toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. 2) Inbreuk op artikel 6.1 AVG: de Inspectiedienst stelt vast dat de verweerder de verwerking van persoonsgegevens door middel van de intelligente camera’s steunt Beslissing ten gronde 24/2021 - 4/44 op artikel 6.1
e)AVG en dat laatstgenoemde in dit verband verwijst naar de beheersovereenkomst gesloten met de provincie West-Vlaanderen waarin wordt verduidelijkt dat de missie van de verweerder erin bestaat het toerisme in WestVlaanderen te ondersteunen. De Inspectiedienst is evenwel van oordeel dat de verweerder niet aantoont waarom het voor de verwezenlijking van die missie van algemeen belang noodzakelijk is om persoonsgegevens te verwerken via intelligente camera’s. De Inspectiedienst wijst er ter zake op dat het kunnen aantonen van die noodzaak een vereiste is op basis van artikel 6.1
e)AVG samen gelezen met artikelen 5.2 AVG en 24.1 AVG. 3) Inbreuk op artikel 12.1, 12.6, 13.1 en 13.2 AVG : de Inspectiedienst stelt vast dat de informatie die door de verweerder wordt verstrekt via de privacyverklaring gepubliceerd op de website www.westtoer.be/nl/dataverwerking niet volledig correct en transparant is. 4) Inbreuk op artikel 35.2 en 35.7 AVG : de Inspectiedienst stelt vast dat de door de verweerder opgestelde gegevensbeschermingseffectbeoordeling niet voldoet aan de vereisten vervat in voormelde artikelen en dat de functionaris voor gegevensbescherming hierbij onvoldoende werd betrokken. Verder doet de Inspectiedienst een aantal aanvullende vaststellingen, buiten de scope van de ernstige aanwijzingen, met name: 1) Inbreuk op artikel 4.11 AVG in samenhang gelezen met artikel 6.1
a)AVG alsook artikelen 7.1 en 7.3 AVG: de Inspectiedienst stelt met name vast dat op de website van de verweerder het verdere gebruik van deze website door de betrokkene wordt beschouwd als een toestemming voor het gebruik van cookies. 2) Inbreuk op artikel 30.1 AVG: de Inspectiedienst stelt vast dat het register van verwerkingsactiviteiten van de verweerder niet voldoet aan de vereisten van voormeld artikel. Meer bepaald stelt de Inspectiedienst vast dat:
i)de contactgegevens van de verwerkingsverantwoordelijke onvolledig zijn, gelet op het feit dat het e-mailadres vermeld in de privacyverklaring van de verweerder hierin niet wordt vermeld;
ii)de beschrijving van de categorieën van betrokkenen onvolledig is, hetgeen blijkt uit de vermelding van “overige” in de kolom “categorieën natuurlijke personen”; Beslissing ten gronde 24/2021 - 5/44 iii) de derde landen waarnaar persoonsgegevens worden doorgegeven, niet worden vermeld, doch enkel de verwerking van e-mailadressen via Mailchimp, zonder vermelding van de desbetreffende betrokken landen; en
iv)geen melding wordt gemaakt in het register van websitebezoekers en het gebruik van cookies. 3) Geen inbreuk op artikel 37.5 en 37.7 AVG in verband met de aanwijzing van de functionaris voor gegevensbescherming. 4) Inbreuk op artikelen 38.2 en 38.3 AVG en geen inbreuk op artikel 38.6 AVG: de Inspectiedienst stelt vast dat de functionaris voor gegevensbescherming niet voltijds werkzaam is en dat deze niet rechtstreeks verslag uitbrengt aan de hoogste leidinggevende van de verweerder. 8. Op 3 september 2020 beslist de Geschillenkamer op grond van de artikelen 95, §1, 1°, en 98 WOG dat het dossier gereed is voor behandeling ten gronde. 9. Per brief van 3 september 2020 wordt de verweerder in kennis gesteld van het feit dat het dossier gereed is voor behandeling ten gronde en wordt deze tevens op grond van artikel 99 WOG in kennis gesteld van de termijn om zijn verweermiddelen in te dienen. Conclusie van antwoord van de verweerder 10. Op 1 oktober 2020 legt de verweerder zijn conclusie van antwoord neer en verzoekt deze tevens op grond van artikel 98, 2° WOG om gehoord te worden. 11. In zijn conclusie van antwoord stelt de verweerder met betrekking tot de eerste vaststelling van de Inspectiedienst (inbreuk op de beginselen van rechtmatigheid, behoorlijkheid en transparantie (art. 5.1
a)AVG), doelbinding (art. 5.1
b)AVG) en minimale gegevensverwerking (art. 5.1
c)AVG) dat deze vaststelling noch in feite noch in rechte klopt daar de verweerder de betrokkenen afdoende heeft geïnformeerd met betrekking tot de verwerking van hun persoonsgegevens en dit, enerzijds, via de privacyverklaring opgenomen op de website van de verweerder - waaronder www.dekust.be - en, anderzijds, via het uitgebreid aantal persartikels alsook het uitsturen van een persbericht. De verweerder voegt hiervan de bewijsstukken bij en besluit dat er, gelet op deze ruime communicatie, kan worden vanuit gegaan dat het overgrote merendeel van de kustbezoekers op de hoogte was van het gebruik van de intelligente camera’s. Beslissing ten gronde 24/2021 - 6/44 12. Verder stelt de verweerder dat het passantentellingsysteem, in tegenstelling tot wat werd vastgesteld door de Inspectiedienst, wel voor een welbepaald, duidelijk omschreven en gerechtvaardigd doeleinde gebeurt, met name voor de controle van het aantal en de concentratie van bezoekers aan de kust in het kader van de bestrijding van de Covid-19pandemie. 13. Met betrekking tot de naleving van het beginsel van minimale gegevensverwerking stelt de verweerder in zijn conclusie van antwoord dat deze vooraf samen met de verwerker alsook zijn functionaris voor gegevensbescherming een grondige analyse uitvoerde teneinde te verzekeren dat het gebruik van de betrokken intelligente camera’s toereikend is, ter zake dienend en beperkt tot wat noodzakelijk is voor het beoogde doeleinde. De verweerder preciseert dat de volgende maatregelen werden genomen teneinde de gegevensverwerking zoveel mogelijk te beperken:
i)het anonimiseren van de persoonsgegevens,
ii)de korte bewaartermijn van de persoonsgegevens, iii) de beperking van het aantal en de plaatsing van de camera’s,
iv)de korte termijn van de maatregel en
v)de beperkte toegang tot de persoonsgegevens. 14. Verder zet de verweerder uiteen met betrekking tot de noodzakelijkheid van het gebruik van het systeem van intelligente camera’s dat alternatieve monitoringssystemen – zoals manuele tellingen of tellingen aan de hand van wifisignalen – dat deze laatste onvoldoende nauwkeurig zijn voor de beoogde doeleinden en enkel het gehanteerde systeem toelaat bepaalde bijkomende informatie te verkrijgen die noodzakelijk is voor de verwezenlijking van dit doeleinde. Meer bepaald stelt de verweerder dat het al dan niet respecteren van de sociale afstandsregels, de richting van het passantenverkeer en de verschillende types passanten door geen enkel alternatief systeem kunnen worden vastgesteld en dat enkel het systeem van intelligente camera’s real-time rapportering mogelijk maakt, hetgeen cruciaal is om tijdig te kunnen communiceren en, waar nodig, in te grijpen. 15. Wat betreft de tweede vaststelling van de Inspectiedienst (rechtmatigheid van de verwerking – artikel 6.1 AVG) stelt de verweerder dat het passantentellingsysteem wel degelijk noodzakelijk was voor de vervulling van de taak van algemeen belang in de zin van artikel 6.1
e)AVG, met name het bestrijden van de Covid-19-pandemie en het veilig houden van de bezoekers van de kust. De verweerder verwijst in dit verband naar de beheersovereenkomst met de provincie West-Vlaanderen. Zij stelt meer bepaald dat het systeem van de slimme camera’s de enige wijze was om voornoemd algemeen belang te vervullen, aangezien
i)enkel een telling via slimme camera’s voldoende accurate gegevens kan geven over het aantal bezoekers,
ii)enkel door een telling via slimme camera’s cruciale bijkomende informatie kan worden verkregen en iii) enkel via dit systeem aan real-time rapportering kan worden gedaan. Beslissing ten gronde 24/2021 - 7/44 16. Met betrekking tot de vaststellingen van de Inspectiedienst betreffende de transparantie (artikelen 12 en 13 AVG) erkent de verweerder dat de privacyverklaring vatbaar is voor verbeteringen doch stelt deze niet akkoord te gaan met de tenlasteleggingen. 17. Met betrekking tot de vaststellingen van de Inspectiedienst betreffende de gegevensbeschermingseffectbeoordeling (artikel 35.2 en 35.7 AVG) stelt de verweerder dat wel degelijk het advies van de functionaris voor gegevensbescherming werd ingewonnen en dat deze wel de verplichte vermeldingen van artikel 35.7 AVG bevat en voegt hieromtrent stavingsstukken toe. 18. Met betrekking tot de vaststellingen van de Inspectiedienst betreffende de toestemming voor de cookies op de website van de verweerder (artikelen 4.1, 6.1
a)en 7.1 AVG) erkent deze laatste dat de cookiepolicy voor verbetering vatbaar is doch stelt deze dat in de privacyverklaring wordt uiteengezet hoe de cookies kunnen worden verwijderd en wijst deze erop dat dit mogelijk is via de browserinstellingen. 19. Met betrekking tot de vaststellingen van de Inspectiedienst betreffende het register van verwerkingsactiviteiten (artikel 30.1 AVG) stelt de verweerder dat er geen sprake kan zijn van onvolledigheid van de contactgegevens van Westtoer enkel vanwege het ontbreken van het mailadres dataverwerking@westtoer.be. 20. Met betrekking tot de vaststellingen van de Inspectiedienst betreffende de positie van de functionaris voor gegevensbescherming (artikel 38.2 en 38.3 AVG) stelt de verweerder dat het feit dat deze zijn functie uitoefent in een 4/5 systeem niet inhoudt dat deze onvoldoende tijd zou hebben om zijn taken uit te oefenen. De verweerder wijst er in dit verband op dat de Groep Gegevensbescherming Artikel 29 er op heeft gewezen dat een functionaris gegevensbescherming zijn taken niet noodzakelijk voltijds dient uit te oefenen. De verweerder ontkent deze tenlastelegging en stelt dat de handelingen van de functionaris in dit dossier betreffende het passantentellingsysteem, en met name het advies van deze laatste, bevestigen dat de functionaris voor gegevensbescherming wel over voldoende tijd beschikt om zijn taken uit te voeren. Tot slot bevestigt de verweerder dat de functionaris voor zijn dagdagelijkse communicatie een lijn heeft met een medewerker van Westtoer, doch dat deze het recht en de plicht heeft om belangrijke punten met de top van Westtoer te delen. 21. Per brief van 9 december 2020 richt de Geschillenkamer een aantal bijkomende vragen aan de verweerder met oog op de hoorzitting. 22. Op 15 december 2020 maakt de verweerder zijn schriftelijke antwoorden op voormelde vragen van de Geschillenkamer over. Beslissing ten gronde 24/2021 - 8/44 De hoorzitting 23. Op 16 december 2020 wordt de verweerder overeenkomstig artikel 53 van het reglement van interne orde gehoord door de Geschillenkamer. 24. Tijdens deze hoorzitting geeft de verweerder de Geschillenkamer een visuele demonstratie betreffende de werking van het systeem van de intelligente camera’s gebruikt bij wijze van passantentellingsysteem. 25. Op 5 januari 2021 wordt overeenkomstig artikel 54 van het reglement van interne orde het proces-verbaal van de hoorzitting aan de verweerder overgemaakt. 26. Op 8 januari 2021 deelt de verweerder de Geschillenkamer mee geen opmerkingen te hebben betreffende voormeld proces-verbaal van verhoor. 2. Motivering 2.1. “Verwerking van persoonsgegevens” en de bevoegdheid van de Geschillenkamer 27. Artikel 4.1 AVG definieert het begrip “persoonsgegevens” als zijnde “ alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”. 28. Overeenkomstig artikel 4.2 AVG dient als een “verwerking” van persoonsgegevens te worden beschouwd: “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”. Beslissing ten gronde 24/2021 - 9/44 29. Het Hof van Justitie heeft in zijn rechtspraak meermaals bevestigd dat het vastleggen van beelden van personen met camera’s valt onder het begrip ‘persoonsgegeven’ in de zin van de Europeesrechtelijke normen inzake gegevensbescherming. In zijn arrest Ryneš stelde het Hof hieromtrent meer bepaald: “Er zij aan herinnerd dat […] deze [richtlijn] 1 van toepassing is op “de geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”. Het […] begrip “persoonsgegevens” omvat […] “iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. Als identificeerbaar wordt beschouwd “een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van […] één of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke identiteit”. Een door een camera vastgelegde afbeelding van een persoon valt derhalve onder het begrip persoonsgegevens in de zin van de in het vorige punt bedoelde bepaling, aangezien de betrokken persoon hierdoor kan worden geïdentificeerd”.2 30. In casu blijkt uit de stukken van het dossier alsook de toelichting van de verweerder tijdens de hoorzitting dat de betrokken activiteit een passantentellingsysteem betreft waarbij, door middel van het gebruik van zogenaamde “intelligente camera’s”, voorbijgangers worden gefilmd waarna de betrokken videobeelden lokaal tijdelijk (i.e. gedurende minder dan een seconde) worden opgeslagen, om vervolgens te worden “geblurd” en naar het datacenter van de verwerker te worden doorgestuurd. 31. Op grond van bovenstaande stelt de Geschillenkamer vast dat in casu sprake is van een verwerking van persoonsgegevens in de zin van artikel 4.1 juncto artikel 4.2 AVG en dat de Gegevensbeschermingsautoriteit bijgevolg bevoegd is hierop toezicht uit te oefenen en de Geschillenkamer om hieromtrent een beslissing te nemen. 2.2. Identificering van de verwerkingsverantwoordelijke (artikel 4.7 AVG) 32. Overeenkomstig artikel 4.7 AVG dient als verwerkingsverantwoordelijke te worden beschouwd: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. 1 Richtlijn 95/46/EG, opgeheven en vervangen door de AVG. 2 Arrest HvJEU van 11 december 2014, Ryneš, C-212/13, ECLI:EU:C:2014:2428, par. 20-22 (de Geschillenkamer onderlijnt). Beslissing ten gronde 24/2021 - 10/44 33. Het Hof van Justitie heeft in zijn rechtspraak het begrip “verwerkingsverantwoordelijke” meermaals ruim uitgelegd teneinde een doeltreffende en volledige bescherming van de betrokkenen te verzekeren.3 34. Overeenkomstig het Advies 1/2010 van de Groep 29 dient de hoedanigheid van de betrokken verwerkingsverantwoordelijke(
n)in concreto te worden beoordeeld.4 35. In casu stelt de Geschillenkamer vooreerst vast dat de verweerder een verwerking van persoonsgegevens uitvoerde in de zin van artikel 4.2 AVG, met name “ een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”. Zoals hierboven uiteengezet, verwerkt de verweerder videobeelden van voorbijgangers, gemaakt via een systeem van intelligente camera’s. Het feit dat deze verwerking slechts kortstondig plaatsvindt, doet geen afbreuk aan het feit dat deze onder het materieel toepassingsgebied van de AVG valt. Het betreft in casu immers een “geheel of gedeeltelijk geautomatiseerde verwerking ” in de zin van artikel 2 AVG. 36. Nog overeenkomstig het Advies 1/2010 van de Groep 29 dienen de concepten “het doel” en “de middelen” onlosmakelijk samen te worden behandeld en dient hierbij te worden vastgesteld wie het ‘waarom’ (het doel) en het ‘hoe’ (de middelen) van de betrokken verwerking bepaalt.5 37. De Geschillenkamer stelt verder vast dat de verweerder het doel en de middelen bepaalde van de betrokken verwerking van persoonsgegevens, aangezien deze als opdrachtgevend bestuur de overheidsopdracht voor diensten uitschreef met als voorwerp “Passantentellingen op specifieke locaties op de dijk en in winkelzones aan de Kust” en hierin het doel en de middelen van de betrokken verwerking bepaalde. 38. Tevens werd overeenkomstig artikel 28 AVG op 17 juni 2020 een verwerkersovereenkomst gesloten tussen de verweerder en de verwerker, waarbij eerstgenoemde wordt aangeduid 3 Zie o.a. HvJEU, 5 juni 2018, C-210/16, Wirtschaftsakademie Schleswig-Holstein, ECLI:EU:C:2018:388, par. 27-29. 4 Zie Groep 29, advies 1/2010 over de begrippen “verwerkingsverantwoordelijke” en “verwerker”, 16 februari 2010 (WP 169), zoals verduidelijkt door de GBA in een nota “Overzicht van de begrippen verwerkingsverantwoordelijke/verwerker in het licht van de Verordening (EU) nr. 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (AVG) en enkele specifieke toepassingen voor vrije beroepen zoals advocaten”. 5 Advies 1/2010 van de Werkgroep 29 over de begrippen “verwerkingsverantwoordelijke” en “verwerker”, WP 169, p. 15. Beslissing ten gronde 24/2021 - 11/44 als zijnde de verwerkingsverantwoordelijke. 6 De verweerder erkent eveneens zelf verwerkingsverantwoordelijke te zijn. 39. Op grond van bovenstaande besluit de Geschillenkamer dat de verweerder dient te worden beschouwd als verwerkingsverantwoordelijke in de zin van artikel 4.7 AVG voor de verwerking van persoonsgegevens die het voorwerp uitmaken van het onderzoek. Hij is er bijgevolg in deze hoedanigheid overeenkomstig de in artikelen 5.2 en 24 AVG vervatte verantwoordingsplicht toe gehouden om de naleving van de beginselen en bepalingen van de AVG te verzekeren. 2.3. Wat betreft de vaststellingen van de Inspectiedienst binnen de scope van de ernstige aanwijzingen 40. De Geschillenkamer stelt vast dat de vaststellingen B.1 en B.2 van de Inspectiedienst betrekking hebben op de rechtmatigheid van het passantentellingsysteem door middel van intelligente camera’s als dusdanig, daar waar de overige vaststellingen binnen de scope van de ernstige aanwijzingen betrekking hebben op de privacyverklaring en de gegevensbeschermingseffectbeoordeling. De Geschillenkamer zal voornoemde vaststellingen afzonderlijk behandelen. 2.3.1. De naleving van de beginselen inzake de verwerking van persoonsgegevens (artikelen 5.1 en 5.2 AVG) en de rechtmatigheid van de verwerking (artikel 6.1 AVG) 41. In zijn vaststellingen B.1 en B.2 stelt de Inspectiedienst vast dat de verweerder niet afdoende zou hebben aangetoond dat het gehanteerde systeem van intelligente camera’s de beginselen inzake gegevensbescherming respecteert. Meer bepaald stelt deze dat de verweerder een inbreuk zou hebben gepleegd op de artikelen 5.1
a)(rechtmatigheid, behoorlijkheid en transparantie), 5.1
b)(doelbinding) en 5.1
c)(minimale gegevensverwerking) AVG alsook de artikelen 5.2 AVG (verantwoordingsplicht) en artikel 6.1 AVG (rechtmatigheid van de verwerking). 42. Wat betreft de voormelde vaststellingen van de Inspectiedienst, wijst de Geschillenkamer er op dat het gebruik van zogenaamde intelligente camera’s in de openbare ruimte slechts conform is met de Europeesrechtelijke normen inzake gegevensbescherming indien en voor zover de volgende beginselen worden nageleefd: 6 Volgens stukken verweerder. Beslissing ten gronde 24/2021 - 12/44 A. De verwerking van de persoonsgegevens via het systeem van intelligente camera’s moet gesteund zijn op een geldige rechtmatigheidsgrond in de zin van artikel 6 AVG 43. Zoals geldt voor elke verwerking van persoonsgegevens, is de verwerking van persoonsgegevens door middel van intelligente camera’s vooreerst enkel rechtmatig indien deze gebeurt conform artikel 6.1 AVG en met name indien en voor zover aan ten minste één van de volgende voorwaarden is voldaan:
a)“de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b)de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c)de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d)de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.” 44. Indien via het systeem bijzondere categorieën van persoonsgegevens worden verwerkt - zoals gegevens over de gezondheid van de betrokkenen - dient de verwerkingsverantwoordelijke eveneens aan te tonen dat één van de uitzonderingsgronden van artikel 9.2 AVG toepassing vindt. Zulks is in casu evenwel niet aangetoond. 45. Overeenkomstig de richtsnoeren 3/2019 ter zake van het Europees Comité voor Gegevensbescherming (hierna in de Engelse afkorting: “EDPB”) kan in beginsel elke rechtsgrond voorzien in artikel 6.1 AVG een rechtsgrondslag vormen voor de verwerking van persoonsgegevens die via videobeelden zijn verkregen. De EDPB preciseert desalniettemin dat in de praktijk dergelijke verwerking doorgaans zal worden gesteund op artikel 6.1
f)AVG (gerechtvaardigd belang) dan wel artikel 6.1
e)AVG (noodzakelijk voor de vervulling van een Beslissing ten gronde 24/2021 - 13/44 taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag). In veeleer uitzonderlijke gevallen kan artikel 6.1
a)AVG (toestemming) door de verwerkingsverantwoordelijke als rechtsgrondslag worden gebruikt. 7 46. In casu blijkt uit de conclusie van antwoord van de verweerder, het door deze laatste opgestelde register van de verwerkingsactiviteiten gegevensbeschermingseffectbeoordeling dat deze alsook de de opgestelde betrokken persoonsgegevensverwerking steunt op artikel 6.1
e)AVG. De verweerder stelt meer bepaald dat zijn taak van algemeen belang erin bestaat het toerisme in West-Vlaanderen te ondersteunen en aantrekkelijker te maken en preciseert dat zulks impliceert dat dit toerisme veilig dient te kunnen gebeuren. Hij verwijst in dit verband naar de Beheersovereenkomst gesloten met de provincie West-Vlaanderen voor de periode 2020-2024.8 De verweerder preciseert dat het passantentellingssysteem door middel van intelligente camera’s de bestrijding van de Covid-19 pandemie en het veilig houden van de bezoekers van de kust tot doel had. 47. De Geschillenkamer wijst erop dat het gebruik van de rechtmatigheidsgrond vervat in artikel 6.1
e)AVG inhoudt dat de verwerkingsverantwoordelijke dient te kunnen aantonen dat:
i)deze belast is met een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag; en
ii)de betrokken verwerking noodzakelijk is voor de vervulling van voormelde taak (zie ook infra B). 48. Wat punt (
i)betreft, preciseren overweging 45 AVG en artikel 6.3 AVG dat een verwerking gesteund op artikel 6.1
e)AVG “een grondslag dient te hebben in het Unierecht of het lidstatelijke recht”. Hiermee sluit de AVG uit dat een “een taak in het kader van de uitoefening van het openbaar gezag” of “van algemeen belang” aan de verwerkingsverantwoordelijke zou worden opgedragen uit kracht van een overeenkomst of contract, zelfs indien dit in het algemeen belang werd afgesloten.9 7 EDBP Richtsnoeren 3/2019 (versie 2.0) inzake de verwerking van persoonsgegevens door middel van videoapparatuur, beschikbaar via: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personaldata-through-video_nl (hierna: Richtsnoeren 3/2019), randnr. 16. 8 Stukken verweerder. 9 KOTCHY, W., “Article 6. Lawfulness of processing” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, p. 335. Beslissing ten gronde 24/2021 - 14/44 49. Wat betreft deze grondslag die een verwerking gesteund op artikel 6.1
e)dient te hebben “ in het Unierecht of het lidstatelijke recht” stelt overweging 45 AVG voorts bovendien: “Het moet ook het Unierecht of het lidstatelijke recht zijn die het doel van de verwerking bepaalt. Voorts zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van deze verordening waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en specificaties kunnen vaststellen voor het bepalen van de verwerkingsverantwoordelijke, het type verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te zorgen voor rechtmatige en behoorlijke verwerking. Ook dient in het Unierecht of het lidstatelijke recht te worden vastgesteld of de verwerkingsverantwoordelijke die is belast met een taak van algemeen belang dan wel met een taak in het kader van de uitoefening van het openbaar gezag, een overheidsinstantie of een andere publiekrechtelijke persoon (…)” [De Geschillenkamer onderlijnt]. 50. Overweging 45 AVG preciseert evenwel dat niet voor elke afzonderlijke verwerking specifieke wetgeving vereist. Er kan bijgevolg worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen die noodzakelijk zijn voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag. 51. In casu refereert de verwerkingsverantwoordelijke naar de Beheersovereenkomst gesloten met de provincie West-Vlaanderen als basis voor zijn taak van algemeen belang in de zin van artikel 6.1
e)AVG en zijn daarin omschreven missie (zie supra). In zijn gegevensbeschermingseffectbeoordeling10 preciseert de verweerder dat “de juridische basis voor deze verwerking terug te leiden [is] naar de taken van algemeen belang en openbaar gezag van de lokale besturen”.11 52. De Geschillenkamer wijst erop dat één van de taken van algemeen belang van de lokale besturen (i.e. de gemeenten) inderdaad bestaat in het waarborgen van de veiligheid van personen op hun grondgebied (cf. onder meer artikel 135, §2 van de Nieuwe Gemeentewet). Ze stelt vast dat de verweerder in casu echter niet preciseert welke de precieze wettelijke grondslag is in het EU-recht dan wel Belgisch recht die de litigieuze verwerking verantwoordt. 10 Stukken verweerder. 11 GEB verweerder, p. 5. Beslissing ten gronde 24/2021 - 15/44 53. Overeenkomstig artikel 6.3 AVG dient evenwel, zoals reeds aangehaald, “het doel van de verwerking in die rechtsgrond [te worden] vastgesteld of met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk [te zijn] voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend”. 54. Verder kan volgens artikel 6.3 AVG de rechtsgrond tevens “specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures (…)”. 55. De Geschillenkamer verwijst in dit verband eveneens naar de wetgevingsadviezen van de Gegevensbeschermingsautoriteit (Kenniscentrum) - bijvoorbeeld betreffende bepaalde maatregelen genomen in het kader van de strijd tegen de verspreiding van het coronavirus op grond van artikel 6.1
e)AVG - waarin er eveneens wordt op gewezen dat overeenkomstig voormeld artikel 6.3 AVG, gelezen in samenhang met artikel 22 van de Grondwet en artikel 8 EVRM, een wetgevende norm de essentiële kenmerken van een gegevensverwerking moet vastleggen die noodzakelijk is voor de uitvoering van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is toevertrouwd. In voormelde adviezen wordt hierbij benadrukt dat de betrokken verwerking dient te worden omkaderd door een norm die voldoende duidelijk en nauwkeurig is waarvan de toepassing voor de betrokken personen voorzienbaar is. Er wordt hierbij gepreciseerd dat in het bijzonder de volgende elementen in deze norm dienen te worden opgenomen: de precieze doeleinde(
n)van de verwerking, de identiteit van de verwerkingsverantwoordelijke(n), de categorieën verwerkte gegevens, met dien verstande dat deze in overeenstemming moeten zijn met artikel 5.1 AVG, " toereikend, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt ", de categorieën betrokkenen van wie de gegevens zullen worden verwerkt, de bewaartermijn van de gegevens, de ontvangers of categorieën ontvangers aan wie hun gegevens worden meegedeeld, de omstandigheden waarin en de redenen waarvoor ze zullen worden meegedeeld en de eventuele beperking van de verplichtingen en/of rechten vermeld in de artikelen 5, 12 tot en met 22 en 34 AVG. 12 12 Zie o.m. adviezen 36/2020, 42/2020, 44/2020, 46/2020, 52/2020 en 64/2020 (https://www.gegevensbeschermingsautoriteit.be/burger/zoeken?q=&search_category%5B%5D=taxonomy%3Apublications& search_type%5B%5D=advice&s=recent&l=25). Beslissing ten gronde 24/2021 - 16/44 56. De Geschillenkamer wijst er in dit verband evenwel op dat taken van algemeen belang of openbaar gezag waarmee verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig omschreven verplichtingen of wetgevende normen die voldoen aan de eisen vermeld onder randnummer 55, meer bepaald het vastleggen van de essentiële kenmerken van de gegevensverwerking. Veeleer vinden verwerkingen plaats op basis van een meer algemene machtiging om te handelen, zoals voor de vervulling van de taak - zoals in casu de veiligheid en gezondheid van bewoners en toeristen van de kustgemeenten noodzakelijk is.13 Dikwijls gaat het hier over relatief oude wetgeving waar het aspect gegevensbescherming nog niet voldoende is uitgewerkt. Dit leidt ertoe dat de desbetreffende wettelijke basis in de praktijk veelal geen concreet omschreven bepalingen bevat omtrent de noodzakelijke gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke wettelijke grondslag willen beroep doen op artikel 6.1
e)AVG moeten dan zelf een afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen belang en de belangen van de betrokkenen. 57. De Geschillenkamer stelt in casu dus vast dat de verweerder aannemelijk maakt dat deze de vervulling van een taak van algemeen belang in de zin van artikel 6.1
e)AVG nastreeft. Er dient evenwel te worden vastgesteld dat de verweerder zelf niet aangeeft op welke specifieke wettelijke grondslag (zoals artikel 135, §2 van de Nieuwe Gemeentewet) in het Unierecht of lidstatelijk recht in de zin van artikel 6.3 AVG de betrokken verwerkingsactiviteit - met name het verwerken van persoonsgegevens via een systeem van intelligente camera’s in het kader van de bestrijding van Covid-19 - is gesteund. 58. Uiteraard is het allereerst de taak van de overheden op wier verzoek de verwerkingen plaatsvinden – in casu de provincie West-Vlaanderen en de betrokken kustgemeenten – om ervoor te zorgen dat een wettelijke grondslag voorhanden is die voldoet aan de vereisten van artikel 6.3 AVG. Eén en ander neemt niet weg dat ook op een verwerkingsverantwoordelijke als verweerder de plicht rust na te gaan in hoeverre een afdoende wettelijke grondslag bestaat. 59. De Geschillenkamer beperkt zich in deze beslissing tot deze algemene beschouwingen over de rechtsgrondslag. Zij heeft de aanwezigheid van een juiste rechtsgrondslag voor de betreffende verwerkingen door Westtoer niet onderzocht. Zij wijst erop dat een volledig onderzoek van de rechtsgrondslag ook zou vergen dat de provincie en alle betrokken gemeenten bij het onderzoek zouden betrokken worden. Dit zou de complexiteit van het onderzoek 13 door de Geschillenkamer aanzienlijk vergroten. Gelet op het grote KOTCHY, W., “Article 6. Lawfulness of processing” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, p. 336. Beslissing ten gronde 24/2021 - 17/44 maatschappelijke belang van een tijdige uitspraak van de Geschillenkamer die stringente voorwaarden vaststelt met het oog op mogelijke toekomstige passantentellingen is dit onderzoek in het kader van deze beslissing niet gebeurd. 60. De Geschillenkamer benadrukt verwerkingsverantwoordelijken desalniettemin voor dat de eventuele verweerder gelijkaardige en andere toekomstige verwerkingsactiviteiten er overeenkomstig de verantwoordingsplicht vervat in artikel 5.2 AVG dienen over te waken dat aan de voorwaarden van artikelen 6.1
e)AVG juncto artikel 6.3 AVG is voldaan. In een volgende beslissing omtrent maatregelen in het kader van de gezondheidscrisis kan de Geschillenkamer ook de juistheid van de rechtsgrondslag onderzoeken. B. De noodzakelijkheid en de evenredigheid van de maatregel dienen te zijn aangetoond in relatie tot de met het gebruik van de intelligente camera’s beoogde doeleinden 61. Naast de vereiste dat de verwerking van persoonsgegevens door middel van intelligente camera’s uitsluitend kan plaatsvinden mits een geldige rechtmatigheidsgrond, dient bovendien te worden aangetoond dat het gebruik van het systeem noodzakelijk is (ii; zie supra randnummer 47) en dat dit geen onevenredige aantasting inhoudt van het recht op gegevensbescherming van de betrokkenen. Deze noodzakelijkheidsvereiste zit vervat in meerdere bepalingen van de AVG, in het bijzonder artikel 5.1
c)(beginsel van de minimale gegevensverwerking) en artikelen 6.1
c)en 6.1
e)AVG. 62. De noodzakelijkheids- en evenredigheidstoets speelt des te meer indien de verwerkingsverantwoordelijke de betrokken verwerking, zoals in casu het geval is, steunt op laatstgenoemde bepaling, artikel 6.1
e)AVG. In tegenstelling tot artikel 6.1
c)AVG (wettelijke verplichting die rust op de verwerkingsverantwoordelijke), zal - zoals hierboven reeds gesteld - de taak van algemeen belang of openbaar gezag waarmee de verwerkingsverantwoordelijke is belast, immers vaak niet resulteren in nauwkeurig omschreven verplichtingen doch veeleer in een meer algemene machtiging om te handelen zoals voor de vervulling van de taak - zoals in casu de veiligheid en gezondheid van bewoners en toeristen van de kust - noodzakelijk is.14 63. Hieruit vloeit voort dat de verwerkingsverantwoordelijke desgevallend een zekere afweging dient te maken tussen de in voormeld artikel vermelde noodzaak en de belangen van de betrokkenen. In dit verband dient erop te worden gewezen dat, wat betreft deze 14 KOTCHY, W., “Article 6. Lawfulness of processing” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, p. 336. Beslissing ten gronde 24/2021 - 18/44 belangenafweging, artikel 6.1
e)AVG in wezen niet fundamenteel verschillend is van artikel 6.1
f)AVG (gerechtvaardigd belang). Voornoemd element van belangenafweging verklaart eveneens het recht van bezwaar vervat in artikel 21 AVG, dat enkel geldt voor verwerkingen gebaseerd op deze beide rechtmatigheidsgronden. 64. De Geschillenkamer wijst erop dat de noodzaak onder meer dient te worden beoordeeld en de hierboven toegelichte afweging dient te worden gemaakt in het licht van de rechtspraak van het Hof van Justitie van de Europese Unie alsook artikel 8 van het Europees Verdrag voor de Rechten van de Mens (“EVRM”) en artikel 22 van de Belgische Grondwet alsook de ernst van de inmenging in de persoonlijke levenssfeer van de betrokkenen. 65. In zijn rechtspraak - onder meer in het arrest Huber - wees het Hof van Justitie van de Europese Unie er ter zake op dat het concept van ‘noodzakelijkheid’ in de zin van artikel 6.1
e)AVG strikt dient te worden geïnterpreteerd en dient te worden beoordeeld in het licht van de evenredigheid en dat, met andere woorden, indien verschillende alternatieven voorhanden zijn om het nagestreefde doel te bereiken, voor het minst ingrijpende alternatief dient te worden geopteerd.15 66. Het noodzakelijke en evenredige karakter van de maatregel dient bijgevolg meer bepaald te worden aangetoond met betrekking tot het gebrek aan minder ingrijpende middelen voor de rechten en vrijheden van de betrokkenen via dewelke de beoogde doeleinden eveneens zouden kunnen worden bereikt. 67. Wat betreft de noodzakelijkheid van het door hem gehanteerde systeem van intelligente camera’s, stelt de verweerder in zijn conclusie van antwoord alsook tijdens de hoorzitting vooreerst dat dit passantentellingssysteem de enige wijze was om de Covid-19 pandemie efficiënt te bestrijden en aldus zijn taak van algemeen belang te vervullen en dit omwille van de volgende redenen: i. enkel een telling via intelligente camera’s kan voldoende accurate gegevens geven over het aantal bezoekers. De verweerder preciseert hieromtrent dat de bezoekersstromen complex zijn en dat enkel het systeem van intelligente camera’s dergelijke bezoekersstromen met voldoende accuraatheid kan meten, daar waar alternatieve monitoringssystemen veel minder accuraat zijn; ii. enkel een telling via intelligente camera’s kan cruciale bijkomende informatie verstrekken. De verweerder stelt hieromtrent dat, teneinde passende beslissingen te nemen, bijkomende informatie dient te worden verkregen, zoals met name de richting van de bezoekersstromen; en 15 HvJEU, Huber, C-524/06, ECLI:EU:C:2008:724, par. 59-61. Beslissing ten gronde 24/2021 - 19/44 iii. enkel een telling via intelligente camera’s maakt de nodige real-time rapportering mogelijk. De verweerder preciseert in dit verband dat, teneinde onmiddellijk te kunnen ingrijpen indien nodig, het noodzakelijk is aan real-time rapportering te kunnen doen en dat enkel het systeem van intelligente camera’s toelaat de drukte weer te geven op een real-time dashboard en pushmeldingen te versturen. 68. De verweerder wijst erop dat dit zelfde resultaat niet kon worden bereikt door middel van het gebruik van alternatieve monitoringssystemen, zoals manuele tellingen dan wel metingen via wifisignalen, daar deze laatste onvoldoende nauwkeurig zijn voor de beoogde doeleinden en enkel het gehanteerde systeem toelaat bepaalde bijkomende informatie te verkrijgen die noodzakelijk is voor de verwezenlijking van dit doeleinde. Meer bepaald stelt de verweerder dat het al dan niet respecteren van de sociale afstandsregels, de richting van het passantenverkeer en de verschillende types passanten - zoals fietsers en voetgangers - door geen enkel alternatief systeem kunnen worden vastgesteld en dat enkel het systeem van intelligente camera’s real-time rapportering mogelijk maakt, hetgeen cruciaal is om tijdig te kunnen communiceren en, waar nodig, in te grijpen. 69. Wat betreft de evenredigheid van de betrokken verwerkingsactiviteit, wijst de verweerder erop dat de verwerking slechts een fractie van een seconde duurt daar de live camerabeelden door de software (lokaal op de camera zelf) nagenoeg onmiddellijk worden geanonimiseerd en omgezet naar raw data (geaggregeerde teldata) en geblurde beelden. De verweerder benadrukt dat de live beelden vervolgens nergens worden opgeslagen doch onmiddellijk worden verwijderd uit het geheugen van de camera. 70. De verweerder wijst er tevens op dat het evenredige karakter van de maatregel eveneens wordt gewaarborgd door de beperking ervan in tijd en ruimte. Vooreerst preciseert deze in dit verband dat het contract met de verwerker bewust voor een korte periode van drie maanden werd afgesloten en dat de maatregel bijgevolg enkel gedurende deze periode van kracht was (i.e. de zomerperiode). Ten tweede wijst de verweerder op de bewuste keuze van de plaatsen waar de betrokken intelligente camera’s werden geïnstalleerd en preciseert deze dat dit enkel gebeurde op die plaatsen waar een bijzondere drukte werd verwacht (met name dijken en winkelstraten). 71. Op basis van bovenstaande oordeelt de Geschillenkamer dat de verweerder de noodzakelijkheid en evenredigheid van het betrokken systeem met oog op de verwezenlijking van de beoogde doeleinden aantoont. De verweerder toont immers de afwezigheid aan van een alternatief - minder ingrijpend - systeem dat op dezelfde wijze deze doelstellingen zou Beslissing ten gronde 24/2021 - 20/44 kunnen verwezenlijken. Verder toont deze aan de nodige maatregelen te hebben genomen teneinde de evenredigheid te waarborgen (cf. ook infra). C. Gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG) 72. Bij de verwerking van persoonsgegevens door (intelligente) camera’s is het - gelet op de potentieel ernstige risico’s voor de rechten en vrijheden van de betrokkenen - van essentieel belang dat door de verwerkingsverantwoordelijke passende maatregelen worden genomen om ervoor te zorgen dat de principes inzake gegevensbescherming op effectieve wijze worden ingebouwd opdat deze risico’s op inbreuken op de rechten en vrijheden van betrokkenen zo veel mogelijk worden beperkt. 73. Voormelde “passende maatregelen” zijn niet enkel van technische doch eveneens van organisatorische aard en dienen door de verwerkingsverantwoordelijke te worden genomen voorafgaandelijk aan de aanvang van de verwerkingsactiviteiten zoals, in casu, het verzamelen van videobeelden, en dit met name op het ogenblik van het bepalen van het doel en de middelen van de verwerking.16 74. De verwerkingsverantwoordelijke dient, met andere woorden, de beginselen van ‘data protection by design’ (‘gegevensbescherming door ontwerp’) en ‘data protection by default’ (‘gegevensbescherming door standaardinstellingen’) in acht te nemen.17 75. Deze concepten vormen één van de hoekstenen van de AVG en de daarin centraal staande verantwoordingsplicht van artikel 5.2 juncto artikel 24 AVG. Ze zijn vervat in artikel 25 AVG en worden nader toegelicht in overweging 78 AVG. 76. Overeenkomstig artikel 25.1 AVG dient de verwerkingsverantwoordelijke meer bepaald, “rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, de passende technische en organisatorische maatregelen nemen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van de AVG en ter bescherming van de rechten van de betrokkenen ”. 16 Richtsnoeren 3/2019, randnr. 126. 17 De Geschillenkamer hanteert hierna de afkorting “DPbDD” wanneer het over beide concepten tegelijk gaat. Beslissing ten gronde 24/2021 - 21/44 77. Artikel 25.2 AVG bepaalt dat “de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen [treft] om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt”. 78. Overweging 78 AVG preciseert met betrekking tot voormelde technische en organisatorische maatregelen dat deze “onder meer [kunnen] bestaan in het minimaliseren van de verwerking van persoonsgegevens, het zo spoedig mogelijk pseudonimiseren van persoonsgegevens, transparantie met betrekking tot de functies en de verwerking van persoonsgegevens, het in staat stellen van de betrokkene om controle uit te oefenen op de informatieverwerking en uit het in staat stellen van de verwerkingsverantwoordelijke om beveiligingskenmerken te creëren en te verbeteren”. 79. In zijn richtsnoeren 4/2019 omtrent DPbDD preciseert de EDPB dat gegevensbescherming door standaardinstellingen verwijst naar een vooraf bestaande of vooraf geselecteerde waarde van een aanpasbare instelling binnen een software-applicatie. In deze richtsnoeren omschrijft de EDPB gegevensbescherming door ontwerp als “het beschermen van de rechten van betrokkenen en verzekeren dat de bescherming van hun persoonsgegevens eigen (‘ingebouwd’) is in de verwerking”.18 80. Het Hof van Justitie heeft in zijn rechtspraak eveneens het belang benadrukt van deze concepten en heeft met name in zijn arrest Digital Rights Ireland gesteld dat de essentie van artikel 8 van het Handvest van de Grondrechten van de Europese Unie vereist dat technische en organisatorische maatregelen worden genomen om te waarborgen dat persoonsgegevens doeltreffend worden beschermd tegen elk risico op misbruik en tegen elke vorm van ongeoorloofde toegang en gebruik.19 81. In casu stelt de Geschillenkamer vast op basis van zowel de stukken van het dossier als de demonstratie van het systeem van intelligente camera’s tijdens de hoorzitting door de verweerder dat deze laatste een reeks organisatorische en technische maatregelen nam EDBP Richtsnoeren 4/2019 (versie 2.0), Guidelines on Article 25 – Data Protection by Design and by Default, beschikbaar via: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_ en.pdf (hierna: Richtsnoeren 4/2019). 18 19 HvJEU, gevoegde zaken C-293/12 en C-594/12, Digital Rights Ireland, par. 40 en 66-67. Beslissing ten gronde 24/2021 - 22/44 teneinde, enerzijds, de verwerking van persoonsgegevens zoveel mogelijk te beperken en, anderzijds, deze gegevens te beschermen en te beveiligen. 82. Deze maatregelen werden genomen na het advies van de functionaris gegevensbescherming en na de uitvoering van een gegevensbeschermingseffectenbeoordeling op basis van artikel 35 AVG door de verweerder met betrekking tot het systeem van intelligente camera’s (cf. ook randnrs. 131 e.v.). 83. De Geschillenkamer stelt tevens vast dat de verweerder de persoonsgegevensbescherming ab initio heeft geïntegreerd in de implementatie van het project. Dit blijkt onder meer uit het feit dat in het bestek getiteld “Passantentellingen op specifieke locaties op de dijk en in winkelzones aan de kust”, door middel waarvan deze laatste de overheidsopdracht voor de implementatie voor voormeld systeem uitschreef, in de contractuele bepalingen een titel werd voorzien betreffende gegevensverwerking en de naleving van de bepalingen van de AVG door de opdrachtnemer, die optreedt als gegevensverwerker. Tijdens de hoorzitting preciseerde de verweerder dat de uiteindelijke opdrachtnemer onder meer werd geselecteerd omwille van de bijzondere aandacht die deze besteedde aan persoonsgegevensbescherming. Hiermee handelt de verweerder overeenkomstig het bepaalde in overweging 78 AVG, in fine hieromtrent, dat stelt dat “de beginselen van gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen ook bij openbare aanbestedingen in aanmerking [moeten] worden genomen”. 84. Uit de stukken van het dossier alsook het mondeling verweer van de verweerder blijkt dat ook bij de eigenlijke implementatie van het systeem door de verweerder en de verwerker een reeks organisatorische en technische maatregelen werden genomen met oog op persoonsgegevensbescherming, conform artikelen 25.1 en 25.2 AVG. 85. Eerstgenoemd artikel vermeldt als één van deze organisatorische en technische maatregelen die door de verwerkingsverantwoordelijke dienen te worden genomen vooreerst de pseudonimisering van de betrokken persoonsgegevens. Ook overweging 78 AVG stelt dat “dergelijke maatregelen onder meer [kunnen] bestaan in (…) het zo spoedig mogelijk pseudonimiseren van persoonsgegevens”. 86. Uit de stukken van het dossier alsook uit de demonstratie van het gehanteerde systeem van intelligente camera’s door de verweerder aan de Geschillenkamer tijdens de hoorzitting, begrijpt de Geschillenkamer dat het betrokken passantentellingsysteem bestaat uit een software-component alsook een hardware-component, waarbij aan elk van de geplaatste camera’s een printed circuit board (“PCB”) wordt gekoppeld die als lokale Single Board Beslissing ten gronde 24/2021 - 23/44 Computer fungeert om lokaal de beelden real-time te verwerken. De camerabeelden (frames) worden lokaal, ter plaatse (“on premise”) verwerkt door de PCB. 87. Uit de demonstratie van het systeem tijdens de hoorzitting blijkt dat de betrokken camera’s wel degelijk voorbijgangers filmen doch dat in een fractie van een seconde relevante objecten (zoals fietsen en auto’
s)alsook individuele personen worden onderscheiden en vervangen door een zogenaamde “blob”. Dit is een gekleurd vakje die een herkende passant of een object vertegenwoordigt. De gefilmde voorbijgangers worden aldus in real-time geanalyseerd door middel van artificiële intelligentie en een zelflerend algoritme. 88. In zijn richtsnoeren 3/2019 wijst de EDPB er in dit verband tevens op dat, toegepast op de verwerking van persoonsgegevens door middel van videoapparatuur, voorbeelden van dergelijke privacyvriendelijke technologieën in de zin van artikel 25 AVG systemen zijn die het mogelijk maken om delen van het beeld die niet van noodzakelijk zijn af te schermen of vager te maken of om de beelden van derden weg te laten wanneer er video-opnamen aan betrokkenen worden verstrekt.20 89. De verweerder licht hieromtrent toe - onder meer aan de hand van schermafdrukken van de betrokken camera’s - dat in een eerste fase, met name tijdens het eerste uur na de installatie van deze camera’s, op een lage resolutie wordt gefilmd (afbeelding 1) en dat, vervolgens, in een tweede fase, de weggebruikers worden vervangen door de “blobs” (in deze beslissing ook de “geblurde beelden” genoemd). De verweerder preciseert dat de (kortstondige) verwerking van deze beelden enkel lokaal – meer bepaald op de geplaatste camera’s zelf – gebeurt en dat vervolgens twee gegevensstromen vanuit deze toestellen vertrekken naar het datacenter van de verwerker, met name (
i)geblurde beelden en (
ii)geaggregeerde teldata. Op basis van deze laatste data kan aan druktemeting - alsook controle van de sociale afstandsregels - worden gedaan en indien nodig ingegrepen. Uit de stukken van het dossier en de toelichting verstrekt door de verweerder blijkt dat de eigenlijke camerabeelden ook nergens worden opgeslagen. 20 Richtsnoeren 3/2019, randnr. 129. Beslissing ten gronde 24/2021 - 24/44 Afbeelding 1. Beelden in lage resolutie weergegeven door de firmware (fase 1) Afbeelding 2. Weggebruikers vervangen door “blobs” (fase 2) 90. Op basis van bovenstaande blijkt dat de betrokken camerabeelden bijna onmiddellijk geanonimiseerd worden en de identificatie van de gefilmde voorbijgangers onmogelijk wordt gemaakt. 91. De Geschillenkamer is van oordeel dat aldus wordt voldaan aan de vereisten van artikel 25.1 AVG en overweging 78 AVG alsook het in artikel 5.1
c)AVG vervatte beginsel van minimale gegevensverwerking, waarnaar eveneens wordt verwezen door eerstgenoemde bepalingen. Daar waar artikel 25.1 AVG slechts pseudonimisering vereist, worden de betrokken persoonsgegevens op onomkeerbare wijze geanonimiseerd. 92. Door deze nagenoeg onmiddellijke anonimisering worden immers enkel de persoonsgegevens verwerkt die “terzake dienend” zijn en “beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt” en worden deze nadien omgezet naar anonieme teldata alsook geblurde beelden. Beslissing ten gronde 24/2021 - 25/44 93. Door middel van de hierboven beschreven maatregelen wordt tevens tegemoet gekomen aan het vereiste van artikel 25.2 AVG dat de verwerkingsverantwoordelijke ervoor dient te zorgen dat “in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking”, hetgeen geldt voor “de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen (…)”. Zowel de hoeveelheid persoonsgegevens als de bewaartermijn van de livebeelden - die slechts enkele milliseconden bedraagt - worden aldus immers tot het minimum beperkt, waardoor het beginsel van opslagbeperking (art. 5.1
e)AVG) wordt nageleefd. 94. Uit de stukken van het dossier blijkt dat de verweerder tevens een aantal andere organisatorische en technische maatregelen nam teneinde de verwerking van persoonsgegevens zo beperkt mogelijk te houden, meer bepaald: i. de beperking in ruimte van de maatregel, met name de plaatsing van intelligente camera’s enkel op die locaties met een risico op grote drukte (bijvoorbeeld zeedijken en winkelzones); ii. de beperking in de tijd van de maatregel : het passantentellingssysteem met gebruikmaking van intelligente camera’s werd met name gehanteerd van juni 2020 tot 30 september 2020, en dit met uitzondering van één gemeente, waar door de aanhoudende drukte het gebruik van het systeem werd verlengd tot 1 februari 2021; en iii. beperking en beveiliging van de toegang tot de camerabeelden (zie infra). 95. Artikel 25.2 in fine AVG bepaalt wat dit laatste betreft dat de toegankelijkheid tot de betrokken persoonsgegevens dient te worden beperkt, onder meer om ervoor te zorgen dat “persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt ”. 96. De Geschillenkamer verwijst in dit verband eveneens naar de richtsnoeren 3/2019 van de EDPB, waarin deze ter zake het belang van systeembeveiliging en gegevensbeveiliging onderstreept en stelt dat dit “de fysieke beveiliging van alle systeemonderdelen, alsook systeemintegriteit, d.w.z. bescherming en bestendigheid tegen opzettelijke en onopzettelijke inbreuken op de normale activiteiten en toegangscontrole ” inhoudt alsook “de vertrouwelijkheid (gegevens zijn alleen toegankelijk voor aan wie toegang wordt verleend), integriteit (preventie van gegevensverlies of manipulatie) en beschikbaarheid (gegevens kunnen worden geraadpleegd wanneer dat nodig
is)”.21 21 Richtsnoeren 3/2019), randnr. 132. Beslissing ten gronde 24/2021 - 26/44 97. Wat dit betreft stelt de Geschillenkamer vast op basis van de stukken van het dossier dat de verwerkingsverantwoordelijke alsook de verwerker de nodige organisatorische en technische maatregelen hebben getroffen teneinde de gegevens te beveiligen en de toegang ertoe uitsluitend te beperken tot de daartoe gemachtigde personen. 98. In zijn conclusie van antwoord preciseert de verweerder hieromtrent meer bepaald dat enkel een beperkt aantal (met name zeven) medewerkers van de verwerker toegang krijgt tot de geblurde (en dus in principe anonieme) livebeelden die naar het datacenter van de verwerker worden doorgestuurd en dit met als enige doelstelling de goede werking van het systeem te controleren (bijvoorbeeld : controleren of de lens van de camera’s net is en de camera’s juist gepositioneerd staan). 99. De verweerder toont bovendien aan dat de toegang tot deze beelden onderworpen is aan strikte beveiligingsmaatregelen en wordt getraceerd. Tijdens de hoorzitting preciseert de verweerder hieromtrent dat de geautoriseerde medewerkers enkel toegang hebben tot de beelden vanuit het datacenter, dat meerdere paswoorden nodig zijn om toegang te krijgen tot deze beelden en dat de toegang is beperkt tot vijftien minuten. De verweerder benadrukte ter zake tevens dat noch de deelnemende gemeenten noch zijzelf toegang hebben tot de live camerabeelden. Ze voegde hieraan toe deze (geblurde) beelden pas voor het eerst zelf te hebben gezien ter voorbereiding van de hoorzitting in het kader van onderhavige procedure. Deze geblurde livebeelden worden bovendien ook nergens opgeslagen. 100. Wat betreft de door artikel 25 AVG voorgeschreven organisatorische en technische maatregelen, benadrukt de EDPB verder in zijn richtsnoeren dat de gekozen oplossingen geen functionaliteiten mogen bieden die niet noodzakelijk zijn (bijvoorbeeld onbeperkte bewegingsmogelijkheden van camera’s, zoomfunctie, radioverzending, analysefuncties en geluidsopnamen). De EDPB stelt hierbij dat de aanwezige maar niet noodzakelijke functies moeten worden uitgeschakeld.22 101. De verweerder preciseert in dit verband dat in de firmware van het betrokken systeem van intelligente camera’s de functies die niet noodzakelijk zijn voor het nagestreefde doeleinde werden gedeactiveerd. Deze laatste preciseert dat het bijvoorbeeld onmogelijk is gemaakt de toegepaste “blurring” uit te schakelen. De verweerder stelt verder dat de artificiële intelligentiesoftware technisch niet toelaat om niet-geblurde livebeelden uit de intelligente camera’s te verkrijgen en verwijst hierbij naar een schriftelijke verklaring van de verwerker hieromtrent. 22 Richtsnoeren 3/2019, randnr. 129. Beslissing ten gronde 24/2021 - 27/44 102. De Geschillenkamer wijst op het essentieel belang van bovenvermelde technische maatregelen teneinde te garanderen dat de beelden niet op onverenigbare wijze kunnen worden gehanteerd voor andere doeleinden dan deze waarvoor de gegevens werden verzameld (bijvoorbeeld het toegankelijk maken van de gegevens voor derden, zoals de ordediensten), hetgeen in strijd zou zijn met het beginsel van de doelbinding vervat in artikel 5.1
b)AVG. 103. Op basis van bovenstaande concludeert de Geschillenkamer dat de verweerder, overeenkomstig de op haar rustende verantwoordingsplicht ex artikel 5.2 juncto artikel 24 AVG, aantoont dat deze reeds in een vroeg stadium van het ontwerp van de verwerkingsactiviteiten door middel van het gebruik van het systeem van intelligente camera’s de passende technische en organisatorische maatregelen heeft getroffen die noodzakelijk zijn teneinde de naleving van de beginselen inzake privacy en gegevensbescherming vanaf het begin te waarborgen. Aldus vormt het door de verweerder geïmplementeerde systeem een goed voorbeeld van “data protection by design” (“gegevensbescherming door ontwerp”) in de zin van artikel 25 AVG. 104. De verweerder toont met name aan dat deze reeds van bij het uitschrijven van de overheidsopdracht betreffende het passantentellingsysteem rekening hield met de naleving van voormelde beginselen door het in overweging nemen van technologieën die voldoen aan de vereisten van DPbDD. Er werd hierbij geopteerd voor een stand alone-systeem, niet aangesloten op enig netwerk, waarbij de verwerking van persoonsgegevens door middel van videoapparatuur tot het minimum wordt beperkt en geen andere persoonsgegevens worden verzameld. 105. De verweerder voorzag in een passend beheerskader en nam technische maatregelen betreffende de (voorgenomen) verwerking, meer bepaald met betrekking tot: i. anonimisering, overeenkomstig artikel 25.1 AVG en overweging 78 AVG, door het automatisch en onomkeerbaar “blurren” van de camerabeelden na enkele milliseconden door het vervangen van voorbijgangers door “blobs”; ii. minimale gegevensverwerking (art. 5.1
c)AVG), door de korte bewaartermijn evenals de beperking in tijd en ruimte van de maatregel; iii. opslagbeperking, door het niet langer opslaan van de camerabeelden dan strikt noodzakelijk voor de verwezenlijking van de beoogde doeleinden (lokale opslag gedurende slechts enkele milliseconden) en door het bewaren van de verworven gegevens in een vorm die het onmogelijk maakt de betrokkenen te heridentificeren, conform artikel 5.1
e)AVG; Beslissing ten gronde 24/2021 - 28/44 iv. beveiliging van de gegevens en beperking van de toegang, door de beperking van de toegang tot de geblurde livebeelden tot een beperkt aantal daartoe gemachtigde medewerkers van de verwerker (zelfs wanneer personen op deze geblurde livebeelden in principe niet kunnen worden geheridentificeerd), de beveiliging van de toegang tot het systeem met meerdere paswoorden en het traceren van de toegang alsook de beperking in de tijd ervan; v. deactivatie van de niet-noodzakelijke functionaliteiten in de firmware van het systeem, op die wijze dat geen niet-geblurde livebeelden uit de camera’s kunnen worden gehaald die identificatie van de betrokkenen zou toelaten alsook door het technisch onmogelijk maken van het uitschakelen van de automatische “blurring” van de beelden. 106. Aldus heeft de verweerder voldaan aan de vereisten van artikel 25 AVG. De Geschillenkamer neemt in aanmerking dat de huidige sanitaire crisis het nemen van uitzonderlijke maatregelen vereist, die het verwerken van persoonsgegevens in het algemeen belang noodzakelijk kunnen maken, zoals bijvoorbeeld via het filmen van stromen van personenbewegingen. Het is daarbij van wezenlijk belang dat een verwerkingsverantwoordelijke de hoogste voorzorg betracht om de mogelijke nadelige gevolgen voor de betrokkenen wier gegevens worden verwerkt tot een minimum te beperken. 107. Op grond van bovenstaande concludeert de Geschillenkamer tevens dat de verweerder geen inbreuk heeft gepleegd op de artikelen 5.1 a), 5.1
b)en 5.1
c)AVG en dat deze afdoende heeft aangetoond de beginselen inzake gegevensbescherming te hebben gerespecteerd bij de implementatie van het passantentellingssysteem. 2.3.2. Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene (artikelen 12 en 13 AVG) 108. In zijn onderzoeksverslag stelt de Inspectiedienst vast dat de privacyverklaring van de verweerder op de website www.westtoer.be/nl/dataverwerking 23 niet voldoet aan de transparantieverplichtingen van de artikelen 12.1, 12.6, 13.1 en 13.2 AVG. 109. De Inspectiedienst stelt hierbij vooreerst een inbreuk vast op de artikelen 12.1 en 12.6 AVG, meer bepaald gelet op het feit dat : 23 Waarvan door de Inspectiedienst schermafdrukken werden genomen op 13 juli 2020 alsook op 18 juli 2020. Beslissing ten gronde 24/2021 - 29/44 1) de informatie die wordt verstrekt aan de betrokkenen via de privacyverklaring niet volledig correct en bijgevolg niet transparant is, aangezien niet wordt vermeld welke wijzigingen werden aangebracht aan deze privacyverklaring en wanneer dit gebeurde; 2) niet op transparante wijze wordt vermeld op grond van welke rechtmatigheidsgrond de persoonsgegevens van betrokkenen door de verweerder worden verwerkt; 3) in de privacyverklaring verkeerdelijk wordt gesteld dat voor statistisch onderzoek verwerkte persoonsgegevens worden gepseudonimiseerd, hetgeen volgens de verweerder zou betekenen dat de gegevens niet kunnen worden gelinkt aan een individu; 4) ten onrechte wordt vermeld in de privacyverklaring van de verweerder dat een betrokkene die zijn rechten wenst uit te oefenen eerst contact dient op te nemen met de verwerkingsverantwoordelijke en diens antwoord dient af te wachten alvorens zijn verzoek aan de functionaris voor gegevensbescherming te richten; 5) de privacyverklaring vermeldt dat voor de uitoefening van de rechten van betrokkenen een kopie van de identiteitskaart wordt gevraagd door de verweerder, hetgeen disproportioneel zou zijn; en 6) de privacyverklaring voor wat betreft de mogelijkheid voor betrokkenen om een klacht in te dienen bij een toezichthoudende autoriteit enkel verwijst naar de Belgische Gegevensbeschermingsautoriteit, hoewel overeenkomstig artikel 77.1 AVG bij elke Europese toezichthoudende autoriteit klacht kan worden ingediend. 110. Verder stelt de Inspectiedienst een inbreuk op de artikelen 13.1 en 13.2 AVG vast, aangezien: 1) de precieze doeleinden en de rechtsgrond voor de verwerking niet worden vermeld in de privacyverklaring; 2) de bewaartermijnen of de criteria ter bepaling van die termijnen niet worden vermeld in de privacyverklaring; en 3) het recht voor betrokkenen om de toestemming die wordt gegeven voor het gebruik van 111. Tijdens de hoorzitting erkent de verweerder dat de privacyverklaring laattijdig werd bijgewerkt doch preciseert deze dat in eerste instantie werd geconcentreerd op de gegevensbeschermingseffectbeoordeling alsook de rechtmatigheid van het systeem zelf. De verweerder voegt hieraan toe dat de privacyverklaring intussen evenwel, naar aanleiding van en in overeenstemming met de vaststellingen van de Inspectiedienst, werd aangepast en wijst erop dat een juridisch adviseur werd aangesteld om vanaf midden januari 2021 de privacydocumenten nog verder bij te werken waar nodig. Beslissing ten gronde 24/2021 - 30/44 112. De Geschillenkamer wijst erop dat overeenkomstig artikel 12.1 AVG de verwerkingsverantwoordelijke “passende maatregelen [dient te nemen] opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt (…)”. 113. Overwegingen 58 en 60 AVG preciseren dat “overeenkomstig de beginselen van behoorlijke en transparante verwerking de betrokkene op de hoogte [moet worden] gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden ervan ” en dat “overeenkomstig het transparantiebeginsel informatie die bestemd is voor het publiek of voor de betrokkene beknopt, eenvoudig, toegankelijk en begrijpelijk [moet] zijn (…)”. 114. In het geval waarin de betrokken persoonsgegevens niet bij de betrokkene zelf werden verzameld, bepaalt artikel 13 AVG welke informatie aan deze laatste dient te worden verstrekt: “Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie:
a)de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b)in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c)de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
d)de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
d)in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
e)in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
a)de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn; Beslissing ten gronde 24/2021 - 31/44
b)dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
c)wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
d)dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
e)of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;
f)het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene”. 115. De Geschillenkamer consulteerde de privacyverklaring van de verweerder (laatste consultatie op 05/02/2021) en stelde daarbij inderdaad vast dat deze laatste op zodanige wijze werd bijgewerkt dat rekening wordt gehouden met het merendeel van de opmerkingen van de Inspectiedienst en de privacyverklaring bijgevolg bijna volledig in overeenstemming werd gebracht met de desbetreffende bepalingen van de AVG. De Geschillenkamer neemt hier akte van. 116. Er wordt evenwel vastgesteld dat nog niet tegemoet werd gekomen aan alle vaststellingen van de Inspectiedienst. 117. Vooreerst stelt de Geschillenkamer in dit verband vast dat de privacyverklaring niet op voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond(
en)van de verwerking van de betrokken persoonsgegevens, zoals vereist door artikel 13.1
c)AVG. De privacyverklaring vermeldt in dit verband namelijk: “Wij verwerken jouw persoonsgegevens op basis van ofwel:  Jouw toestemming.  Een contract dat we onderling afsluiten.  Een wettelijke verplichting waaraan we moeten voldoen.  Een algemeen belang.” Beslissing ten gronde 24/2021 - 32/44 118. Er wordt echter niet nader gepreciseerd welke wettelijke verplichtingen dan wel algemeen belang het betreft. Zo wordt bijvoorbeeld voor de verwerking van de persoonsgegevens via het systeem van de intelligente camera’s niet specifiek vermeld welke de wettelijke grondslag is voor de betrokken verwerking (cf. supra; artikel 6.3 AVG). 119. Overeenkomstig de Richtsnoeren inzake transparantie opgesteld door de Groep 29 dient de informatie verstrekt op grond van artikelen 13 en/of 14 AVG concreet en definitief te zijn en mag deze geen abstracte of ambivalente formuleringen bevatten. De Groep 29 benadrukt dat dit in het bijzonder geldt voor de doeleinden van en de rechtsgrond voor de verwerking. 24 120. De Geschillenkamer is van oordeel dat zulks een schending inhoudt van artikel 13.1
c)AVG en beveelt de verweerder dan ook deze rechtsgrond(
en)overeenkomstig voormelde bepaling nader te preciseren. 121. Ten tweede stelt de Geschillenkamer vast dat de privacyverklaring evenmin duidelijk melding maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel de criteria ter bepaling hiervan, zoals vereist door artikel 13.2
a)AVG. De privacyverklaring vermeldt hieromtrent dat “de gegevens worden bewaard zolang als nodig is om onze dienstverlening te kunnen aanbieden, omdat we er een belang bij hebben of om onze wettelijke verplichtingen na te komen”. Uit de Richtsnoeren van de Groep 29 blijkt evenwel dat dergelijke formulering niet volstaat. De Groep 29 wijst er in dit verband op dat de (vermelding van
de)bewaartermijn verband houdt met het beginsel van minimale gegevensverwerking vervat in artikel 5.1,
c)AVG alsook de vereiste van opslagbeperking van artikel 5.1,
e)AVG. Deze preciseert dat “de opslagperiode (of de criteria om die te bepalen) kan (kunnen) worden gedicteerd door factoren als wettelijke vereisten of sectorale richtsnoeren, maar altijd zodanig moeten worden geformuleerd dat de betrokkene, op basis van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor specifieke gegevens/doeleinden is ”.25 122. De Geschillenkamer beveelt de verweerder bijgevolg de bewaartermijnen van de verzamelde persoonsgegevens overeenkomstig artikel 13.2
a)AVG nader te preciseren in de privacyverklaring. 123. Verder stelt de Geschillenkamer eveneens vast dat de privacyverklaring het volgende vermeldt met betrekking tot de uitoefening van de rechten van betrokkenen : 24 Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260rev1 vastgesteld op 29 november 2017, p. 9-10. 25 Werkgroep 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260Rev1,, p. 45. Beslissing ten gronde 24/2021 - 33/44 “Het kan zijn dat we een bewijs van jouw identiteit nodig hebben om jouw vraag te kunnen beantwoorden. In dat geval zullen we vragen om een kopie of een scan van je identiteitskaart of enig ander bewijs van jouw identiteit te bezorgen. Wij zullen het bewijs enkel gebruiken om vast te stellen of je daadwerkelijk de betrokkene bent waarvan de persoonsgegevens verwerkt worden, dan wel de ouder of de voogd in het geval van -16 jarigen. Van zodra we beiden tevreden zijn met het antwoord op jouw vraag zullen we het bewijs vernietigen ”. 124. Zoals eveneens aangehaald door de Inspectiedienst, wijst de Geschillenkamer erop dat overeenkomstig artikel 12.6 AVG de verwerkingsverantwoordelijke enkel aanvullende informatie mag vragen aan de betrokkene “wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 15 tot en met 21”. Het systematisch opvragen van een kopie of een scan van de identiteitskaart van de betrokkene is bijgevolg disproportioneel. 125. De Geschillenkamer wijst er in dit verband op dat enkel in de specifieke gevallen waarin de verwerkingsverantwoordelijke overeenkomstig artikel 5.2 AVG kan aantonen dat deze de betrokkene niet kan identificeren (art. 11.2 AVG) en/of dat deze redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient (art. 12.6 AVG), deze de aanvullende gegevens mag opvragen die noodzakelijk zijn voor de bevestiging van de identiteit van de betrokkene. Deze aanvullende gegevens kunnen bijvoorbeeld bestaan in een kopie van de voorzijde van de identiteitskaart waarbij enkel de persoonsgegevens die strikt noodzakelijk zijn voor deze verificatie, leesbaar zijn. De overige gegevens mogen door de klager vooraf onleesbaar worden gemaakt. 126. De Geschillenkamer stelt vast dat aan de overige vaststellingen van de Inspectiedienst intussen werd tegemoet gekomen door de door de verweerder aangebrachte wijzigingen aan de privacyverklaring, doch stelt evenwel vast dat deze ten tijde van de uitvoering van het inspectieonderzoek vaststonden. 127. De verweerder erkent dit en wijst er in zijn verweer, zoals eerder vermeld, op dat eerst werd geconcentreerd op de conformiteit met de AVG van het systeem van de intelligente camera’s zelf, alvorens de privacyverklaring aan te passen. 128. De Geschillenkamer benadrukt echter het belang van de naleving van de transparantieverplichtingen van bij het begin van de uitoefening van de verwerkingsactiviteit gelet op de impact hiervan op de uitoefening van de rechten van de betrokkenen vervat in de artikelen 15 tot en met 22 AVG, zoals geïllustreerd door de rechtspraak van het Hof van Justitie.26 26 HvJEU 1 oktober 2015, Bara, C-201/14, ECLI:EU:C:2015:638. Beslissing ten gronde 24/2021 - 34/44 129. De Geschillenkamer wijst er daarenboven op dat de verweerder als autonoom provinciebedrijf belast met een taak van algemeen belang een voorbeeldfunctie heeft op het vlak van de naleving van de wetgeving inzake de bescherming van persoonsgegevens en dat deze er bijgevolg overeenkomstig het beginsel “lead by example” te allen tijde dient over te waken te handelen conform deze wetgeving en in het bijzonder de hierboven genoemde essentiële bepalingen van de AVG betreffende transparantie. 27 130. Gelet op de medewerking van de verweerder en de aanpassing van de privacyverklaring in de loop van de procedure, acht de Geschillenkamer het evenwel niet noodzakelijk een sanctie aan voormelde vaststellingen te koppelen doch beveelt deze de verweerder wel deze privacyverklaring volledig in overeenstemming te brengen. 2.3.3. De gegevensbeschermingseffectbeoordeling (artikelen 35.2 en 35.7 AVG) 131. Volgens de Inspectiedienst heeft verweerder een inbreuk gepleegd op artikel 35.2 en 35.7 AVG. De Inspectiedienst is van oordeel dat verweerder niet, of in ieder geval niet tijdig, het advies over een GEB heeft ingewonnen van de functionaris voor gegevensbescherming (artikel 35.2). Bovendien is volgens de Inspectiedienst niet voldaan aan artikel 35.7 AVG waarin is bepaald dat de GEB de volgende elementen dient te bevatten :
a)een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder in voorkomend geval de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd;
b)een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden;
c)een beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen;
d)de beoogde maatregelen om de risico’s aan te pakken waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen. 132. Verweerder heeft in de antwoorden op de vragen van de Inspectiedienst te kennen gegeven dat de functionaris voor gegevensbescherming vanaf het begin betrokken is geweest bij de uitvoering van de GEB betreffende de intelligente camera’s. Volgens verweerder vond op 11 juni 2020 het eerste overleg plaats aangaande de GEB. In de conclusie wordt door verweerder herhaald dat zowel de functionaris voor gegevensbescherming als verweerder nadrukkelijk te kennen geven dat de functionaris vanaf de aanvang op 11 juni 2020 aanwezig en betrokken is geweest bij de uitvoering van de GEB. De Inspectiedienst is daarentegen van oordeel dat niet is bewezen dat voornoemd overleg daadwerkelijk heeft plaatsgevonden en dat de Gegevensbeschermingsautoriteit, “Strategisch Plan 2020-2025”, https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/GBA_Strategisch_Plan_28012020.p df, p. 22. 27 Beslissing ten gronde 24/2021 - 35/44 functionaris voor gegevensbescherming daarbij aanwezig is geweest. In het advies van de functionaris voor gegevensbescherming wordt verwezen naar de GEB met de bewoordingen “ de opgestelde GEB” .28 Voorgaande duidt er volgens de Inspectiedienst op dat de GEB (in ieder geval een deel ervan) reeds voordat de functionaris zijn advies uitbracht werd opgesteld. Volgens de Inspectiedienst ontbreekt er bovendien een beoordeling van de in artikel 35.1 van de AVG bedoelde risico's voor de rechten en vrijheden van betrokkenen (cf. artikel 35.7,
c)en de beoogde maatregelen om de risico’s tegen te gaan waaronder waarborgen en veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen ( artikel 35.7 d). 133. Volgens de Geschillenkamer kan uit de voorgelegde stukken inderdaad niet worden opgemaakt dat een bespreking over het opstellen van een GEB op 11 juni 2020 in bijzijn van de functionaris voor gegevensbescherming heeft plaatsgevonden. Bij gebrek aan bewijs in verband met de aan- of afwezigheid van de functionaris kan de Geschillenkamer zich daar verder niet over uitspreken. 134. Uit de voorliggende stukken blijkt echter wel dat de functionaris voor gegevensbescherming van Westtoer, zijn schriftelijk advies (gedateerd 17 juni 2020) op 18 juni 2020 heeft overgemaakt aan Westtoer. In het advies zijn opmerkingen geformuleerd en heeft de functionaris zijn goedkeuring verleend op de GEB. Volgens de Werkgroep 29 dient de verwerkingsverantwoordelijke advies over een GEB in te winnen van de functionaris voor gegevensbescherming over onder andere de volgende aangelegenheden: - welke methodologie bij een gegevensbeschermingseffectbeoordeling moet worden gevolgd; - of de gegevensbeschermingseffectbeoordeling intern uitgevoerd of uitbesteed moet worden; - welke waarborgen (waaronder technische en organisatorische maatregelen) moeten worden toegepast om eventuele risico's voor de rechten en belangen van de betrokkenen te beperken; - of de gegevensbeschermingseffectbeoordeling al dan niet correct is uitgevoerd en of de conclusies (de verwerking al dan niet uitvoeren en welke waarborgen toepassen) al dan niet in overeenstemming zijn met de algemene verordening gegevensbescherming. 29 135. De Geschillenkamer is van oordeel dat in het schriftelijk advies d.d. 17 juni 2020 van de functionaris voor gegevensbescherming, een omschrijving is te vinden van de mogelijke risico’s die de gegevensverwerking met zich zou kunnen meebrengen en een beschrijving van de waarborgen die daartegen toegepast kunnen worden. De functionaris voor gegevensbescherming heeft in het advies tevens aangegeven dat de GEB voldoet aan de 28 Advies over GEB van functionaris voor gegevensbescherming bijlage 5 bij mail van 28 juli 2020 van verweerder. 29 Werkgroep 29 WP243 rev.01 Beslissing ten gronde 24/2021 - 36/44 vereisten van artikel 35.7 AVG en benadrukt dat in de GEB eveneens rekening wordt gehouden met aandachtspunten die door de functionaris in zijn advies werden beschreven. Op 25 juni 2020, dus ruim een week na het schriftelijk advies van de functionaris, werd de GEB goedgekeurd en ondertekend door de algemeen directeur en voorzitter van raad van bestuur van verweerder. De Geschillenkamer is gezien het bovenstaande en de ingebrachte middelen en bewijsstukken derhalve anders dan de Inspectiedienst van oordeel dat de functionaris voor gegevensbescherming wel advies heeft uitgebracht over de GEB. Geen inbreuk op artikel 35.2 AVG kan worden vastgesteld. 136. Volgens de Inspectiedienst is er verder sprake van inbreuken op artikel 35.7, c en d AVG. De GEB bevat volgens de Inspectiedienst een te summiere omschrijving van de risico’s voor de rechten en vrijheden van betrokkenen. Uit de GEB zou niet blijken hoe de risico inschatting tot stand is gekomen. De beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, worden volgens de Inspectiedienst te kort en onvoldoende omschreven. 137. De Geschillenkamer is van oordeel dat de risico’s die de verwerkingen met zich zouden kunnen meebrengen voldoende nauwkeurig zijn omschreven en beoordeeld in de opgestelde GEB. Zoals de Geschillenkamer reeds eerder in deze beslissing heeft vastgesteld, is verweerder erin geslaagd om op basis van zowel een reeks organisatorische en technische maatregelen, als door het zoveel mogelijk te beperken, beschermen en beveiligen van de verwerking van persoonsgegevens, de nodige maatregelen tegen eventuele risico’s heeft getroffen. Derhalve is volgens de Geschillenkamer geen inbreuk gepleegd op artikel 35.7 AVG. 2.4. Wat betreft de vaststellingen van de Inspectiedienst buiten de scope van de ernstige aanwijzingen 2.4.1. De toestemming voor de plaatsing van cookies (artikelen 4.11, 6.1 a), 7.1 en 7.3 AVG) 138. De Inspectiedienst komt tot de conclusie dat verweerder geen toestemming vraagt voor het plaatsen van cookies op de website https://www.westtoer.be/. Er wordt door de Inspectiedienst een inbreuk vastgesteld op de artikelen 4.11, 6.1 a), en 7.1 en 7.3 AVG. Uit de schermafdrukken van bovengenoemde website die zijn genomen door de Inspectiedienst op 13 juli 201930, blijkt dat de betrokkenen die zich begeven op de website van Westtoer, 30 Stuk 8 bij het Inspectieverslag d.d. 25 augustus 2019 Beslissing ten gronde 24/2021 - 37/44 werden geacht hun toestemming te hebben gegeven op het moment dat zij verder gebruik van de website maken. Derhalve worden de betrokkenen vooraf niet gevraagd om hun toestemming te geven voor het gebruik van cookies op de websites. Er wordt evenmin toestemming gevraagd voor het plaatsen van niet noodzakelijke cookies. Dit blijkt uit de zin “Door gebruik te maken van deze site, of door op akkoord te klikken, geef je toestemming voor het gebruik van cookies”. 139. Het begrip “toestemming” bestaat uit een aantal elementen waaraan cumulatief moet zijn voldaan. Artikel 4.11 AVG definieert de toestemming als : “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.” . Het element “vrij” dient te worden geïnterpreteerd als het daadwerkelijk bieden van een keuze en het overlaten van de controle daarvan aan de betrokkene. Wanneer een betrokkene niet daadwerkelijk de keuze had en zich gedwongen voelt om in te stemmen omdat de gevolgen van het niet instemmen nadelig zouden zijn, wordt de toestemming geacht niet vrij te zijn gegeven. Wanneer toestemming een onderdeel van de voorwaarden wordt, waarover niet kan worden onderhandeld wordt deze verondersteld niet vrij gegeven te zijn. Dit betekent dat toestemming niet geacht wordt vrij gegeven te zijn indien de betrokkene zijn of haar toestemming niet zonder gevolgen kan weigeren of intrekken.31 140. De Geschillenkamer wijst in dit verband32 naar het arrest Planet 49 van het Europees Hof van Justitie.33 In dat arrest werd het toestemmingsvereiste voor het plaatsen van cookies ten gevolge van de inwerkingtreding van de AVG verduidelijkt, als volgt uitgelegd, in deze zin dat een uitdrukkelijke actieve toestemming voortaan voorgeschreven is: “In verordening 2016/679 wordt nu dus uitdrukkelijk actieve toestemming voorgeschreven. In dit verband moet worden opgemerkt dat volgens overweging32 van deze verordening de toestemming met name kan worden uitgedrukt door te klikken op een vakje bij een bezoek aan een website. Daarentegen sluit deze overweging uitdrukkelijk uit dat„ stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit” als toestemming mogen gelden. Hieruit volgt dat de toestemming van artikel 2, onder f), en artikel 5, lid3, van richtlijn 2002/58, gelezen in samenhang met artikel 4, punt11, en artikel 6, lid1, onder a), van verordening 2016/679, niet rechtsgeldig is verleend wanneer de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is 31 Zie meer uitgebreid Richtsnoeren 5/2020 van de EDPB inzake toestemming. 32 Zie meer uitgebreid Beslissing 12/2019 van de Geschillenkamer. 33 HvJEU, 1 oktober 2019, C-673/17, Planet49, ECLI:EU:C:2019:801. Beslissing ten gronde 24/2021 - 38/44 opgeslagen in de eindapparatuur van de gebruiker van een website, wordt toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken ingeval hij weigert zijn toestemming te verlenen.”(De Geschillenkamer onderlijnt) 141. Zoals hierboven beschreven, stelde de Inspectiedienst op 13 juli 2019 vast dat de bezoekers van de website worden geacht hun toestemming te hebben gegeven voor het gebruik van de sprake van vooraf gevraagde toestemming. Uit artikel 6.1 AVG blijkt echter dat die toestemming voorafgaandelijk aan de verwerking verkregen dient te worden. Door geen voorafgaande toestemming te verkrijgen van de betrokkenen, heeft verweerder gehandeld in strijd met de artikelen 6.1
a)en 7.1 AVG. 142. Verweerder heeft in haar conclusie van antwoord d.d. 1 oktober 2020 erkend dat het kennen gegeven dat het cookiebeleid inmiddels in overeenstemming is gebracht met de vigerende privacywetgeving en dat cookies voortaan enkel geplaatst worden wanneer daar actief toestemming voor is verkregen. De Inspectiedienst stelt eveneens vast dat verweerder niet voldoet aan artikel 7.3 AVG waarin is opgenomen dat de betrokkene het recht moet hebben om zijn toestemming te allen tijde in te trekken. In de eerste versie van het Inspectiedienst aan betrokkenen geen informatie gegeven over hun recht om de toestemming die zij geven voor het gebruik van cookies in te trekken. De melding betreffende de cookies die werd gebruikt was34 “Door gebruik te maken van deze site, of door op akkoord te klikken, geef je toestemming voor het gebruik van cookies”. Daarnaast stond een keuzemogelijkheid met “OK, ik ga akkoord”. Behalve de akkoord knop werd geen andere keuzemogelijkheid geboden of de mogelijkheid om het gegeven akkoord in te trekken. 143. Verweerder stelt in haar conclusie van antwoord het volgende aangaande de mogelijkheid tot intrekken van de toestemming voor cookies 35 : ”Ten slotte stelt de Inspectiedienst dat de betrokkenen niet voldoende geïnformeerd over hun recht om hun toestemming voor het gebruik van cookies in te trekken. Dit klopt niet. Vooreerst stelt de privacyverklaring in het algemeen dat "Voor bepaalde verwerkingen heb je als betrokkene steeds het recht om kosteloos jouw toestemming in te trekken". Dit recht kan uiteraard ook uitgeoefend worden waar de toestemming verleend werd voor cookies. Daarnaast vermeldt de privacyverklaring specifiek voor cookies hoe zulke 34 Schermafdruk van de website genomen door de Inspectiedienst 35 Conclusie van antwoord verweerder, p. 19. Beslissing ten gronde 24/2021 - 39/44 browser verhinderen dat cookies worden gebruikt of dat je bepaalde waarschuwingen krijgt bij het installeren of verwijderen van cookies. [...]” Bij het klikken op de links voor de voormelde browsers wordt gedetailleerd uitgelegd hoe "Cookies toestaan of blokkeren"). In de praktijk kan de gebruiker dus op elk ogenblik beslissen dat cookies niet langer verwerkt mogen worden.” 144. De Geschillenkamer deelt de stelling van verweerder niet en volgt hierbij de vaststelling van de Inspectiedienst dat verweerder in de eerste versie (van 13 juli 2020) van het cookiebeleid niet heeft voldaan aan de vereisten van artikel 7.3 AVG welk artikel als volgt luidt : ”De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan.” 36 Het intrekken van de toestemming was volgens de Geschillenkamer evident niet even eenvoudig als het geven ervan. Er werd naast de knop om akkoord te gaan met het omschreven onder randnummer 8, diende de betrokkene verschillende stappen te doorlopen via de instellingen van de browser alvorens de toestemming ingetrokken zou kunnen worden. De Geschillenkamer stelt derhalve een inbreuk vast op artikel 7.3 AVG. 145. Op 6 december 2020 werd de website https://www.westtoer.be bestudeerd door de Geschillenkamer teneinde na te gaan of er sprake was van doorgevoerde wijzigingen in het aangegeven. Dit bleek inderdaad het geval. De Geschillenkamer stelt vast dat in het venster voor het beheer van cookies nu onderscheid wordt gemaakt tussen de volgende cookies: vereist , functioneel, analyse, reclame. De cookie “vereist” is vooraf aangevinkt en er is geen mogelijkheid om deze uit te vinken. De overige - niet vereiste - cookies kunnen worden aangevinkt maar staan in beginsel uitgevinkt. 146. Het cookiebeleid in de huidige vorm geeft de betrokkenen wel de mogelijkheid om de gegeven toestemming even gemakkelijk in te trekken als het geven ervan. Immers, het venster voor het beheer van de cookies meldt als volgt : “Wil je genieten van een optimale ervaring? Klik hieronder op “akkoord” als je instemt met het gebruik van cookies voor alle 36 Onderlijning door de Geschillenkamer. Beslissing ten gronde 24/2021 - 40/44 bovenstaande doeleinden. Je kan ook je eigen voorkeuren instellen. Je keuze kan je op elk moment opnieuw aanpassen.” Naast de “akkoord” knop bevindt zich een knop met “voorkeuren aanpassen” waarmee gemakkelijk een gegeven toestemming kan worden ingetrokken. 147. De Geschillenkamer neemt akte van het bovenstaande. Gelet op het feit dat het cookiebeleid inmiddels is aangepast, beperkt de Geschillenkamer zich tot het opleggen van een berisping voor de inbreuken op artikel 6.1
a)en artikel 7.1 en 7.3 AVG die door de Inspectiedienst is vastgesteld. 2.4.2. Register verwerkingsactiviteiten (artikel 30 AVG) 148. Krachtens artikel 30.1 AVG moet de verwerkingsverantwoordelijke - en in voorkomend geval zijn vertegenwoordiger - een register van de verwerkingsactiviteiten bijhouden die onder zijn verantwoordelijkheid plaatsvinden. De Inspectiedienst is tot de vaststelling gekomen dat verweerder niet voldoet aan artikel 30.1. Volgens de Inspectiedienst zijn: de contactgegevens van de verwerkingsverantwoordelijke niet volledig en dus niet conform artikel 30.1,
a)(dit omdat het mailadres dataverwerking@westtoer.be dat niet wordt vermeld); de beschrijving van de categorieën van betrokkenen onvolledig (artikel 30.1 c), omdat in de kolom “categorieën natuurlijke personen” op verschillende plaatsen het woord “overige” wordt vermeld; de derde landen aan welke persoonsgegevens worden doorgegeven niet vermeld (artikel 30.1,
e)en zijn er meerdere vermeldingen van“(emailadressen aan Mailchimp)” zonder dat het duidelijk is welke landen het betreft; er nergens in het register meldingen van de verwerking van persoonsgegevens van websitebezoekers via het gebruik van cookies. 149. De verweerder stelt in haar conclusie dat er geen sprake kan zijn van onvolledigheid van de contactgegevens van Westtoer enkel vanwege het ontbreken van het mailadres dataverwerking@westtoer.be. Volgens verweerder vereist artikel 30.1
a)van de AVG niet om elk mailadres van de verwerkingsverantwoordelijke te vermelden. Het register bevat immers de contactgegevens van zowel Westtoer als van de functionaris voor gegevensbescherming. Hiermee is volgens verweerder voldaan aan artikel 30.1 a. Dat de beschrijving van de categorieën van betrokkenen onvolledig is vanwege het gebruiken van het woord “overige” is volgens verweerder ook onjuist. Verweerder geeft namelijk te kennen dat : ”via een "drop- down menu" de volgende categorieën worden gekozen: (
i)bedienden, (
ii)klanten, (iii) leveranciers, (
iv)overige, (
v)sollicitanten, (
vi)website bezoekers. De categorie "overige" slaat dan ook op betrokkenen die geen bedienden, klanten, leveranciers, sollicitanten of website bezoekers zijn - zoals bijvoorbeeld de passanten in het passantentellingsysteem. Beslissing ten gronde 24/2021 - 41/44 Gelet op de opmerkingen van de Inspectiedienst, zal Westtoer het register aanpassen om meer precies de "Overige" categorie te duiden.”. 150. De Geschillenkamer heeft kennis genomen van het register van verwerkingsactiviteiten en stelt vast dat de contactgegevens van zowel de verwerkingsverantwoordelijke als van de functionaris voor gegevensbescherming (zoals door verweerder ook aangegeven) zijn opgenomen. Het mailadres dataverwerking@westtoer.be staat inderdaad niet tussen die gegevens van de verwerkingsverantwoordelijke. Echter, er zijn zowel contactgegevens van de verwerkingsverantwoordelijke als van de functionaris voor gegevensbescherming in het register vermeld. De Geschillenkamer acht het voor de volledigheid en goede bereikbaarheid raadzaam om ook bovengenoemd emailadres in het register op te nemen. De vaststelling van de Inspectiedienst dat de beschrijving van de categorieën van betrokkenen onvolledig is vanwege het gebruiken van het woord “overige”, is feitelijk juist. Echter zoals door verweerder in haar conclusie duidelijk is gemaakt, zijn er verschillende categorieën opgenomen in het register waarvan “overige” er een is en welke een aantal keer wordt vermeld. Door op “detail verwerkingsactiviteit” van het register van verwerkingsactiviteiten te klikken, kan worden opgemaakt welke categorie er wordt bedoeld met “overige”. De Geschillenkamer acht het register op dit punt van categorieën (artikel 30.1,
c)niet in strijd met de AVG, maar beveelt de verweerder aan voortaan ook de categorie “overige” te expliciteren. 151. De Geschillenkamer stelt vast dat de beschrijving van de derde landen waarnaar de persoonsgegevens worden doorgegeven onvoldoende duidelijk is. In het register van verwerkingsactiviteiten wordt onder het tab doorgifte van persoonsgegevens aan derde landen immers “ja (emailadressen aan Mailchimp)” vermeld met daarnaast een link. Door op de gegeven link te klikken komt men terecht op de Privacy policy van Mailchimp waaruit blijkt in welk land deze organisatie gevestigd is. De verweerder heeft bij conclusie te kennen gegeven dat het opnemen van de link naar de Privacy policy van Mailchimp erop duidt dat er doorgifte van persoonsgegevens kan plaatsvinden naar de Verenigde Staten. De Geschillenkamer acht het van belang om in het register van verwerkingsactiviteiten voortaan expliciet en ondubbelzinnig te vermelden aan welke landen er een doorgifte van persoonsgegevens plaatsvindt. 152. Gezien het bovenstaande is de Geschillenkamer van oordeel dat het register van verwerkingsactiviteiten op dit punt niet in overeenstemming is waardoor er een inbreuk op artikel 30 van de AVG kan worden vastgesteld. Deze inbreuk is niet van zodanige aard dat daarvoor een sanctie moet worden opgelegd. Beslissing ten gronde 24/2021 - 42/44 2.4.3. De functionaris voor gegevensbescherming (artikelen 37 en 38 AVG) 153. Volgens artikel 37.5 AVG wordt de functionaris voor gegevensbescherming aangewezen op basis van zijn professionele kwaliteiten en in het bijzonder zijn deskundigheid op het gebied van de wetgeving en praktijk inzake gegevensbescherming. Uit de documenten die verweerder aan de Inspectiedienst deed toekomen, blijkt volgens de Geschillenkamer in voldoende mate dat het opleidingsniveau en de praktijkervaring van de functionaris voor gegevensbescherming voldoet aan het vereiste in voornoemd artikel. 37 Verweerder voldoet eveneens aan artikel 37.7 AVG vermits de persoonsgegevens van de functionaris voor gegevensbescherming door verweerder zijn medegedeeld aan de Gegevensbeschermingsautoriteit. 154. Artikel 38.2 AVG bepaalt dat de verwerkingsverantwoordelijke de functionaris voor gegevensbescherming ondersteunt bij zijn taken door hem toegang te verschaffen tot persoonsgegevens en de nodige middelen ter beschikking te stellen om zijn taken te kunnen uitvoeren. Volgens de Inspectiedienst staat een inbreuk op artikel 38.2 AVG vast nu er uit de antwoorden van verweerder niet blijkt aan hoeveel en aan welke agentschappen de functionaris voor gegevensbescherming advies uitbrengt. Verweerder reageert als volgt op de vaststelling van de Inspectiedienst : “Het is niet duidelijk wat de Inspectiedienst juist verwijt aan Westtoer, maar het lijkt dat de Inspectiedienst stelt dat de functionaris onvoldoende tijd zou hebben om zijn taken uit te oefenen nu hij slechts in een 4/5 systeem werkzaam is” 155. De verweerder ontkent dat de functionaris onvoldoende tijd zou hebben, mede gezien het uitgebrachte advies in het dossier dat onderwerp uitmaakt van onderhavige procedure. De Geschillenkamer stelt vast dat de AVG niet vereist dat een functionaris voor gegevensbescherming voltijds werkzaam is.38 Het advies van de functionaris is bovendien gedetailleerd opgesteld. De Geschillenkamer is van mening dat uit voorliggende stukken niet kan worden afgeleid dat er sprake is van schending van artikel 38.2 AVG. 156. Volgens artikel 38.3 mag de functionaris geen instructies ontvangen om zijn taken uit te voeren en brengt hij rechtstreeks verslag uit aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke. De verweerder gaf in antwoord op vragen van de Inspectiedienst het volgende te kennen : ”Binnen Westtoer werd een medewerker aangeduid die optreedt als contactpersoon voor de functionaris. De functionaris wordt via deze contactpersoon op ad hoc basis – via telefoon of e-mail – betrokken bij de implementatie van 37 38 Bijlagen 11 en 12 bij e-mailbericht van verweerder aan de Inspectiedienst van 18 augustus 2020 Zie ook Werkgroep 29, Richtlijnen voor functionarissen voor gegevensbescherming (Data Protection Officer, DPO), WP 243 rev.01. Beslissing ten gronde 24/2021 - 43/44 de AVG binnen Westtoer en geeft advies aan deze contactpersoon in functie van Art. 38 lid 3.” De Werkgroep 29 wees reeds op het belang van het kunnen rapporteren aan de hoogste leidinggevende met de volgende bewoordingen : “Via een dergelijke directe rapportage wordt verzekerd dat het hogere management (bv. de raad van bestuur) op de hoogte is van het advies en de aanbevelingen die de functionaris voor gegevensbescherming verstrekt in het kader van zijn missie om de verwerkingsverantwoordelijke of de verwerker te informeren en te adviseren.“ Uit het antwoord van verweerder blijkt dat de functionaris advies geeft aan een contactpersoon binnen de organisatie van verweerder. Hiermee staat volgens de Geschillenkamer een inbreuk op artikel 38.3 vast. Geen inbreuk werd vastgesteld op artikel 38.6 vermits de functionaris voor gegevensbescherming geen andere taken en bevoegdheden uitoefent voor verweerder. Publicatie van de beslissing 157. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing overeenkomstig artikel 95, §1, 8° WOG gepubliceerd op de website van de Gegevensbeschermingsautoriteit met vermelding van de identificatiegegevens van de verweerder39 en dit omwille van de specificiteit van onderhavige beslissing – die ertoe leidt dat zelfs in geval van weglating van de identificatiegegevens de heridentificatie onvermijdelijk is – alsook het algemeen belang van deze beslissing. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging: - dat het systeem van de intelligente camera’s geïmplementeerd door de verweerder geen schending inhoudt van artikel 5.1 a),
b)en
c)en in overeenstemming is met artikel 25 AVG; - op grond van artikel 58.2,
d)AVG en artikel 100, §1, 9° WOG de verweerder te gelasten de informatie die zij omtrent haar verwerkingen verstrekt in haar privacyverklaring, in overeenstemming te brengen met de artikelen 12 en 13 AVG, in het bijzonder wat betreft de aanvullende informatie die wordt gevraagd aan de betrokkene in het kader van een verzoek op grond van de artikelen 15 t.e.m. 21 AVG (artikel 12.6 AVG), de rechtsgronden van de verwerking (art. 13.1
c)AVG) alsook de bewaartermijnen van de verzamelde persoonsgegevens (art. 13.2
a)AVG) en dit binnen de termijn van één maand na de 39 Evenwel met weglating van de naam van de functionaris voor gegevensbescherming van de verweerder. Beslissing ten gronde 24/2021 - 44/44 kennisgeving van deze beslissing en de Geschillenkamer hierover binnen dezelfde termijn te informeren; - op grond van artikel 58.2,
d)AVG en artikel 100, §1, 9° WOG de verweerder te gelasten haar register van verwerkingsactiviteiten in overeenstemming te brengen met de vereisten van artikel 30 AVG en in het bijzonder te specificeren aan welke derde landen er doorgifte van persoonsgegevens plaatsvindt binnen de termijn van één maand na de kennisgeving van deze beslissing en de Geschillenkamer hierover binnen dezelfde termijn te informeren; en - op grond van artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de verweerder wegens schending van artikelen 6.1 a), 7.1, 7.3 (toestemming cookies) en 38.3 AVG (rechtstreeks verslag aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke). Tegen deze beslissing kan op grond van artikel 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de Gegevensbeschermingsautoriteit als verweerder. Hielke Hijmans (get.) Voorzitter van de Geschillenkamer kennisgeving, bij het Marktenhof, met de

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.