1/7 Geschillenkamer Beslissing ten gronde 27/2023 van 13 maart 2023 Dossiernummer : DOS-2020-01123 Betreft: het ontbreken van een afdoend antwoord op de uitoefening van het recht van inzage De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Yves Poullet en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna "de klager"; De verweerder: Y, hierna "de verweerder". Beslissing ten gronde 27/2023 – 2/7 I. 1. Feiten en procedure Op 3 maart 2020 dient de klager bij de Gegevensbeschermingsautoriteit een klacht in tegen de verweerder. Het voorwerp van de klacht is het ontbreken van een afdoend antwoord op de uitoefening van het recht van inzage van de klager, buiten de verlengde termijn van twee maanden. Op 2 december 2019 oefent de klager bij de verweerder, zijn voormalige huisbaas, zijn recht van inzage uit. De verweerder brengt hem op 31 december 2019 op de hoogte van de verlenging van de antwoordtermijn met twee maanden. De verweerder reageert pas later, op 2 september 2020, op het verzoek van de klager. 2. Op 9 maart 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG, en wordt de klacht op grond van artikel 62, § 1, van de WOG overgemaakt aan de Geschillenkamer. 3. Op 18 september 2020 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. 4. Op 18 augustus 2020 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen. Voor de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 29 september 2020, deze voor de conclusie van repliek van de klager op 20 oktober 2020 en ten slotte deze voor de conclusie van repliek van de verweerder op 10 november 2020. 5. Op 19 augustus 2020 stemt de klager ermee in alle communicatie omtrent de zaak elektronisch te ontvangen. 6. Op 26 augustus 2020 stemt de verweerder ermee in alle communicatie omtrent de zaak elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. 7. Op 29 september 2020 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder over de vaststellingen met betrekking tot het voorwerp van de klacht. De verweerder ontkent het ontbreken van een antwoord op de uitoefening van het recht van inzage van de klager niet. De verweerder zou advocaten hebben geraadpleegd om de klager een afdoend antwoord te geven. Het antwoord zou nooit zijn verstuurd wegens de afwezigheid van een van zijn werknemers. Het verzoek van de klager werd vervolgens vergeten, maar op 2 september 2020 werd uiteindelijk een antwoord gegeven. Beslissing ten gronde 27/2023 – 3/7 8. Op 9 oktober 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De klager wijst erop dat het antwoord te laat is gekomen. Bovendien heeft de verweerder geweigerd op een aantal van zijn vragen te antwoorden. 9. Op 10 november 2020 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder over de vaststellingen met betrekking tot het voorwerp van de klacht. De verweerder herhaalt dat het achterwege laten van zijn antwoord niet met opzet was. De verweerder weigerde in feite op sommige vragen van de klager te antwoorden, omdat hij niet wettelijk verplicht zou zijn geweest deze te beantwoorden op grond van artikel 15 van de AVG. 10. Op 8 februari 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 24 februari 2023. 11. Op 24 februari 2023 worden de partijen gehoord door de Geschillenkamer. 12. Op 2 maart 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. De Geschillenkamer heeft van de verweerder geen enkele opmerking ontvangen met betrekking tot het proces-verbaal, die zij beslist mee op te nemen in haar beraad. II. Motivering II.1. Wat betreft de schending van het recht van inzage (artikel 15, lid 1, en artikel 12, leden 3 en 4, van de AVG) 13. II.1.1. Inhoud en reikwijdte van het recht van inzage Als verwerkingsverantwoordelijke is de verweerder verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet hij kunnen aantonen dat deze worden nageleefd. Bovendien moet hij daarvoor alle nodige maatregelen treffen (verantwoordingsplicht - artikel 5, lid 2, en artikel 24 van de AVG). 14. Het recht van inzage bestaat uit drie componenten. Ten eerste, krachtens artikel 15, lid 1, van de AVG, heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Ten tweede, wanneer er sprake is van een verwerking van persoonsgegevens, heeft de betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en van de informatie die in artikel 15, lid 1, punten
- a)- h), wordt vermeld, zoals het doeleinde van de verwerking van zijn gegevens, de eventuele ontvangers van zijn gegevens, en informatie over het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn gegevens te vragen, of om een klacht bij de GBA in te dienen. Ten derde, krachtens artikel 15, lid 3, van de AVG heeft de betrokkene bovendien het recht om een kopie te verkrijgen van de persoonsgegevens die het voorwerp van de verwerking uitmaken. Artikel 15, lid 4, Beslissing ten gronde 27/2023 – 4/7 van de AVG bepaalt dat dit recht om een kopie te verkrijgen geen afbreuk aan de rechten en vrijheden van anderen mag doen. 15. De Geschillenkamer onderstreept het belang van de eerbiediging van het recht van inzage van de betrokkenen. Dit recht maakt het voor de betrokkenen mogelijk om de rechtmatigheid van elke verwerkingsactiviteit te controleren en, zo nodig, de verwerkte persoonsgegevens te laten rectificeren of wissen. II.1.2. 16. Modaliteiten van het recht van inzage Artikel 12 van de AVG over de wijze waarop de betrokkenen hun rechten kunnen uitoefenen, bepaalt dat de verwerkingsverantwoordelijke de uitoefening van de rechten door de betrokkene (artikel 12, lid 2, van de AVG) moet faciliteren, en hem onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet verstrekken over de maatregelen die naar aanleiding van zijn verzoek zijn genomen (artikel 12, lid 3, van de AVG). Voor meer complexe verzoeken of wanneer de verwerkingsverantwoordelijke een groot aantal verzoeken ontvangt, kan de initiële termijn met nog eens twee maanden worden verlengd (artikel 12, lid 3, van de AVG). Wanneer de verwerkingsverantwoordelijke niet van plan is gevolg te geven aan het verzoek, moet hij zijn weigering binnen een maand meedelen, en de betrokkene informeren over de mogelijkheid om beroep in te stellen tegen die weigering bij de toezichthoudende autoriteit voor gegevensbescherming (artikel 12, lid 4, van de AVG). II.1.3. Wat betreft het late antwoord van de verweerder op de uitoefening van het recht van inzage van de klager 17. Uit de stukken van het dossier blijkt dat de klager op 2 december 2019 zijn recht van inzage bij de verweerder heeft uitgeoefend. Op 31 december 2019 heeft de verweerder de klager in kennis gesteld van de verlenging van zijn antwoordtermijn met twee maanden. De verweerder heeft echt niet geantwoord binnen die termijn van twee maanden: de klager heeft pas in september 2020 een antwoord ontvangen. De Geschillenkamer stelt eveneens vast dat de verweerder pas gevolg aan het verzoek van de klager heeft gegeven kort nadat hij een brief van de Geschillenkamer had ontvangen waarin de partijen in kennis werden gesteld van een procedure ten gronde. De verweerder betwist niet dat hij geen afdoend antwoord heeft gegeven. 18. Als reden voor de vertraging verklaart de verweerder dat hij voornemens was op het verzoek van de klager te antwoorden, maar aangezien de met het dossier van de klager belaste werknemer destijds wegens ziekte langdurig afwezig was, werd geen antwoord naar de klager gestuurd. Daarna werd het verzoek van de klager vergeten. Deze toevallige omstandigheid kan een verwerkingsverantwoordelijke echter niet ontheffen van zijn Beslissing ten gronde 27/2023 – 5/7 verplichtingen jegens de betrokkenen. Er is dus sprake van een schending door de verweerder van artikel 15, lid 1, en artikel 12, leden 3 en 4, van de AVG. 19. De Geschillenkamer stelt echter op grond van de door de verweerder verstrekte bewijsstukken vast dat de verweerder met de hulp van advocaten wel degelijk begonnen was met het opstellen van een antwoord aan de klager. De verweerder verklaart ook organisatorische maatregelen te hebben getroffen om de toegang tot de persoonsgegevens van zijn klanten te waarborgen. Tijdens de hoorzitting legde de verweerder uit een mailbox te hebben gecreëerd waarnaar verzoeken om toegang van andere betrokkenen worden gestuurd. Deze mailbox is toegankelijk voor verschillende werknemers van de verweerder om te vermijden dat een dergelijk verzoek onbeantwoord blijft. De Geschillenkamer zal met deze elementen rekening houden bij de vaststelling van een sanctie. II.1.4. Wat betreft het onvolledige antwoord van de verweerder ten aanzien van het recht van inzage van de klager 20. In zijn conclusie stelt de klager aan de orde dat de verweerder weigerde een aantal van zijn vragen te beantwoorden. Deze vragen betroffen het bestaan van mogelijke lekken van de gegevens van de klager wegens gebrekkige beveiliging, de door de verweerder aangenomen informatiebeveiligingsprotocollen en de beveiligings- en organisatorische maatregelen met betrekking tot de verwerking van persoonsgegevens door de werknemers of medecontractanten van de verweerder (respectievelijk de vragen 7, 8 en 9 van de klager). De verweerder weigerde deze vragen te beantwoorden omdat de gevraagde informatie niet binnen het toepassingsgebied van artikel 15, lid 1, van de AVG zou vallen. 21. Wat betreft de weigering om op de vragen 8 en 9 te antwoorden, is een verwerkingsverantwoordelijke niet verplicht de informatie over beveiligingsprotocollen en organisatorische maatregelen mee te delen, aangezien deze inlichtingen niet zijn opgenomen in artikel 15, lid 1, punten
- a)t.e.m. h), of in artikel 13, leden 1 en 2. De verweerder was derhalve niet verplicht op vragen betreffende deze informatie te antwoorden. 22. Wat vraag 7 betreft, wordt een gegevenslek in de AVG omschreven als een inbreuk in verband met de beveiliging van gegevens. 1 Krachtens artikel 34, lid 1, van de AVG, is een verwerkingsverantwoordelijke enkel verplicht de betrokkene in te lichten wanneer "de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen". Uit geen enkel bewijsstuk in het dossier blijkt dat een dergelijke inbreuk in verband met de gegevens van de klager heeft plaatsgevonden. De verweerder hoefde dus niet op vraag 7 te antwoorden. 1 Artikel 4, lid 12, van de AVG: "een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens”. Beslissing ten gronde 27/2023 – 6/7 23. De Geschillenkamer volgt de redenering van de verweerder dan ook dat hij niet verplicht was op de vragen 7, 8 en 9, van de klager te antwoorden. Het antwoord van de verweerder was derhalve laat maar volledig. 24. De Geschillenkamer merkt bovendien op dat, ondanks het feit dat de verweerder niet verplicht was de vragen 7, 8 en 9, te beantwoorden, hij de klager toch een antwoord op deze vragen heeft gegeven tijdens de hoorzitting van 24 februari 2023. III. Sanctie 25. De Geschillenkamer stelt vast dat er sprake is van een inbreuk op artikel 15, lid 1, en artikel 12, leden 3 en 4, van de AVG. Hoewel de verweerder gevolg heeft gegeven aan de uitoefening van het recht van inzage van de klager, is gebleken dat inbreuken op de AVG hebben plaatsgevonden. Zoals reeds vermeld is de eerbiediging van het recht van inzage van de betrokkenen van fundamenteel belang voor de gegevensbescherming. 26. De Geschillenkamer is van oordeel dat er voldoende elementen zijn om een berisping te formuleren, hetgeen een lichte sanctie uitmaakt en volstaat in het licht van de in dit dossier vastgestelde inbreuken op de AVG. Voor het bepalen van de sanctie houdt de Geschillenkamer rekening met het feit dat de verweerder de situatie heeft rechtgezet, en met de inspanningen van de verweerder om in de toekomst het recht van inzage van de betrokkenen te waarborgen. IV. Publicatie van de beslissing 27. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van, artikel 100, § 1, 5°, van de WOG een berisping te formuleren ten aanzien van de verweerder voor wat betreft de inbreuk op artikel 15, lid 1, en artikel 12, leden 3 en 4 van de AVG. Beslissing ten gronde 27/2023 – 7/7 Tegen deze beslissing kan op grond van artikel 108, § 1, van de WOG, beroep worden aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten 2. Het interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend overeenkomstig artikel 1034 quinquies van het Ger.W., of via het informatiesysteem e-Deposit van het Ministerie van Justitie (artikel 32 ter van het Ger.W.). (get.) Hielke HIJMANS Voorzitter van de Geschillenkamer 2 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregisterof ondernemingsnummer; 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat.