Beslissing ten gronde nr. 29/2025

1/60 Geschillenkamer Beslissing ten gronde 29/2025 van 18 februari 2025 Dossiernummer : DOS-2022-02106 Betreft: het gebruik van geluidssensoren in een innovatieproject met betrekking tot geluidsoverlast in de studentenbuurt in Antwerpen. De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”;1 Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; 1 De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link: https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-vaninterne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum. Beslissing ten gronde 29/2025 — 2/60 Heeft de volgende beslissing genomen inzake: De klager: X, vertegenwoordigd door Mr. Magali Feys, hierna “de klager”; De verweerder: Stad Antwerpen, met maatschappelijke zetel te Grote Markt 1 – 2000 Antwerpen, met ondernemingsnummer 0207.500.123, vertegenwoordigd door Mr. Wouter Rubens, hierna “de verweerder”; De eerste belanghebbende partij: Y bv, vertegenwoordigd door Mr. Joost Peeters, hierna “de verwerker”; De tweede belanghebbende partij: Vlaams Agentschap Innoveren en Ondernemen (VLAIO), met maatschappelijke zetel te Koning Albert II laan 35 bus 12 – 1030 Schaarbeek, met ondernemingsnummer 0316.380.841, hierna “de tweede belanghebbende”. Beslissing ten gronde 29/2025 — 3/60 I. Feiten en procedure 1. Het voorwerp van de klacht betreft het gebruik van geluidssensoren in een innovatieproject met betrekking tot geluidsoverlast in de studentenbuurt in Antwerpen. 2 2. Na een poging tot bemiddeling via de Eerstelijnsdienst dient de klager op 25 juni 2022 een klacht in bij de Gegevensbeschermingsautoriteit (hierna ‘GBA’) tegen de verweerder. 3. Op 27 juni 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 19 juli 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 13 februari 2024 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de Inspecteur-Generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat achttien vaststellingen met betrekking tot het voorwerp van de klacht: 1) De verwerkingsverantwoordelijke voor het innovatieproject “lawaai in de studentenbuurt” is de Stad Antwerpen. 2) Aangezien alle materiële toepassingsvoorwaarden van art. 314bis, §1 Strafwetboek (“Sw.”)3 vervuld zijn, kon de stad niet zonder toestemming van de betrokkenen overgaan tot de verwerking. Het morele element van het misdrijf zal in dit verslag niet behandeld worden, vermits de beoordeling hiervan behoort tot het voorrecht van de strafrechtelijke hoven en rechtbanken. Het zij wel opgemerkt dat de stad op basis van de hierboven vastgestelde feiten alleszins niet onwetend was voor de mogelijkheid dat vertrouwelijke communicatie via de in haar opdracht opgestelde toestellen zou kunnen worden opgenomen, onderschept of kennis van genomen. Het is in dat opzicht betekenisvol dat [verwerker] reeds tijdens de aanbestedingsprocedure verwees naar het niet opzettelijke karakter van een eventuele inbreuk op het afluisterverbod uit art. 314bis Sw. In ieder geval kon de stad zich gezien de door art. 314bis Sw. gestelde toestemmingsvereiste niet louter 2 Een meer uitgebreide beschrijving van de verwerking is hernomen onder punt ‘II.1 Beschrijving van de verwerking’. 3 Artikel 314bis, §1 Sw: “Met gevangenisstraf van zes maanden tot twee jaar en met geldboete van tweehonderd tot tienduizend euro of met een van die straffen alleen wordt gestraft hij die: 1° ofwel, opzettelijk, met behulp van enig toestel niet voor publiek toegankelijke communicatie, waaraan hij niet deelneemt, onderschept of doet onderscheppen, er kennis van neemt of doet van nemen, opneemt of doet opnemen, zonder de toestemming van alle deelnemers aan die communicatie; 2° ofwel, met het opzet een van de hierboven omschreven misdrijven te plegen, enig toestel opstelt of doet opstellen.” Beslissing ten gronde 29/2025 — 4/60 baseren op haar algemene bevoegdheid uit artikel 135, §2 van de Gemeentewet4 als rechtsgrond. Meer zelfs had de stad, aangezien de verwerking kadert in de door dit artikel aan haar toebedeelde politiebevoegdheid, extra waakzaam moeten zijn bij de toepassing en naleving van art. 314bis Sw. De politie zelf kan immers krachtens art. 90ter van het Wetboek van Strafvordering 5 enkel afwijken van het afluisterverbod op bevel van de onderzoeksrechter en in welomschreven en uitzonderlijke gevallen. 3) De verwerking van ruwe audiobestanden door de stad in het kader van het onderhavige project kon niet geldig worden gebaseerd op de rechtsgrond uit art. 6.1.e AVG, vermits de verwerking onvermijdelijk de verwerking van bijzondere categorieën van persoonsgegevens inhield en de door de stad ingeroepen rechtsgrond geen geldige uitzondering vormt op het principiële verwerkingsverbod van dergelijke categorieën van persoonsgegevens krachtens art. 9.1 AVG. De verwerking van stemafdrukken in het kader van het onderhavige project was niet verboden onder art. 9.1 AVG en kon dus mogelijk gebaseerd worden op de rechtsgrond uit art. 6.1.e AVG, doch rekening houdend met de bijzondere bescherming die gevoelige gegevens krachtens overweging 51 AVG genieten onder de AVG en het al dan niet voldaan zijn van alle toepassingsvoorwaarden van deze rechtsgrond. 4 Artikel 135, §2 van de Gemeentewet: “De gemeenten hebben ook tot taak het voorzien, ten behoeve van de inwoners, in een goede politie, met name over de zindelijkheid, de gezondheid, de veiligheid en de rust op openbare wegen en plaatsen en in openbare gebouwen. Meer bepaald, en voor zover de aangelegenheid niet buiten de bevoegdheid van de gemeenten is gehouden, worden de volgende zaken van politie aan de waakzaamheid en het gezag van de gemeenten toevertrouwd: […] 2° het tegengaan van inbreuken op de openbare rust, zoals vechtpartijen en twisten met volksoploop op straat, tumult verwekt in plaatsen van openbare vergadering, nachtgerucht en nachtelijke samenscholingen die de rust van de inwoners verstoren; 3° het handhaven van de orde op plaatsen waar veel mensen samenkomen, zoals op jaarmarkten en markten, bij openbare vermakelijkheden en plechtigheden, vertoningen en spelen, in drankgelegenheden, kerken en andere openbare plaatsen; […] 7° het nemen van de nodige maatregelen, inclusief politieverordeningen, voor het tegengaan van alle vormen van openbare overlast.” 5 Artikel 90ter, §1 van het Wetboek van Strafvordering: “De onderzoeksrechter kan, onverminderd de toepassing van artikelen 39bis, 87, 88, 89bis en 90, met een heimelijk oogmerk, niet voor het publiek toegankelijke communicatie of gegevens van een informaticasysteem of een deel ervan met technische hulpmiddelen onderscheppen, er kennis van nemen, doorzoeken en opnemen of de zoeking in een informaticasysteem of een deel ervan uitbreiden. Deze maatregel kan enkel worden bevolen in uitzonderlijke gevallen, wanneer het onderzoek zulks vereist, indien er ernstige aanwijzingen bestaan dat het een strafbaar feit betreft bedoeld in paragraaf 2, en indien de overige middelen van onderzoek niet volstaan om de waarheid aan de dag te brengen. […] De maatregel bedoeld in deze paragraaf kan alleen worden bevolen om de gegevens op te sporen die kunnen dienen om de waarheid aan de dag te brengen. Hij kan alleen worden bevolen ten aanzien van personen die op grond van precieze aanwijzingen ervan verdacht worden het strafbare feit te hebben gepleegd, ten aanzien van de communicatiemiddelen of informaticasystemen die geregeld worden gebruikt door een persoon op wie een verdenking rust of ten aanzien van de plaatsen waar deze vermoed wordt te vertoeven. De maatregel kan eveneens worden bevolen ten aanzien van personen van wie op grond van precieze feiten vermoed wordt dat zij geregeld in verbinding staan met een persoon op wie een verdenking rust.” Beslissing ten gronde 29/2025 — 5/60 4) De verwerking van ruwe audiobestanden door de stad in het kader van het onderhavige project kon niet geldig worden gebaseerd op de rechtsgrond uit art. 6.1.e AVG, maar wel – en uitsluitend – op toestemming in de zin van art. 4.11 AVG. Dergelijke toestemming werd door de stad niet gevraagd, noch verkregen en de stad heeft voorafgaand aan het onderhavige onderzoek niet overwogen om toestemming als rechtsgrond te gebruiken. Hiermee is een schending van het rechtmatigheidsbeginsel uit art. 5.1.a AVG vastgesteld. 5) De Inspectiedienst stelt op basis van bovenstaande overwegingen vast dat de verwerkingsverantwoordelijke onterecht oordeelde dat de binnen het project gebruikte MEL-spectrogrammen geen persoonsgegevens waren in de zin van art. 4.1 AVG. De MEL-spectrogrammen vallen – wanneer ze berekend worden op basis van menselijk stemgeluid – wel degelijk onder deze definitie en genieten als biometrische persoonsgegevens in de zin van art. 4.14 AVG bovendien een bijzondere bescherming onder overweging 51 AVG. 6) De door de stad ingeroepen rechtsgrond voor de verwerking (art. 135 Gemeentewet) is geen “specifieke bepaling inzake gegevensbescherming teneinde de toepassing van de regels van deze verordening aan te passen met het oog op de vervulling van een wettelijke verplichting of met het oog op de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag” in de zin van overweging 51 AVG. De rechtsgrond kon daarom niet worden ingeroepen voor de verwerking van biometrische persoonsgegevens. Ten overvloede, moest deze rechtsgrond wel als dusdanig beschouwd worden, stelt de Inspectiedienst vast dat de stad in strijd met art. 6.3 AVG niet naging of het doel van de verwerking noodzakelijk en evenredig was voor de vervulling van de taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de stad door art. 135 Gemeentewet is verleend. Een correct uitgevoerde noodzakelijkheid- en evenredigheidstoets had gezien de specifieke risico’s verbonden aan het gebruik van AI voor geautomatiseerde herkenning van menselijke kenmerken in openbare ruimten en het relatief beperkte publieke belang dat uitgaat van de bestrijding van geluidshinder, moeten doen besluiten dat de verwerking van biometrische persoonsgegevens binnen het huidige project niet geoorloofd was. Hiermee is een schending van het rechtmatigheidsbeginsel uit art. 5.1.a AVG vastgesteld. 7) De stad kon de daadwerkelijke uitoefening van het recht van bezwaar van de betrokkenen, zoals vastgesteld in art. 21 AVG in het kader van het litigieuze project in de praktijk niet waarborgen, waardoor ze de verwerking niet kon baseren op art. 6.1.e AVG. Enkel door zich overeenkomstig art. 6.1.c AVG als rechtsgrond te Beslissing ten gronde 29/2025 — 6/60 baseren op een norm die aan alle voorwaarden van art. 23 AVG voldeed, had het recht van bezwaar van betrokkenen rechtsgeldig beperkt kunnen worden. 8) De stad schond in het kader van het litigieuze project de haar opgelegde transparantieverplichting uit art. 5.1.a AVG door enerzijds onvolledig en anderzijds misleidend te communiceren over de verwerking van persoonsgegevens binnen het project. Concreet werd hierbij – naast de algemene inbreuk op art. 5.1.a AVG – inbreuk gemaakt op art. 13.1.c, art. 13.1.e, art. 13.1.f, art. 13.2.a en art. 13.2.b AVG. Aangezien de communicatie naast onvolledig ook misleidend was, schond de stad tevens art. 12.1 AVG wat betreft de vereiste begrijpelijkheid van de communicatie. Met betrekking tot de in de publieke ruimte geplaatste informatieborden stelt de Inspectiedienst tot slot vast dat dit informatiekanaal niet voldeed aan de voorwaarde van toegankelijkheid uit art. 12.1 AVG. Aangezien dit informatiekanaal voor de betrokkenen waarvan persoonsgegevens konden verwerkt worden in het kader van het litigieuze project het primaire kanaal uitmaakte en de stad zelfs meende er de impliciete toestemming van betrokkenen te kunnen uit afleiden, is hiermee een schending vast te stellen van artikel 12.1 AVG. 9) Schending van art. 25 AVG samen gelezen met art. 5.1.a AVG (rechtmatigheid) doordat – en dit tegen het advies van de DPO van 25/2/2022 – geen afdoende technische en/of organisatorische maatregelen genomen werden om te voorkomen dat er op basis van de ruwe audio herkenning mogelijk was van de betrokkenen of van de inhoud van gesprekken. 10) Schending van art. 25 AVG samen gelezen met art. 5.1.c AVG (minimale gegevensverwerking) doordat de stad er ervoor koos om met audiofragmenten van 10 seconden te werken en niet met kortere fragmenten van 2 seconden, hoewel dit technisch mogelijk was en hoewel de DPO van de stad adviseerde om met zo kort mogelijke geluidsfragmenten te werken. 11) Schending van art. 25 AVG samen gelezen met art. 5.1.c AVG (minimale gegevensverwerking) doordat de stad er ervoor koos om lokaal 24u op 24u ruwe audio te registreren, terwijl het technisch mogelijk was om de lokale geluidsopnames te beperken tot de nachtelijke uren (19u tot 7u). 12) Schending van art. 25 AVG samen gelezen met art. 5.1.a AVG (rechtmatigheid) doordat de stad ervoor koos het volledige project, inclusief de training- en testingfases (waarin de gegevensbeschermingsrisico’s het hoogst waren), uit te voeren in de publieke ruimte zonder hierbij de geldige toestemming van de betrokkenen te hebben verkregen. Beslissing ten gronde 29/2025 — 7/60 13) Schending van art. 25 AVG samen gelezen met art. 5.1.a AVG (rechtmatigheid) doordat de stad niet heeft onderzocht hoe had kunnen worden vermeden dat binnen het project via MEL-spectrogrammen biometrische persoonsgegevens werden verwerkt, waarvoor geen rechtsgrond bestond. 14) Schending van art. 25 AVG samen gelezen met art. 21.1 AVG (recht van bezwaar) doordat de stad niet heeft onderzocht welke technische oplossingen er mogelijk waren om de betrokkene toe te laten zijn/haar recht van bezwaar uit te oefenen in de context van het litigieuze project. 15) Door ondanks verschillende alarmsignalen met betrekking tot het niveau van kennis en naleving van de AVG door verwerker geen bewijs of nadere documentatie te vragen van de door [verwerker] zelfverklaarde garanties inzake het toepassen van passende technische en organisatorische maatregelen opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd, heeft de stad haar waakzaamheidsverplichting ten aanzien van de verwerker overeenkomstig art. 28.1 AVG geschonden. 16) Gelet op de aard, de omvang, de context en de doeleinden van de verwerking diende overeenkomstig art. 35.1, 35.3 en 35.4 AVG een gegevensbeschermingseffectbeoordeling (hierna ‘GEB’) te worden uitgevoerd. 17) Hoewel de stad formeel overging tot uitvoering van een GEB, beantwoordde deze beoordeling inhoudelijk niet aan de vereisten van art. 35.7 AVG. Geen van de vier minimale elementen uit dit artikel werd correct opgenomen in de GEB. De verwerking werd hierdoor slechts gedeeltelijk en gebrekkig in kaart gebracht, de risico’s onvoldoende geïdentificeerd en een correcte beoordeling van noodzakelijkheid en proportionaliteit verhinderd. Kennelijk beschouwde de stad de verplichting uit art. 35 AVG ook expliciet als een louter formele oefening, zoals blijkt uit het hierboven besproken verslag van een interne vergadering van 25/2/2022 over de 2de offerte van verwerker in de aanbestedingsprocedure waaraan onder meer de adjunct-DPO van de stad deelnam. De gebrekkige ernst waarmee de GEB werd uitgevoerd, wordt verder gestaafd door het feit dat de stad niet bleek te beschikken over een methode inzake risicobeoordeling. Zonder methode voor risicobeoordeling is een objectieve beoordeling van de aan de verwerking verbonden risico’s overeenkomstig art. 35 AVG, samen gelezen met overweging 76 AVG niet mogelijk. Dit werd verduidelijkt door de GBA (toen: CBPL) in Aanbeveling 01/2018. 18) De verwerking van persoonsgegevens binnen het litigieuze project voldeed niet aan de vereisten van Hoofdstuk V AVG inzake doorgiften van persoonsgegevens aan derde landen of internationale organisaties vermits geen zogenaamde Data Beslissing ten gronde 29/2025 — 8/60 Transfer Impact Assessment (DTIA) werd uitgevoerd en biometrische persoonsgegevens (MEL-spectrogrammen) onversleuteld werden verwerkt in Google Cloud. 6. Het inspectieverslag wees ook op het strategisch belang van de inbreuken, op vier verzwarende omstandigheden (opzettelijk karakter van de inbreuk op het rechtmatigheidsbeginsel; opzettelijk karakter van de inbreuk op het transparantiebeginsel; aard, omvang en doel van de verwerking; hoedanigheid van de verwerkingsverantwoordelijke) en op twee verzachtende omstandigheden (het uitvoeren van de formele stappen die van een verwerkingsverantwoordelijke worden verwacht; het loyaal meewerken aan het onderzoek). Tenslotte identificeerde het inspectieverslag twee mogelijke belanghebbende derden: de verwerker en de subsidiërende overheid. 7. Op 5 maart 2024 worden de klager en de verweerder per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De reikwijdte van de zaak wordt vastgesteld op de volgende vermeende inbreuken: • Schending van artikel 5.1.

1. a)AVG, artikel 6 AVG en artikel 9 AVG doordat de verwerking van de ruwe audiobestanden en van de stemafdrukken niet rechtmatig werden verwerkt. • Schending van artikel 21 AVG doordat de daadwerkelijke uitoefening van het recht van bezwaar niet gewaarborgd is in het geval de verwerking rechtmatig zou gebaseerd zijn op artikel 6.1.
2. e)AVG. • Schending van artikel 5.1.
3. a)AVG, artikel 12.1 AVG, artikel 13.1 AVG en artikel 13.2 AVG doordat de transparantieplicht naar de betrokkenen toe onvolledig was en niet voldeed aan de vereisten van begrijpelijkheid en toegankelijkheid. • Schending van artikel 25, samen gelezen met artikel 5.1.
4. a)AVG, artikel 5.1.
5. c)AVG en artikel 21.1 AVG doordat er geen passende technische en organisatorische maatregelen werden genomen en niet de nodige waarborgen werden ingebouwd in de verwerking. • Schending van artikel 28.1 AVG doordat de verwerkingsverantwoordelijke haar waakzaamheidsverplichting ten aanzien van de verwerker heeft geschonden. • Schending van artikel 35.7 AVG doordat de uitgevoerde gegevensbeschermingseffectbeoordeling inhoudelijk niet voldeed aan de minimale vereisten. • Schending van artikel 44 AVG doordat het litigieuze project niet voldeed aan de algemene beginselen inzake doorgiften aan derde landen. Beslissing ten gronde 29/2025 — 9/60 De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder wordt vastgelegd op 16 april 2024, deze voor de conclusie van repliek van de klager op 7 mei 2024 en ten slotte deze voor de conclusie van repliek van de verweerder op 28 mei 2024. 8. Op 6 maart 2024 aanvaardt de klager elektronisch alle communicatie omtrent de zaak, overeenkomstig artikel 98 WOG. 9. Op 7 maart 2024 vraagt de klager een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem wordt overgemaakt op 18 maart 2024. 10. Op 18 maart 2024 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak, geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG en vraagt zij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar wordt overgemaakt op 26 maart 2024. 11. Op 15 april 2024 schorst de Geschillenkamer de conclusietermijnen vanwege de mogelijke tussenkomst van belanghebbende derden. 12. Op 17 april 2024 worden alle partijen, met inbegrip van de verwerker en de tweede belanghebbende, per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De reikwijdte van de zaak wordt onveranderd herhaald. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder wordt verlengd en vastgelegd op 25 april 2024, deze voor de conclusie van antwoord van de verwerker en de tweede belanghebbende op 17 mei 2024, deze voor de conclusie van repliek van de klager op 17 juni 2024 en ten slotte deze voor de conclusie van repliek van de verweerder op 9 juli 2024. 13. Op 17 april 2024 bevestigt de tweede belanghebbende de ontvangst van de uitnodiging tot conclusies. 14. Op 23 april 2024 aanvaardt de verwerker elektronisch alle communicatie omtrent de zaak en vraagt zij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar wordt overgemaakt op 25 april 2024. 15. Op 25 april 2024 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. 16. Op 17 mei 2024 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verwerker. De tweede belanghebbende concludeert niet. 17. Op 17 juni 2024 ontvangt de Geschillenkamer de conclusie van repliek van de klager. 18. Op 9 juli 2024 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. Beslissing ten gronde 29/2025 — 10/60 19. Op 8 oktober 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 6 november 2024. Na enkele communicaties inzake het verplaatsen van de hoorzitting, wordt deze op 25 oktober 2024 definitief vastgelegd op 26 november 2024. 20. Op 26 november 2024 worden de partijen gehoord door de Geschillenkamer. Enkel de tweede belanghebbende was niet aanwezig, noch vertegenwoordigd op deze hoorzitting. 21. Op 28 november 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 22. Op 2 december 2024 ontvangt de Geschillenkamer vanwege de verweerder het bericht dat zij geen enkele opmerking met betrekking tot het proces-verbaal heeft. De andere partijen formuleren evenmin opmerkingen op het proces-verbaal van de hoorzitting. II. Motivering II.1. Beschrijving van de verwerking 23. Ter verduidelijking vat de Geschillenkamer de verschillende verwerkingen in het kader van het innovatieproject “lawaai in de studentenbuurt” (hierna: het ‘innovatieproject’) samen op basis van de technische documentatie en het inspectieverslag. 24. In het kader van het project City of Things van de tweede belanghebbende had de verweerder subsidies gevraagd en ontvangen om als proefproject 30 geluidssensoren op te stellen in de studentenbuurt. Deze sensoren zouden van april 2022 tot december 2022 alle geluid opnemen en in juni en oktober 2022 voor een periode van enkele weken een type 'nudging'6 activeren bij menselijke geluidsoverlast. 25. Het doel van het project is “het in kaart brengen en remediëren van de geluidsoverlast in de studentenbuurt van de Antwerpen met behulp van technologie.” 7 Hiervoor spreekt de verwerkingsverantwoordelijke een verwerker aan die door middel van geluidssensoren en een servercluster bij drie subverwerkers een bestaand AI-model bijkomend zal trainen teneinde omgevingsgeluiden te classificeren en in geval van bepaalde geluidsklassen een nudgingopstelling zal activeren. Een statistische analyse zal de oorzaken van geluidsoverlast en de effecten van de nudging evalueren. 26. Het bestaande AI-model van de verwerker kon reeds volgende geluidsklassen onderscheiden: mensen, vogel, bel, motor, alarm, hond, glas, schot, sirene, fluitsignaal. De 6 Onder nudging wordt verstaan: het beïnvloeden van menselijk gedrag door een zetje in de goede richting te geven (definitie door Geschillenkamer). 7 Bijlage aan stuk 38: 001 – DPIA Geluidsoverlast Studentenbuurt, p. 4. Beslissing ten gronde 29/2025 — 11/60 bijkomende training van het AI-model moest leiden tot volgende geluidsklassen en subklassen: • Gemotoriseerd vervoer: bromfiets – motor – auto – bus - vrachtwagen • Muziek: oorsprong binnen - oorsprong buiten • Omgevingslawaai: knalgeluiden – machinegeluiden - blaffende honden - alarm • Stemlawaai: roepen/vechtpartij – zingen - gehuil/gekrijs - gepraat (nadruk door de Geschillenkamer) • Vandalisme: glasbreuk - omgooien fiets - gooien met/schoppen tegen vuilzakken II.1.1. Opslag van ruwe audiobestanden 27. Eens geïnstalleerd namen de geluidssensoren permanent 24/7 het omgevingsgeluid op. Deze analoge signalen werden in de sensor zelf omgezet in opeenvolgende digitale signalen van tien seconden (hierna: ‘ruwe audiobestanden’). Deze ruwe audiobestanden werden voor een periode van acht uur versleuteld opgeslagen op de geluidssensor, inclusief de coördinaten van de sensor en het tijdstip van opname. II.1.2. Objectieve trigger 28. Van dit ruwe audiobestand werd onmiddellijk de geluidssterkte berekend en deze werd doorgestuurd naar de Google cloud om te dienen als één van de 'triggers' 8 voor het verdere verloop van het innovatieproject. De geluidssterkte bevatte geen persoonsgegevens. Wanneer tussen 19u en 7u het opgenomen geluid een bepaalde drempelwaarde van geluidssterkte overschreed en dus de trigger activeerde, stelde de geluidssensor MELspectrogrammen9 op van audiofragmenten van 10 seconden van het geluid. Deze MELspectrogrammen zijn noodzakelijk omdat de classificatie van het geluid hierop is gebaseerd. II.1.3. Subjectieve trigger 29. Het innovatieproject voorzag een app voor de buurtbewoners waarin ze konden melden wanneer er geluidsoverlast plaatsvond in hun buurt. Op basis van deze 'subjectieve' meldingen werd vanuit de Google cloud een trigger geactiveerd om in het geheugen van 8 Onder trigger wordt verstaan: een onmiddellijke aanleiding waardoor een proces in gang gezet wordt (definitie Geschillenkamer). 9 Een MEL-spectrogram is een ‘perceptueel-relevante amplitude- en frequentievoorstelling die ook gebruikt wordt voor spraakanalyse en sprekerherkenning’. Zie hiervoor stuk 55, Analyse antwoord van [verwerker], p. 5-6. Beslissing ten gronde 29/2025 — 12/60 acht uur ruwe audiobestanden van de geluidssensor de juiste fragmenten van tien seconden door te sturen naar de servercluster om de training van het AI-systeem mogelijk te maken. II.1.4. Bepalen van geluidsklassen: training van het AI-systeem 30. Wanneer een (objectieve of subjectieve) trigger werd geactiveerd, ging er een opdracht "recording" van de Google cloud naar de geluidssensor, die de bewuste 10 seconden ruwe audiobestanden via een server doorstuurde naar de verwerker. Medewerkers van de verwerker beluisterden de fragmenten om deze te labelen in de vooraf bepaalde klassen (zie randnummer 26). Deze labeling werd doorgezonden naar een derde server, waar het label werd samengevoegd met het berekende MEL-spectrogram van het ruwe audiobestand. Op deze derde server werd het AI-model getraind door middel van de gelabelde MEL-spectrogrammen. II.1.5. Statistische analyse 31. Op basis van de classificatie van de geluiden die een trigger hadden geactiveerd, werd een analyse gemaakt van het voorkomen van geluidsoverlast in de studentenbuurt. Deze analyse kon geconsulteerd worden via een dashboard. II.1.6. Automatische nudging 32. Op basis van de geluidsklasse die was bepaald na activatie van een objectieve trigger, kon het AI-systeem, dat zich in de servercluster bevond, real-time een nudge activeren in de onmiddellijke omgeving van de geluidssensor waarop de objectieve trigger was waargenomen. Omdat deze procedure nog in ontwikkeling was, werden er tijdens de duur van het innovatieproject slechts twee beperkte periodes voorzien om een nudge-installatie op te stellen en te testen. Het einddoel van het innovatieproject was enerzijds het voldoende trainen van het AI-model om (op termijn) te trachten de classificatie van geluiden volledig op de sensor zelf uit te voeren en anderzijds op basis van deze classificatie te evalueren welke nudges effectief zouden zijn om het menselijk nachtlawaai preventief aan te pakken. II.2. Verwerking van persoonsgegevens 33. Vooreerst verwijst de Geschillenkamer naar het arrest P.G. and J.H. v. the United Kingdom, waarin het opnemen van stemmen in de openbare ruimte aan bod kwam. Hoewel dit geschil in de strafrechtelijke sfeer te situeren was, zijn bepaalde vaststellingen van het Europese Beslissing ten gronde 29/2025 — 13/60 Hof voor de Rechten van de Mens (hierna ‘EHRM’) ook relevant voor deze zaak. Zo stelde het EHRM aangaande monitoring in de publieke ruimte10: “56. […] Article 8 also protects a right to identity and personal development, and the right to establish and develop relationships with other human beings and the outside world […]. There is therefore a zone of interaction of a person with others, even in a public context, which may fall within the scope of ‘private life’. 57. […] A person who walks down the street will, inevitably, be visible to any member of the public who is also present. Monitoring by technical means of the same public scene (for example, a security guard viewing through closed-circuit television) is of a similar character. Private-life considerations may arise, however, once any systematic or permanent record comes into existence of such material from the public domain. […].. 59. The Court’s case-law has, on numerous occasions, found that the covert taping of telephone conversations falls within the scope of Article 8 in both aspects of the right guaranteed, namely, respect for private life and correspondence. While it is generally the case that the recordings were made for the purpose of using the content of the conversations in some way, the Court is not persuaded that recordings taken for use as voice samples can be regarded as falling outside the scope of the protection afforded by Article 8. A permanent record has nonetheless been made of the person’s voice and it is subject to a process of analysis directly relevant to identifying that person in the context of other personal data).” (nadruk door de Geschillenkamer).11 34. De Geschillenkamer wijst ook op het arrest Endemol Shine, waarin het Hof van Justitie van de Europese Unie (hierna ‘Hof van Justitie’) heeft geoordeeld dat “artikel 2, lid 1, en artikel 4, punt 2, AVG aldus moeten worden uitgelegd dat het mondeling verstrekken van informatie over mogelijkerwijs aanhangige of afgesloten strafzaken tegen een natuurlijk 10 ECHR, Judgment of 25 September 2001, P.G. and J.H. v. the United Kingdom, randnummer 56-59. 11 Vrije vertaling door de Geschillenkamer: 56. Artikel 8 beschermt ook het recht op identiteit en persoonlijke ontwikkeling, en het recht om relaties met andere mensen en de buitenwereld aan te gaan en te ontwikkelen [...]. Er is dus een zone van interactie van een persoon met anderen, zelfs in een openbare context, die binnen de werkingssfeer van het “privéleven” kan vallen. 57. Een persoon die over straat loopt, zal onvermijdelijk zichtbaar zijn voor elk lid van het publiek dat ook aanwezig is. Toezicht met technische middelen op dezelfde openbare scène (bijvoorbeeld een bewaker die kijkt via een gesloten televisiecircuit) heeft een vergelijkbaar karakter. Er kunnen echter spanningen met betrekking tot de persoonlijke levenssfeer ontstaan zodra er een systematische of permanente registratie van dergelijk materiaal uit het publieke domein ontstaat. 59. De rechtspraak van het Hof heeft herhaaldelijk geoordeeld dat het heimelijk opnemen van telefoongesprekken binnen de werkingssfeer van artikel 8 valt voor beide aspecten van het gewaarborgde recht, namelijk de eerbiediging van het privéleven en de correspondentie. Hoewel de opnamen doorgaans zijn gemaakt om de inhoud van de gesprekken op de een of andere manier te gebruiken, is het Hof er niet van overtuigd dat opnamen die zijn gemaakt om als stemmonsters te worden gebruikt, kunnen worden geacht buiten de werkingssfeer van de door artikel 8 geboden bescherming te vallen. Er is niettemin een permanente opname gemaakt van de stem van de betrokkene en deze is onderworpen aan een analyseproces dat rechtstreeks relevant is voor de identificatie van die persoon in de context van andere persoonsgegevens). Beslissing ten gronde 29/2025 — 14/60 persoon een verwerking van persoonsgegevens in de zin van artikel 4, punt 2, van deze verordening vormt […]”12. 35. De Geschillenkamer beoordeelt eerst de verwerking van persoonsgegevens binnen het innovatieproject. Zij maakt daarbij een opdeling tussen de opname en verwerking van de ruwe audiobestanden en het berekenen en verwerken van de stemafdrukken. II.2.1. Ruwe audiobestanden 36. De Inspectiedienst stelt vast dat er op de dertig verschillende sensoren voor de duur van veertig weken 24/7 geluiden worden opgenomen van een professionele kwaliteit, zonder dat er onderscheid wordt gemaakt tussen geluid met of geluid zonder stemmen. Deze geluiden worden opgedeeld in fragmenten van tien seconden en gedigitaliseerd tot de ruwe audiobestanden op de sensor zelf. In deze omstandigheden stelt de Inspectiedienst dat het onvermijdelijk is dat “een onvoorspelbaar scala aan bijzondere categorieën van persoonsgegevens zoals opgenomen in art. 9.1 AVG” 13 wordt verwerkt. Dit geldt voor zowel de aparte fragmenten van tien seconden als voor de aaneensluitende fragmenten van elk tien seconden. 37. Zowel de verwerker als de verweerder stellen dat er geen verwerking van persoonsgegevens plaatsvond, hoogstens dat een dergelijke verwerking zuiver speculatief/hypothetisch was en in geen geval was aangetoond. Beide steunen hiervoor hoofdzakelijk op de vereiste van artikel 4.1 van de AVG dat een persoon geïdentificeerd of identificeerbaar moet zijn, wat niet het geval zou zijn. Beide stellen eveneens dat een mogelijke verwerking van persoonsgegevens beperkt zou blijven omdat de ruwe audiobestanden slechts werden doorgestuurd naar de server indien een bepaald geluidsniveau overschreden werd. Beoordeling van de Geschillenkamer 38. Artikel 4.1 van de AVG definieert een persoonsgegeven als “alle informatie over een geïdentificeerd of identificeerbaar natuurlijke persoon”. Het Hof van Justitie heeft reeds in verschillende arresten geoordeeld dat de woorden ‘alle informatie’ duiden op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, “dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordeling, op voorwaarde dat deze informatie de betrokkene ’betreft’.”14 12 HvJEU, Arrest van 7 maart 2024, Endemol Shine Finland Oy, C-740/22, EU:C:2024:216, randnummer 39. 13 Stuk 83, Verslag van het Onderzoek, p. 65. 14 HvJEU, Arrest van 7 maart 2024, IAB Europe t. Gegevensbeschermingsautoriteit, C-604/22, EU:C:2024:214, randnummer 36. Zie hiervoor ook: HvJEU, Arrest van 4 mei 2023, F.F. t. Österreichische Datenschutzbehörde, C-487/21, EU:C:2023:369, randnummer 23 en naar analogie HvJEU, Arrest van 20 december 2017, Nowak, C-434/16, EU:C:2017:994, randnummer 34. Beslissing ten gronde 29/2025 — 15/60 39. Ten eerste stelt de Geschillenkamer vast dat er stemmen worden opgenomen. In het inspectieverslag wordt aangetoond dat de geluidssensoren permanent geluid opnemen en op de sensor opslaan voor acht uur met een professionele kwaliteit en binnen het frequentiebereik van de menselijke stem.15 De European Data Protection Board (hierna ‘EDPB’) wijst erop dat “de stem van de betrokkene zelf neerkomt op persoonsgegevens” 16. In casu valt ook de locatie van de persoon die spreekt af te leiden op basis van de locatie van de sensor die de stem heeft verwerkt. 40. Ten tweede oordeelt de Geschillenkamer dat de inhoudelijke informatie van de opgenomen gesprekken persoonsgegevens kunnen bevatten. Gezien de meeste van de dertig geluidssensoren niet hoger dan de eerste verdieping hangen en deze permanent geluid registreren met een voldoende kwaliteit om een gesprek in de buurt verstaanbaar op te nemen, kan met quasi zekerheid gesteld worden dat gesprekken tussen passanten in deze drukke studentenbuurt verstaanbaar worden opgenomen, zoals gesteld door de Inspectiedienst. Het is onvermijdelijk dat tijdens dergelijke gesprekken informatie wordt uitgewisseld tussen de deelnemers aan het gesprek over zichzelf of over een geïdentificeerd of identificeerbaar persoon. 41. In dat kader stelt de Geschillenkamer vast dat het voor de doeleinden van het innovatieproject niet noodzakelijk was om verstaanbare stemmen of gesprekken te verwerken. De technische analyse van de Inspectiedienst heeft aangetoond dat het mogelijk is de kwaliteit en de duur van de opnames te verlagen waardoor er wel nog classificatie van geluiden mogelijk zou zijn, maar geen stemmen of gesprekken meer herkend zouden kunnen worden. Noch de verweerder, noch de verwerker tonen aan dat ze maatregelen hebben genomen om het verwerken van verstaanbare stemmen en gesprekken onmogelijk te maken. 42. De opdeling in fragmenten van tien seconden doet niets af aan deze vaststelling, aangezien het technisch mogelijk is opeenvolgende fragmenten na elkaar te monteren en zo een heel gesprek binnen het bereik van de sensor te reconstrueren, wat door de verwerker aan de DPO van de verweerder werd bevestigd17. Daarenboven heeft de Inspectiedienst aangetoond dat het mogelijk is op tien seconden, weliswaar beperkte, persoonlijke informatie te capteren.18 De verweerder of verwerker tonen nergens aan dat een dergelijke mogelijkheid vóór de verwerking technisch onmogelijk is gemaakt. 15 Stuk 83, Verslag van het Onderzoek, p. 35-37. 16 EDPB Richtsnoer 01/2022 inzake de rechten van betrokkenen – recht van inzage, versie 2.1 van 28 maart 2023,randnummer 155. 17 Bijlage aan stuk 38: Offertes: Offerte A002153_nr3 Geluidsoverlast voorkomen door Y_1, p. 33. 18 Stuk 83 Verslag van het onderzoek, p. 64-65. Beslissing ten gronde 29/2025 — 16/60 43. De Geschillenkamer volgt de Inspectiedienst wanneer deze vaststelt dat het onvermijdelijk is dat persoonsgegevens uit de bijzondere categorie van persoonsgegevens van artikel 9.1 van de AVG worden verwerkt. De Geschillenkamer houdt in dit verband rekening met de totale duur van het project en de opnames, de druk bezochte projectzone, de opdeling in fragmenten van tien seconden en de kwaliteit van de opnames. Mensen praten nu eenmaal, ook op straat, over politiek, de medische situatie van henzelf of een gemeenschappelijke kennis, hun afkomst, hun geaardheid, enz. Noch de verweerder, noch de verwerker tonen aan dat ze enige maatregel hebben genomen om het verwerken van dergelijke gevoelige informatie te vermijden of onmogelijk te maken. 44. De verweerder duidt in haar conclusies op het zuiver hypothetisch/speculatief karakter van deze vaststellingen gezien het niet zeker is of de sensoren menselijke spraak zouden capteren. De Geschillenkamer stelt echter vast dat het doel van het innovatieproject is om geluidsoverlast te capteren en op te delen in categorieën. Een hoofdklasse is daarbij “stemlawaai”, dat is opgedeeld in vier subklassen: ‘roepen/vechtpartij’, ‘zingen’, ‘gehuil/gekrijs’ en ‘gepraat’19. Daarenboven maakt de verwerker zich sterk dat het in deze vier subklassen een onderscheid kan maken tussen grote of kleine groepen mensen die deze geluiden voortbrengen.20 Dit is in tegenspraak met de bewering van de verweerder die stelt dat het speculatief zou zijn dat er verstaanbaar stemgeluid wordt gecapteerd. Daarenboven argumenteert de verweerder in haar conclusie van dupliek dat “geluidshinder van menselijke overlast”21 wel degelijk een probleem is in de stad en “de desgevallende verwerkingen van persoonsgegevens die hiermee gepaard gaan – noodzakelijk is voor de vervulling van een taak van algemeen belang”22. In het inspectieverslag werd een minder privacy-intrusief alternatief geïdentificeerd om het doel te bereiken, met name het activeren van de nudging op basis van de geluidssterkte alleen, zonder opname van de geluiden. De verweerder weerlegt het alternatief van de Inspectiedienst in haar conclusies: “Deze alternatieve werkwijze zou er echter niet toe kunnen leiden dat de doelstelling van het project kan worden verwezenlijkt, met name het tegengaan van nachtlawaai afkomstig van menselijke bronnen […]”23 (nadruk in de originele tekst). Zoals ook al gesteld door de Inspectiedienst, volgt de Geschillenkamer de verweerder niet wanneer zij stelt dat het capteren van verstaanbare menselijke spraak louter hypothetisch of speculatief zou zijn. 19 Bijlage aan stuk 38 Offertes: presentatie slides – Geluidsoverlast voorkomen door innovatie in de s_2, slide 24 en Bijlage aan stuk 38: Offertes: Offerte A002153_nr3 Geluidsoverlast voorkomen door Y_1, p. 6. 20 Bijlage aan stuk 38: Offertes: Offerte A002153_nr3 Geluidsoverlast voorkomen door Y_1, p. 5: “Merk op dat het onderscheid tussen een ‘kleine’ of ‘grote’ groep soms moeilijk te maken is en dat dit ons enkel enigszins mogelijk lijkt voor de aangekruiste klasses.” 21 Stuk 124, Conclusie van dupliek van de verweerder, randnummer 39. 22 Ibid, randnummer 41. 23 Ibid, randnummer 45. Beslissing ten gronde 29/2025 — 17/60 45. De verweerder duidt eveneens op de objectieve trigger die moet worden overschreden alvorens de ruwe audiobestanden en de MEL-spectrogrammen worden doorgezonden naar de servercluster. De Geschillenkamer oordeelt dat deze argumentatie niet ter zake doet gezien de verwerking van persoonsgegevens reeds is aangevangen voorafgaand aan de berekening van deze objectieve trigger en het doorsturen van de ruwe audiobestanden. Dit wordt beaamd door de verweerder wanneer zij stelt dat “de ruwe audiobestanden, wanneer er geen trigger plaatsvond […] enkel lokaal en geëncrypteerd werden opgeslagen […]24. 46. Zowel de verweerder als de verwerker stellen tenslotte in hun conclusies dat de eventuele opgenomen communicatie niet kan teruggebracht worden tot een geïdentificeerd of identificeerbaar persoon, waardoor men niet kan spreken van een persoonsgegeven. Dit is echter in tegenspraak met wat de bevoegde schepen van de stad op 20 mei 2022 aan de klager meedeelde, waarin zij bevestigde: “De ruwe data kan inderdaad informatie bevatten die (on)rechtstreeks de identificatie van de betrokkene mogelijk maakt. Deze captatie is niet te anonimiseren. Het gaat hier echter om uitzonderlijke, onrechtstreekse identificatie.”25 47. Vooraf moet worden opgemerkt dat de ruwe audiobestanden geen betrekking hebben op ‘geïdentificeerde’ personen. Derhalve moet onderzocht worden of de gegevens betrekking hebben op een ‘identificeerbaar’ natuurlijk persoon. 48. Het Hof van Justitie verduidelijkt het begrip “identificeerbaarheid” door te stellen dat “rekening moet worden gehouden met ‘alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke personen direct of indirect te identificeren, bijvoorbeeld selectietechnieken’.”26 Het Hof van Justitie heeft in het arrest IAB Europe geoordeeld dat de uitdrukking ‘indirect’ van artikel 4.1 AVG betekent dat “het voor de kwalificatie van informatie als persoonsgegeven niet nodig is dat dit gegeven het op zichzelf mogelijk maakt de betrokken persoon te identificeren […]. Integendeel, uit artikel 4, punt 5 AVG, gelezen in samenhang met overweging 26 van deze verordening, vloeit voort dat persoonsgegevens die door het gebruik van aanvullende informatie kunnen worden gekoppeld aan een natuurlijke persoon, moeten worden beschouwd als gegevens over een identificeerbare natuurlijke persoon[…].”27 49. Vooreerst oordeelt de Geschillenkamer dat het mogelijk is dat zowel de identiteit van de persoon die praat als voldoende elementen ter identificatie van de persoon waarover 24 Ibid, randnummer 23. 25 Stuk 6, Geluidsopnamen Antwerpen - Bemiddeling, e-mail, p. 3. 26 HvJEU, Arrest van 4 mei 2023, F.F. t. Österreichische Datenschutzbehörde, C-487/21, EU:C:2023:369, randnummer 25. 27 HvJEU, Arrest van 7 maart 2024, IAB Europe t. Gegevensbeschermingsautoriteit, C-604/22, EU:C:2024:214, randnummer 39. Beslissing ten gronde 29/2025 — 18/60 gesproken wordt, deel kunnen uitmaken van het opgenomen gesprek. De verweerder of verwerker tonen nergens aan dat een dergelijke mogelijkheid vóór de verwerking technisch onmogelijk is gemaakt. 50. Daarenboven stelt de Geschillenkamer vast dat de verweerder de verwerking van deze opnames kadert binnen haar algemene politiebevoegdheden van artikel 135 §2 van de Gemeentewet.28 Binnen deze bevoegdheid beschikt de verweerder als verwerkingsverantwoordelijke over verschillende middelen, waaronder onder andere gegevens van de lokale politie, de GAS-ambtenaren, verschillende databanken waaronder het rijksregister en een vast cameranetwerk. Al deze middelen zijn inzetbaar in het kader van dezelfde doelstelling als dit innovatieproject, namelijk het tegengaan van inbreuken op de openbare rust en het tegengaan van alle vormen van openbare overlast. De verweerder haalt in dit kader zelf rechtspraak van de Raad van State aan die haar bevoegdheden tot preventieve politiemaatregelen bevestigt.29 De klager vermeldt de camera’s die in dezelfde buurt zijn geïnstalleerd met dezelfde doelstelling en die beheerd worden door dezelfde verwerkingsverantwoordelijke.30 51. De verweerder verwijst ook naar artikel 2 van het Decreet Lokaal Bestuur31 en naar het feit dat het “maken van nachtlawaai in art. 561 Sw. 32 strafbaar wordt gesteld”33. Van al deze middelen/initiatieven kan redelijkerwijs verwacht worden dat zij door de verweerder zouden kunnen gebruikt worden ter identificatie van de betrokkenen waarvan of waarover een stem/gesprek is gecapteerd. 52. In de zaak Breyer besliste het Hof van Justitie dat een dynamisch IP-adres een persoonsgegevens betrof wanneer de aanbieder van onlinemediadiensten “beschikt over wettige middelen waarmee hij de betrokken persoon kan identificeren aan de hand van extra informatie die bij de internetprovider van deze persoon berust.” 34 Van belang hierbij 28 Stuk 124, conclusie van dupliek van de verweerder, randnummer 36. 29 Ibid, randnummer 35. 30 Stuk 122, conclusie van repliek van de klager, p. 4-5. 31 Artikel 2 Decreet Lokaal bestuur: […] § 2. De gemeenten zijn overeenkomstig artikel 41 van de Grondwet bevoegd voor de aangelegenheden van gemeentelijk belang. Voor de verwezenlijking daarvan kunnen ze alle initiatieven nemen. Ze beogen om bij te dragen aan de duurzame ontwikkeling van het gemeentelijk gebied. Overeenkomstig artikel 6, § 1, VIII, tweede lid, van de bijzondere wet van 8 augustus 1980 tot hervorming der instellingen en artikel 46 van de gewone wet van 9 augustus 1980 tot hervorming der instellingen en met toepassing van het subsidiariteitsbeginsel, oefenen de gemeenten ook de bevoegdheden uit die hen door of krachtens de wet of het decreet zijn toevertrouwd. […]” 32 Artikel 561 Sw.: “Met geldboete van tien [euro] tot twintig [euro] en met gevangenisstraf van een dag tot vijf dagen of met een van die straffen alleen worden gestraft: 1°Zij die zich schuldig maken aan nachtgerucht of nachtrumoer waardoor de rust van de inwoners kan worden verstoord;” 33 34 Stuk 124, conclusie van dupliek van de verweerder, randnummer 40. HvJEU, Arrest van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, C-582/14, EU:C:2016:779, randnummer 49. Beslissing ten gronde 29/2025 — 19/60 is dat de internetprovider in deze zaak naar Duits recht de extra informatie niet mocht doorgeven aan de aanbieder, maar dat er wel “juridische mogelijkheden […] bestaan om zich, met name in geval van cyberaanvallen, te wenden tot de bevoegde autoriteit opdat deze de nodige stappen onderneemt om die informatie van de internetprovider te verkrijgen en om strafvervolging in te stellen.” 35 Het Hof van Justitie volgde de advocaatgeneraal in zijn beoordeling dat dit niet het geval zou zijn indien “de identificatie van de betrokkene bij wet verboden wordt of in de praktijk ondoenlijk is”36. De stad als verwerkingsverantwoordelijke beschikt zelf over voldoende wettelijke middelen, zoals bijvoorbeeld de toegang tot het rijksregister of de inzet van lokale politie en GASambtenaren, die, minstens voor zwaarwichtige redenen, kunnen leiden tot de identificatie van de betrokkene waarvan de stem of het gesprek is opgenomen . Er is geen wet die de identificatie van deze betrokkene verbiedt. 53. Ook de Inspectiedienst heeft op deze bredere context gewezen door verschillende beleidsdocumenten van de stad aan te halen zoals de “Visietekst Smart Cities” 37 van 2017 en het beleidsdocument “De digitale toekomst van Antwerpen” 38 van 2021. De Inspectiedienst stelt vast dat “het project oorspronkelijk hogere ambities stelde […] Zo wilde men ook inzetten op de bestrijding van andere overlastfenomenen in de wijk en voorzag men een stadsbreed dashboard waarbij ook gegevensdeling met de politie werd voorzien”39. In dit kader verwijst de Geschillenkamer ook naar het Best and Final Offer van de verwerker (hierna ‘BAFO’) en de ‘opmerkingen en vragen DPO’ die als appendix 2 aan het BAFO zijn toegevoegd. Op de vraag van de DPO om de toegang tot de audiodata te beperken, antwoordt de verwerker: “Dit zal sowieso gebeuren: enkel de operatoren belast met de labeling van de geluiden, training van de classificatiemodellen of eventueel het effectieve afhandelen / behandelen van de geluidsoverlast zal toegang krijgen tot de audiodata.”40 (nadruk van de Geschillenkamer). 54. In tegenstelling tot wat de verweerder in haar conclusies beargumenteert, was zij reeds via de adviezen van haar DPO op de hoogte dat er wel degelijk persoonsgegevens werden verwerkt bij het verwerken van de ruwe audiobestanden. In het advies van de DPO van de verweerder van 22 november 2021 sprak deze vooral van verwerking van anonieme persoonsgegevens. Bij de rubriek opslagbeperking stelde de DPO echter: “[…] De gegevens zullen geanonimiseerd worden. Het is niet duidelijk of en hoe lang de niet-geanonimiseerde 35 Ibid, randnummer 47. 36 Ibid, randnummer 46. 37 Stuk 78: 2017_CBS_01466 – Smart City – Visie en prioriteiten – Goedkeuring. 38 Stuk 79: De digitale toekomst van Antwerpen juni 2021 – 18.12.2023. 39 Stuk 83, Verslag van het Onderzoek, p. 204. 40 Bijlage aan stuk 38: Offertes: Offerte A002153_nr3 Geluidsoverlast voorkomen door Y_1, p. 33. Beslissing ten gronde 29/2025 — 20/60 persoonsgegevens (bv. stemmen) bewaard zullen worden in de meettoestellen.”41 In het advies van de DPO van de stad van 25 februari 2022 stelt de DPO: “In functie van de training van het geluidsdetectiesysteem zullen geluiden – waaronder ook persoonsgegevens, namelijk menselijke stemmen en gesprekken – worden verwerkt.”42 55. Daarenboven is er binnen het innovatieproject een subjectieve trigger voorzien in de vorm van een meldingsapp waarop buurtbewoners geluidsoverlast kunnen melden. Deze melding bestaat uit onder andere de locatie en het tijdstip van de overlast en bevat ook een vrij veld om de geluidsoverlast te beschrijven. Deze melding wordt gekoppeld aan het ruwe audiobestand van dezelfde locatie op hetzelfde tijdstip om de ruwe audiobestanden van dat tijdstip om te zetten in MEL-spectrogrammen teneinde de software van de AI te kunnen trainen. De Geschillenkamer stelt vast op basis van een uittreksel van deze subjectieve meldingen dat er geluidsoverlast werd gemeld met als opmerking: “[straatnaam en huisnummer], Nederlandse studenten in airbnb”43. Deze informatie wordt binnen het innovatieproject gekoppeld met het bewuste ruwe audiobestand en maakt de identificatie van de aanwezige personen ook via deze weg redelijkerwijs mogelijk indien gekoppeld met andere middelen van de verweerder, zoals bijvoorbeeld de toegang tot het rijksregister of een plaatsbezoek door de lokale politie. 56. De Geschillenkamer oordeelt dat de ruwe audiobestanden waarin menselijke spraak voorkomt persoonsgegevens zijn in de zin van artikel 4.1 van de AVG en dat het onvermijdelijk is dat deze ruwe audiobestanden persoonsgegevens van de bijzondere categorie zoals bepaald in artikel 9.1 van de AVG bevatten. Daarenboven stelt de Geschillenkamer vast dat de DPO van de stad tot dezelfde conclusies was gekomen in verband met de verwerking van persoonsgegevens en de verweerder dus niet onwetend was aangaande deze verwerking. II.2.2. Stemafdrukken 57. Als voorafgaande opmerking verduidelijkt de Geschillenkamer dat doorheen de stukken de termen ‘MEL-spectrogrammen’ en ‘stemafdrukken’ door elkaar worden gebruikt. Het MELspectrogram is de (beeld)weergave van een specifiek geluid. De stemafdruk is de (beeld)weergave van een specifiek stemgeluid. In casu is de stemafdruk een MELspectrogram van een specifiek stemgeluid. Waar niet expliciet een MEL-spectrogram wordt bedoeld, gebruikt de Geschillenkamer de term stemafdruk doorheen haar beslissing, aangezien het over het geluid van stemmen gaat. In citaten van andere stukken uit het dossier, neemt de Geschillenkamer echter de gebruikte term in het citaat over. 41 Bijlage aan stuk 38: 004 – 20211115_advies_DPO_Buurtgebruis, p. 4. 42 Bijlage aan stuk 38: 004 – 20220225_advies_DPO_Overlast_studentenbuurt, p. 1. 43 Stuk 83, Verslag van het Onderzoek, p. 211. Beslissing ten gronde 29/2025 — 21/60 58. De Inspectiedienst stelt dat de stemafdrukken biometrische persoonsgegevens zijn in de zin van artikel 4.14 van de AVG. De ruwe audiobestanden worden via een technische verwerking omgezet in MEL-spectrogrammen. Dit MEL-spectrogram is “een zogenaamde ‘voorstelling’ of ‘representatie’ van geluid, die (gangbaar) gebruikt wordt voor spraak- en sprekerherkenning en er aldus voor kan dienen indien het spectrogram berekend worden (sic) op basis van menselijk stemgeluid” 44. De Inspectiedienst heeft ook aangetoond dat er “géén sprake was van anonimiseringstechnieken op het niveau van de […]MELspectrogrammen.”45 59. In haar onderzoek of de stemafdrukken tot een directe of indirecte identificatie van de betrokkene kan leiden, besluit de Inspectiedienst dat noch de verweerder, noch de verwerker over middelen beschikken waarvan redelijkerwijs kan verwacht worden dat zij gebruikt kunnen worden voor de identificatie van een betrokkene waarvan een stemafdruk werd berekend. Echter, aangezien de stemafdrukken onversleuteld passeren op de Google cloud en aangezien deze subverwerker zelf stemafdrukken gebruikt voor haar dienstverlening, beschikt Google dus mogelijk wel over voldoende aanvullende informatie waarmee identificatie van de op haar systemen onversleuteld verwerkte MELspectrogrammen mogelijk is. 60. Tenslotte wijst de Inspectiedienst erop dat er gezien de biometrische aard van de stemafdrukken en de stand van de techniek hieromtrent, rekening mee moet worden gehouden dat een derde partij, niet betrokken bij de verwerking, met aanvullende informatie deze stemafdrukken mogelijk wel zou kunnen identificeren, nu of in de toekomst. 61. De verweerder wijst erop dat een “loutere verwerking van stemafdrukken op zichzelf [niet] kan (redelijkerwijs) […] leiden tot zulke eenduidige identificatie van een persoon […]” 46.De verweerder haalt in dit verband de aanbeveling betreffende biometrische gegevens van 1 december 2021 van de Gegevensbeschermingsautoriteit aan die spreekt van de nood om eerst een inzamelingsfase met identiteitsregistratie te doen; deze eerste fase werd in het innovatieproject nooit uitgevoerd. 62. Aangaande de onversleutelde opslag van de stemafdrukken bij Google, stelt de verweerder vooreerst in vraag of deze subverwerker effectief toegang zou hebben tot deze stemafdrukken en of deze subverwerker beschikt over een databank van stemafdrukken om de opgeslagen stemafdrukken mee te vergelijken. De verweerder verwijst hiervoor naar de privacyverklaring van Google. 44 Ibid, p. 80. 45 Ibid, p. 90. 46 Stuk 124, conclusie van dupliek van de verweerder, randnummer 24. Beslissing ten gronde 29/2025 — 22/60 63. De verweerder is dus van mening dat een eenduidige identificatie door een andere persoon niet redelijkerwijs te verwachten valt, “minstens is dit toch wel voor enige interpretatie en discussie vatbaar”47. Zij oordeelt dat er voldoende maatregelen waren genomen om een eenduidige identificatie uit te sluiten. Beoordeling van de Geschillenkamer 64. In S. and Marper v. the United Kingdom stelde het EHRM48: ”86. The Court is of the view that the general approach taken by the Convention organs in respect of photographs and voice samples should also be followed in respect to fingerprints. The Government distinguished the latter by arguing that they constituted neutral, objective and irrefutable material and, unlike photographs, were unintelligible to the untutored eye and without a comparator fingerprint. While true, this consideration cannot alter the fact that fingerprints objectively contain unique information about the individual concerned, allowing his or her identification with precision in a wide range of circumstances. They are thus capable of affecting his or her private life and the retention of this information without the consent of the individual concerned cannot be regarded as neutral or insignificant.(nadruk in de originele tekst)”49 De Geschillenkamer volgt het EHRM, dat stelt dat een stemafdruk, net zoals een vingerafdruk, ‘objectief gezien unieke informatie bevat’ over een individu dat toelaat deze betrokkene ‘met precisie te identificeren in een brede waaier van omstandigheden’. 65. De Geschillenkamer stelt vast dat een MEL-spectrogram van een geluidsfragment van een stem, indien voldoende geïsoleerd en zonder te veel omgevingsruis, een stemafdruk is van een welbepaald persoon. Deze stemafdruk valt binnen de verzameling ‘alle informatie’ over een persoon van artikel 4.1 van de AVG. 66. Aangaande de identificeerbaarheid van de persoon stelt de Geschillenkamer vast dat de Inspectiedienst haar onderzoek heeft gevoerd op basis van de biometrische informatie uit de stemafdruk. Daartoe zou de verweerder dus moeten beschikken over (externe) geïdentificeerde biometrische informatie die te vergelijken is met de biometrische informatie uit het project om zo tot een identificatie te kunnen komen. De Geschillenkamer 47 Ibid, randnummer 29. 48 ECHR, Judgment of 4 December 2008, S. and Marper v. the United Kingdom, randnummer 86. 49 Vrije vertaling door de Geschillenkamer: 86. Het Hof is van oordeel dat de algemene benadering van de verdragsorganen met betrekking tot foto's en stemafdrukken ook moet worden gevolgd met betrekking tot vingerafdrukken. De regering onderscheidde deze laatste met het argument dat zij neutraal, objectief en onweerlegbaar materiaal vormen en, in tegenstelling tot foto's, onbegrijpelijk zijn voor het ongetrainde oog en zonder een vergelijkbare vingerafdruk. Hoewel dit juist is, kan deze overweging niets afdoen aan het feit dat vingerafdrukken objectief unieke informatie bevatten over de betrokkene, waardoor hij of zij in een groot aantal omstandigheden nauwkeurig kan worden geïdentificeerd. Ze kunnen dus invloed hebben op zijn of haar privéleven en het bewaren van deze informatie zonder de toestemming van de betrokkene kan niet als neutraal of onbeduidend worden beschouwd. Beslissing ten gronde 29/2025 — 23/60 volgt de Inspectiedienst en de verweerder dat er geen aanwijzingen zijn die doen vermoeden dat de verweerder of de verwerker over dergelijke geïdentificeerde biometrische informatie beschikt. 67. De Geschillenkamer volgt de Inspectiedienst echter niet wanneer deze verklaart: “We kunnen hieruit concluderen dat de verwerkingsverantwoordelijke niet beschikte over middelen waarvan redelijkerwijs valt te verwachten dat deze gebruikt worden om de betrokkene aan de hand van de in de MEL-spectrogrammen opgeslagen biometrische persoonsgegevens te identificeren” 50. Binnen het project worden immers ruwe audiobestanden van stemmen opgenomen en verwerkt. In randnummers 48 tot 56 oordeelde de Geschillenkamer dat deze ruwe audiobestanden redelijkerwijs identificeerbaar zijn voor de verweerder. Deze ruwe audiobestanden worden binnen het project omgezet in MEL-spectrogrammen om de software van de AI te kunnen trainen en om de geluidsfragmenten te classificeren. De Geschillenkamer oordeelt dat indien de ruwe audiobestanden met stemgeluid redelijkerwijs identificeerbaar zijn, de stemafdrukken die door dezelfde partij rechtstreeks berekend worden op basis van deze bewuste ruwe audiobestanden, eveneens redelijkerwijs identificeerbaar zijn. 68. Inzake de identificatie door een derde persoon wijst de Geschillenkamer in de eerste plaats naar het in randnummer 64 aangehaalde arrest S and Marper van het EHRM: ”deze overweging [kan] niets afdoen aan het feit dat vingerafdrukken objectief unieke informatie bevatten over de betrokkene, waardoor hij of zij in een groot aantal omstandigheden nauwkeurig kan worden geïdentificeerd.” (vertaling en nadruk door de Geschillenkamer).51 De Geschillenkamer wees hierboven reeds op de door het Hof vastgestelde analogie tussen een vingerafdruk en een stemafdruk (‘voice sample’).52 69. De Inspectiedienst verwees in dit verband naar de capaciteiten van Google om aan te tonen dat zelfs binnen het project er mogelijk een derde partij aanwezig is die op basis van de stemafdrukken personen kan identificeren. Ook al verwijst Google in haar privacyverklaring naar een strikt beleid rond deze identificatiemogelijkheden, is de Geschillenkamer van oordeel dat identificatie door deze subverwerker redelijkerwijs mogelijk is, zeker aangezien de stemafdrukken niet versleuteld beschikbaar waren voor deze subverwerker. 70. De Geschillenkamer houdt ook rekening met de technische analyse van de Inspectiedienst dat de MEL-spectrogrammen worden berekend op basis van de ruwe audiobestanden. De inverse berekening, van MEL-spectrogrammen terug naar ruwe audio, is eveneens 50 Stuk 83, Verslag van het Onderzoek, p. 97. 51 ECHR, Judgment of 4 December 2008, S. and Marper v. the United Kingdom, randnummer 86. 52 Ibid, “Het Hof is van oordeel dat de algemene benadering van de verdragsorganen met betrekking tot foto's en stemafdrukken ook moet worden gevolgd met betrekking tot vingerafdrukken.” (vertaling door de Geschillenkamer) Beslissing ten gronde 29/2025 — 24/60 mogelijk mits een zeker kwaliteitsverlies.53 De mate van kwaliteitsverlies is echter niet gekend en zou getest moeten worden, maar aangezien de stemafdrukken kunnen dienen voor spraak- en sprekerherkenning, is aannemelijk dat de kwaliteit voldoende is om de desbetreffende ruwe audiobestanden verstaanbaar terug te kunnen zetten. Dit betekent bovendien dat ook de stemafdrukken gegevens kunnen bevatten van de bijzondere categorieën van persoonsgegevens, net zoals de ruwe audiobestanden. De verweerder of verwerker tonen nergens aan dat de inversie van de stemafdrukken vóór de verwerking technisch onmogelijk is gemaakt. 71. Tenslotte wijst de Geschillenkamer op artikel 4.14 van de AVG, dat het begrip ‘biometrisch gegeven’ definieert. Een stemafdruk is het resultaat van een specifieke technische verwerking met betrekking tot fysiologische en gedrag gerelateerde kenmerken op grond waarvan eenduidige identificatie mogelijk is.54 De Inspectiedienst overtuigt in haar argumentatie dat de stemafdruk een biometrisch gegeven is dat valt binnen de definitie hiervan in de AVG. Conclusie 72. Binnen het innovatieproject worden twee sets van persoonsgegevens verwerkt die van toepassing zijn op de klacht. 73. De ruwe audiobestanden die menselijke spraak bevatten, zijn enerzijds identificeerbare persoonsgegevens van de deelnemers aan het gesprek dat werd opgenomen. De stem van de spreker is een persoonsgegeven en wordt gekoppeld aan zijn locatie op dat moment. Gezien de capaciteiten van de verweerder kan er redelijkerwijs van uit gegaan worden dat zij de stemmen zou kunnen identificeren. De ruwe audiobestanden die menselijke spraak bevatten kunnen anderzijds persoonsgegevens bevatten in de vorm van gesprekken tussen passanten waarin gegevens van een geïdentificeerd of identificeerbaar persoon worden uitgewisseld. Daarbij is de verwerking van persoonsgegevens van de bijzondere categorie van persoonsgegevens van artikel 9.1 van de AVG onvermijdelijk. 74. De stemafdrukken zijn enerzijds biometrische persoonsgegevens van de deelnemers aan het gesprek dat is opgenomen. Deze stemafdrukken zijn door de verweerder identificeerbaar omdat ze rechtstreeks gekoppeld zijn aan de identificeerbare ruwe audiobestanden. Deze stemafdrukken zijn ook mogelijk identificeerbaar door derden, waaronder onder andere de subverwerker Google, gezien de objectieve informatie die dergelijke biometrische gegevens bevat. 53 Stuk 55, Analyse antwoord van [verwerker], p. 19-20. 54 Stuk 83, Verslag van het Onderzoek, p. 59-61 en p. 80-100. Beslissing ten gronde 29/2025 — 25/60 De stemafdrukken zijn anderzijds eveneens persoonsgegevens die onvermijdelijk gegevens van de bijzondere categorie van persoonsgegevens bevatten, aangezien de ruwe audiobestanden kunnen worden herberekend op basis van deze stemafdrukken. 75. Op grond van bovenstaande stelt de Geschillenkamer vast dat het in casu onvermijdelijk is dat er door de verwerking van de ruwe audiobestanden die menselijke spraak bevatten en van de stemafdrukken gegevens van de bijzondere categorieën van persoonsgegevens worden verwerkt. II.3. Belang van de klager 76. Het inspectieverslag stelt vast dat de klager “in de buurt (of minstens in een aangrenzende straat) waar het project zal lopen”55 woont. 77. De klager stelt dat hij dicht bij de projectzone woont en regelmatig door deze zone passeert. Hij was ook aanwezig op het eerste buurtcomité waarop dit innovatieproject werd voorgesteld. Bij zijn eerste vragen aangaande het project, werd hij door de verweerder beschouwd als belanghebbende, gezien de verweerder antwoordde op zijn vragen. 78. De verweerder stelt zich ernstige vragen aangaande de hoedanigheid van de klager. De verweerder meent dat “het op geen enkele wijze vast [staat] noch […] het ook maar enigszins aangetoond [wordt] […] dat er persoonsgegevens, laat staan persoonsgegevens van (resp. met betrekking tot) de klager werden verwerkt […].” 56 De verweerder vervolgt: “Bij gebreke aan enig bewijs van de vereiste hoedanigheid kan de klacht van klager als weinig anders worden beschouwd dan een zgn. actio popularis, die volgens het Grondwettelijk Hof niet toelaatbaar is in België.”57 79. Tijdens de hoorzitting verduidelijkte de verweerder dat de klager nooit een verzoek tot inzage heeft gedaan en dus onmogelijk kan aantonen dat zijn persoonsgegevens zijn verwerkt. Om deze reden zou de klager dus ook nooit zijn belang kunnen aantonen. Beoordeling van de Geschillenkamer 80. Artikel 58 van de WOG bepaalt: ”Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een verzoek indienen bij de Gegevensbeschermingsautoriteit”. Conform artikel 60.2 van de WOG is een klacht ontvankelijk wanneer zij: - opgesteld is in één van de landstalen; 55 Stuk 83, Verslag van het Onderzoek, p. 8. 56 Stuk 124, conclusie van dupliek van de verweerder, randnummer 12. 57 Ibid. Beslissing ten gronde 29/2025 — 26/60 - een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft; - zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit. 81. De Geschillenkamer heeft in een eerdere beslissing als volgt overwogen : “Hoewel de AVG de ‘klacht’ benadert vanuit het standpunt van de betrokkene, door de controleautoriteiten verplichtingen op te leggen wanneer een persoon een klacht indient (zie de artikelen 57, 1.,
6. f)en 77 van de AVG), belet de AVG niet dat het nationaal recht andere personen dan de betrokkenen de mogelijkheid geeft om een klacht in te dienen bij de nationale controleautoriteit. De mogelijkheid van een dergelijke aanhangig making stemt overigens overeen met de opdrachten die door de AVG aan de controleautoriteiten worden toegekend. In dat opzicht en algemeen genomen, zorgt elke controleautoriteit voor: de monitoring en handhaving van de toepassing van de AVG (artikel 57, 1.,
7. a)AVG), en de verrichting van alle andere taken die verband houden met de bescherming van persoonsgegevens (artikel 57, 1.,
8. v)AVG).”58 82. Kortom, de WOG sluit niet uit dat een ander dan de betrokkene of de persoon die door de betrokkene gemachtigd is, zoals bedoeld in artikel 80 van de AVG en uitgewerkt in artikel 220 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, een klacht kan indienen bij de GBA. 83. Meer bepaald oordeelt de Geschillenkamer dat artikel 58 WOG elke persoon de mogelijkheid biedt een klacht in te dienen, op voorwaarde dat de klager blijk geeft dat hij voldoende belang heeft. 84. In een eerdere beslissing van de Geschillenkamer 59 werd het belang van de klager afgewezen op basis van een vermeende ‘actio popularis’. De klager toonde hier geen belang aan in de verwerking van camerabeelden in een carwash zonder dat de bezoekers hier weet van hadden. In deze klacht had de klager echter louter gewag gemaakt van een publiek belang, “bestaande uit de bescherming van de privacyrechten van elke burger die met zijn wagen gebruik maakt van de diensten van de carwash […]” 60. In die klacht was immers sprake van het gebruik van de camerabeelden als bewijslast tegen een klant en van het plaatsen van deze camerabeelden op Facebook. De klager was op dat moment geen slachtoffer van deze praktijken. 58 Zie o.a. Beslissing van de Geschillenkamer 106/2022 van 28 juni 2022; Beslissing van de Geschillenkamer 117/2021 van 22 oktober 2021 en Beslissing van de Geschillenkamer 80/2020 van 17 december 2020. 59 Beslissing van de Geschillenkamer 80/2020 van 17 december 2020. 60 Ibid, randnummer 50. Beslissing ten gronde 29/2025 — 27/60 85. In zijn klacht tegen het innovatieproject wijst de klager echter duidelijk op zijn hoedanigheid als buurtbewoner61 en op het feit dat hij op de eerste buurtvergadering aanwezig was 62. Bovendien stelde de klager in een reactie op de verweerder: “Ik wandel graag rond als een vrij burger die praat op straat zonder dat dit wordt opgenomen.” 63 De Geschillenkamer oordeelt dat de klager de verwerking van zijn eigen spraakgegevens aankaart en niet handelt in het kader van een actio popularis. 86. De Geschillenkamer heeft hierboven vastgesteld dat het project voor meerdere maanden 24/7 spraakgegevens verwerkt van alle personen die zich op de openbare weg binnen het bereik van de betrokken geluidssensoren bevinden. Deze geluidssensoren zijn opgesteld in een omvangrijke zone in een bepaald gedeelte van de stad. De klager woont niet in het doelgebied maar toont aan dat hij op een zeer korte afstand van dit doelgebied woont, met name in een straat die uitgeeft op de grens van deze zone, en dat hij zich regelmatig in deze zone te voet of met de fiets beweegt. Conclusie 87. De Geschillenkamer oordeelt dat de klager, hoewel hij niet kan aantonen dat zijn gegevens werkelijk zijn verwerkt, voldoende belang heeft om een klacht in te dienen. II.4. Verwerkingsverantwoordelijke, verwerker en belanghebbende derden 88. Overeenkomstig artikel 4.7 van de AVG dient als verwerkingsverantwoordelijke te worden beschouwd: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. 89. Het Hof van Justitie heeft in zijn rechtspraak het begrip “verwerkingsverantwoordelijke” meermaals ruim uitgelegd teneinde een doeltreffende en volledige bescherming van de betrokkenen te verzekeren.64 90. Overeenkomstig richtsnoer 7/2020 van de EDPB dient de hoedanigheid van de betrokken verwerkingsverantwoordelijke(
9. n)in concreto te worden beoordeeld.65 Overeenkomstig hetzelfde advies dienen de concepten “het doel” en “de middelen” onlosmakelijk samen te 61 Stuk 26, formulier klacht – DOS-2022-02106 ik wens deze poging tot bemiddeling om te zetten in een klacht, p. 1. 62 Ibid, p. 2. 63 Bijlage aan stuk 3, Document1, p. 1. 64 Zie o.a. HvJEU, Arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, randnummer 2729. 65 EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, versie 2.0, Vastgesteld op 7 juli 2021, randnummer 12. Beslissing ten gronde 29/2025 — 28/60 worden behandeld en dient hierbij te worden vastgesteld wie het ‘waarom’ (het doel) en het ‘hoe’ (de middelen) van de verwerking bepaalt. 66 91. De Geschillenkamer heeft reeds vastgesteld in randnummers 72 tot 75 dat persoonsgegevens verwerkt werden in de zin van artikel 4.2 van de AVG. De Geschillenkamer stelt vast dat de verweerder het doel en de middelen bepaalde van de betrokken verwerking van persoonsgegevens. Het doel van het innovatieproject wordt in de GEB omschreven als “het in kaart brengen en remediëren van de geluidsoverlast in de studentenbuurt van Antwerpen met behulp van technologie” 67. Verder in deze GEB wordt daaraan toegevoegd “via nudging technieken”68. De middelen worden in de GEB als volgt omschreven: “Geluidssensoren worden ingezet in de openbare ruimte. Op basis van de gecapteerde geluidsfragmenten wordt een algoritme getraind voor geluidsclassificatie om nudging oplossingen aan te sturen.” 69 Over de geluidsclassificatie wordt ook nog gesteld: “Om de nudging correct te activeren is er een classificatie van de geluiden nodig. Hieronder vallen ook stemgeluiden van personen (bv. Mensen die op straat staan te zingen of te roepen).70 De verweerder spreekt in zijn conclusie71 onder andere van • een uiting van een intentie in het kader van ‘City of Things, • innovatiesessies met burgerdeelname in haar stad, • de daaruit volgende belangrijkste doelstelling, nl. het meten, classificeren, voorkomen en remediëren van nachtlawaai, • de keuze van het doelgebied in de stad en • de beslissing, in samenspraak met de tweede belanghebbende, om samen te werken met een externe partner, de verwerker. 92. Tevens werd overeenkomstig artikel 28 van de AVG op 6 april 2022 een verwerkersovereenkomst gesloten tussen de verweerder en de verwerker, waarbij eerstgenoemde werd aangeduid als verwerkingsverantwoordelijke. 72 Ook in de GEB wordt de verweerder geïdentificeerd als verwerkingsverantwoordelijke. 93. De Geschillenkamer stelt tenslotte vast dat er geen discussie bestaat over de hoedanigheid van verwerkingsverantwoordelijke. De verweerder wordt door de Inspectiedienst, de verwerker en de klager aangeduid als verwerkingsverantwoordelijke en 66 Ibid, randnummer 36. 67 Bijlage aan stuk 38, 001 – DPIA Geluidsoverlast Studentenbuurt, p. 4. 68 Ibid, p. 8. 69 Ibid, p. 10. 70 Ibid, p. 8. 71 Stuk 124, conclusie van dupliek van de verweerder, randnummer 1-3. 72 Bijlage aan stuk 38, 007 – 2022_BBDMV_00009_Verwerkingsovereenkomst_Stad_Antwerpen_en_[verwerker], p. 1 en p. 3. Beslissing ten gronde 29/2025 — 29/60 verzet zich niet tegen deze vaststelling. In haar conclusies erkent de verweerder de verwerkingsverantwoordelijke te zijn in het kader van het project.73 Conclusie 94. Op grond van bovenstaande oordeelt de Geschillenkamer dat de verweerder dient te worden beschouwd als verwerkingsverantwoordelijke in de zin van artikel 4.7 van de AVG voor de verwerking van de ruwe audiobestanden en van de stemafdrukken. Zij is er bijgevolg in deze hoedanigheid overeenkomstig de in artikelen 5.2 en 24 van de AVG vervatte verantwoordingsplicht toe gehouden om de naleving van de beginselen en bepalingen van de AVG te verzekeren. 95. Naast de verwerker als eerste belanghebbende derde werd in het inspectieverslag nog een tweede belanghebbende aangeduid, namelijk het orgaan dat subsidies heeft verstrekt aan de verweerder voor het uitvoeren van het innovatieproject. Deze tweede belanghebbende werd uitgenodigd te concluderen, maar heeft dit nagelaten. II.5. Rechtmatigheid van de verwerking 96. De Inspectiedienst stelt vast dat de verweerder de verwerking van de persoonsgegevens op de rechtsgrond uit artikel 6.1.e van de AVG baseert, zijnde een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag (hierna ‘rechtsgrond algemeen belang’). Zij komt echter tot het besluit dat de verweerder zich enkel zou kunnen baseren op toestemming voor de verwerking van de ruwe audiobestanden en dat zij de verwerking van de stemafdrukken niet kon baseren op de rechtsgrond algemeen belang. 97. De klager is van mening dat de rechtsgrond algemeen belang van artikel 6.1.e van de AVG mogelijk is voor de betrokken verwerking, maar slechts nadat het algoritme getraind is op basis van toestemming. 98. De verweerder steunt de verwerking op de rechtsgrond algemeen belang dat vervat zit in artikel 135, §2 van de Gemeentewet. Het bestrijden van nachtlawaai valt onder de openbare orde en rust uit dit artikel. Om dit nachtlawaai tegen te gaan is het noodzakelijk eerst voldoende gegevens te verzamelen om de AI te trainen, waarna met preventieve acties (nudging) de nachtrust van de omwonenden kan worden gegarandeerd. Beoordeling van de Geschillenkamer 99. De verwerking van persoonsgegevens door middel van intelligente geluidssensoren is enkel rechtmatig indien deze gebeurt conform artikel 6.1 van de AVG. De Geschillenkamer 73 Stuk 124, conclusie van dupliek van de verweerder, randnummer 18. Beslissing ten gronde 29/2025 — 30/60 oordeelt daarbij na analyse dat enkel de rechtsgrond algemeen belang kan worden gehanteerd voor de desbetreffende verwerkingen. In randnummer 75 werd geoordeeld dat zowel de ruwe audiobestanden als de stemafdrukken onvermijdelijk bijzondere categorieën van persoonsgegevens bevatten. Het Hof van Justitie heeft reeds eerder beslist dat in geval van een verwerking van persoonsgegevens die betrekking kan hebben op zowel gevoelige gegevens in de zin van artikel 9.1 van de AVG als niet-gevoelige gegevens en indien deze gegevens niet gescheiden kunnen worden, “de verwerking van de hele gegevensverzameling moet worden geacht verboden te zijn in de zin van artikel 9, lid 1, AVG, aangezien al die gegevens bij elkaar ten minste één gevoelig gegeven bevatten […]”74. De verwerkingsverantwoordelijke dient dus tevens aan te tonen dat één van de uitzonderingsgronden op het principiële verwerkingsverbod voor dit type van persoonsgegevens, opgesomd in artikel 9.2 van de AVG, toepassing vindt. 100. Zoals de Geschillenkamer reeds eerder stelde 75, dient een verwerking van de bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG gebaseerd te zijn op artikel 9.2 van de AVG in samenhang gelezen met artikel 6.1 van de AVG. Zulks wordt bevestigd in overweging 51 van de AVG, dat met betrekking tot de verwerking van bijzondere categorieën van persoonsgegevens stelt dat “naast de specifieke voorschriften voor die verwerking de algemene beginselen en andere regels van deze verordening [dienen] te worden toegepast, met name wat betreft de voorwaarde voor rechtmatige verwerking” en in het META-arrest76. 101. Zowel de klager als de Inspectiedienst suggereren dat de verwerking kan worden gebaseerd op grond van artikel 6.1.a van de AVG (toestemming). De Geschillenkamer oordeelt dat de toestemming in deze context niet vrij kan gegeven worden. Er bestaat immers een duidelijke wanverhouding tussen de verwerkingsverantwoordelijke als overheid en de passaten in haar stad. Er is evenmin een realistisch alternatief gezien het een relatief grote projectzone in een drukke stad betreft. Indien een persoon geen toestemming zou geven, betekent dit in de praktijk dat hij of zij deze publieke ruimte niet meer zou kunnen betreden. 102. Opdat een verwerkingsverantwoordelijke zich op artikel 6.1.
10. e)van de AVG zou kunnen beroepen om persoonsgegevens te verwerken, moet deze verwerking noodzakelijk zijn voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. De verwerking moet in deze gevallen altijd een grondslag hebben in het recht 74 HvJEU, Arrest van 4 juli 2023, Meta Platforms Inc. t, Bundeskartellamt, C-252/21, EU:C:2023:537, randnummer 89. 75 Zie o.a. Beslissing van de Geschillenkamer 76/2021 van 9 juli 2021, randnummer 33. 76 HvJEU, Arrest van 4 juli 2023, Meta Platforms Inc. t, Bundeskartellamt, C-252/21, EU:C:2023:537, randnummer 90. .Zie ook hieromtrent EDPB Richtsnoeren 3/2019 inzake de verwerking van persoonsgegevens door middel van videoapparatuur, versie 2.0 van 29 januari 2020,randnummer 68. Beslissing ten gronde 29/2025 — 31/60 van de Europese Unie of dat van de betreffende lidstaat, waarin ook het doel van de verwerking moet neergeschreven staan. 103. Krachtens artikel 6.3 en overweging 45 van de AVG moet een verwerking op grond van artikel 6.1.
11. e)van de AVG met andere woorden aan de volgende voorwaarden voldoen: • De verwerkingsverantwoordelijke moet belast zijn met de vervulling van een opdracht van algemeen belang of een opdracht die deel uitmaakt van de uitoefening van het openbaar gezag op grond van een rechtsgrondslag, ongeacht of die in het recht van de Europese Unie dan wel in het recht van de lidstaten is vervat; • De doeleinden van de verwerking worden in de rechtsgrond vastgelegd of moeten noodzakelijk zijn voor de uitvoering van de opdracht van algemeen belang of de uitoefening van het openbaar gezag. Er moet bijgevolg eerst worden nagegaan of in het geval van het innovatieproject aan deze voorwaarden is voldaan. 104. Volgens artikel 2 van het decreet over het lokaal bestuur77 kunnen gemeenten bevoegdheden uitoefenen die hen door een wet of een decreet zijn toevertrouwd. Artikel 135, §2 van de Gemeentewet vertrouwt een gemeente de bevoegdheid toe om te voorzien in een goede politie. Meer in het bijzonder wijst de verweerder aan de Inspectiedienst op de bevoegdheden uit artikel 135, §2, 2°, 3° en 7° van de Gemeentewet 78. De doeleinden van de verwerking zijn volgens deze bepalingen 2°: het tegengaan van inbreuken op de openbare rust, 3°: het handhaven van de orde op plaatsen waar veel mensen samenkomen en 7°: het tegengaan van alle vormen van openbare overlast. De Geschillenkamer oordeelt dat de aangehaalde rechtsgrond aan de voorwaarden van artikel 6.3 van de AVG voldoet. 105. Naast de verplichte voorwaarden van artikel 6.3 van de AVG, bepaalt ditzelfde artikel eveneens dat bijkomende elementen ‘kunnen’ worden bepaald in de rechtsnorm: “Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en procedures […]”. 77 Zie voetnoot 31. 78 Bijlage aan stuk 67, 20220927_antwoord GBA_studentenbuurt