← België

Beslissing ten gronde nr. 31/2026

1/16 Geschillenkamer Beslissing ten gronde 31/2026 van 13 februari 2026 Dossiernummer: DOS-2020-05222 Betreft: klacht met betrekking tot een datalek dat heeft geleid tot telefoonoproepen voor direct marketing in het kader van de voltooiing van bouwwerkzaamheden De Geschillenkamer van de Gegevensbeschermingsautoriteit, hierna “GBA”; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het Reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 20191; Gelet op de stukken van het dossier, met inbegrip van de conclusies van verweerders 1 en 2 die regelmatig zijn uitgewisseld2, en na de partijen te hebben gehoord tijdens de hoorzitting van 17 december 2025; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerders: Y1, met maatschappelijke ondernemingsnummer […], zetel te […], vertegenwoordigd ingeschreven door meester onder Martine Berwette, hierna “verweerder 1” 1 Het nieuwe Reglement van interne orde van de GBA, als gevolg van de wijzigingen door de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), is op 1 juni 2024 in werking getreden. Overeenkomstig artikel 56 van de wet van 25 december 2023 is het enkel van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die vanaf die datum zijn gestart: https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-orde-van-degegevensbeschermingsautoriteit.pdf. Dossiers die vóór 1 juni 2024 zijn gestart, zoals in het onderhavige geval, zijn onderworpen aan de bepalingen van de WOG, ongewijzigd door de wet van 25 december 2023, en aan de bepalingen van het Reglement van interne orde zoals dat vóór die datum bestond. 2 De klager heeft geen conclusie ingediend. Beslissing ten gronde 31/2026 — 2/16 De bv Y2 met maatschappelijke zetel te […], ingeschreven onder ondernemingsnummer[…], vertegenwoordigd door meester Tim Van Canneyt en meester Louis Vanderdonckt, hierna “verweerder 2” De nv Y3, met maatschappelijke zetel te […], ingeschreven onder ondernemingsnummer […], hierna “verweerder 3” De nv Y4, met maatschappelijke zetel te […], ingeschreven onder ondernemingsnummer […], hierna “verweerder 4” Hierna samen genoemd "de verweerders". I. Feiten en procedure 1. Op 2 november 2020 dient de klager een klacht in bij de GBA tegen de verweerders. 2. De klager maakt melding van een datalek dat heeft geleid tot maandelijkse telefoonoproepen voor direct marketingdoeleinden. Deze situatie heeft hem en zijn buren in het wooncomplex waar hij woont tussen mei 2019 en juni 2020 getroffen. 3. Het geschil vindt zijn oorsprong in de bouw van een nieuw groot vastgoedproject, genaamd “Z1” (hierna “vastgoedcomplex” genoemd) – de klager is de eerste eigenaar van een appartement dat deel uitmaakt van dit complex. 4. De opdrachtgever3 van het project is de nv Y3(met als handelsnaam “Z2”). De nv zorgt ook voor de promotie van het project en is verweerder 3. 5. De opdrachtgever heeft de tijdelijke maatschap “Z3 – Z4 – Z5” aangewezen als hoofdaannemer4 van het vastgoedcomplex. Deze tijdelijke maatschap bestond uit drie geassocieerde ondernemingen. 6. Verweerder 1 neemt op 30 december 2021 de rechten en plichten van Z5 over. Hij treedt dan ook op als hoofdaannemer voor de bouw van het vastgoedcomplex, samen met Z4 en Z35. Bovendien hebben de hoofdaannemer en de opdrachtgever een overeenkomst met elkaar. 7. Op 24 april 2019 bezorgt de opdrachtgever de hoofdaannemer de lijst met alle bewoners van het vastgoedcomplex. Deze laatste heeft om deze lijst gevraagd zodat "de 3 De opdrachtgever is degene die het ontwerp initieert, financiert en begeleidt. 4 De hoofdaannemer is degene die toezicht houdt op en alle praktische aspecten van het bouwproject coördineert. Hij werkt in opdracht van de opdrachtgever. 5 Voor de duidelijkheid zal de Geschillenkamer in het verdere verloop van de beslissing uitsluitend naar verweerder 1 verwijzen als hoofdaannemer, zonder verwijzing naar de tijdelijke maatschap waarvan hij slechts een van de drie vennoten is. Beslissing ten gronde 31/2026 — 3/16 onderaannemers rechtstreeks een afspraak kunnen maken met de kopers om hun opmerkingen te bespreken”. 8. Het bedrijf moest onder andere de nieuwe woningen via een aftakkingskabel aansluiten op het kabelnetwerk in de straat, zodat de toekomstige bewoners gebruik konden maken van de kabeltelevisiediensten. Verweerder 2 (hierna “telecommunicatiebedrijf” genoemd) heeft deze taak toevertrouwd gekregen en heeft in dit verband een onderaannemingsovereenkomst met de nv Z6 (hierna “technische onderaannemer”) gesloten. De leiding en de coördinatie van de werkzaamheden voor de aansluiting op het kabeltelevisienet worden verzorgd door de hoofdaannemer. Er bestaat echter geen overeenkomst tussen de hoofdaannemer en het telecommunicatiebedrijf. 9. Bepaalde omstandigheden hebben geleid tot vertragingen in de bouwwerkzaamheden. 10. Op 19 juni 2019 bezorgt de hoofdaannemer de technische onderaannemer de lijst met de bewoners van het wooncomplex, zodat de nodige technische ingrepen kunnen worden afgerond. 11. Op 26 juni 2019 stuurt het telecommunicatiebedrijf dezelfde lijst die het heeft ontvangen naar verweerder 4. Deze laatste treedt op als onderaannemer van het telecommunicatiebedrijf bij de voortzetting van zijn promotionele activiteiten, zoals telefonische prospectie (hierna “commerciële onderaannemer”). 12. Als gevolg daarvan ontvangen de klager en zijn buren telefoonoproepen voor direct marketingdoeleinden. Op 26 oktober 2020 uiten zij hun ontevredenheid bij het telecommunicatiebedrijf. 13. Op 29 oktober 2020 erkent het telecommunicatiebedrijf in wezen dat het verantwoordelijk is voor een datalek. Het telecommunicatiebedrijf voegt eraan toe dat het zijn commerciële onderaannemer heeft gevraagd om te stoppen met telefonische prospectie en om de lijst (en de gegevens die deze bevat) die het ten onrechte aan hem heeft doorgegeven, te verwijderen. 14. Op 12 november 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en wordt de klacht overgemaakt aan de Geschillenkamer op grond van artikel 62, § 1, van de WOG. 15. Op 11 december 2020 wordt overeenkomstig art. 96, § 1, van de WOG het verzoek van de Geschillenkamer om een onderzoek in te stellen overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 16. Op 16 januari 2023 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de voorzitter van de Geschillenkamer (art. 91, §§ 1 en § 2 , van de WOG). Beslissing ten gronde 31/2026 — 4/16 17. Op 7 maart 2024 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. II. Motivering II.1. Inleiding 18. Op 24 april 2019 bezorgt de opdrachtgever, op verzoek van de hoofdaannemer, de lijst met contactgegevens van alle bewoners van een woning in het vastgoedcomplex (hierna “bewoners” of “koper” genoemd). De hoofdaannemer heeft om deze lijst gevraagd zodat "de onderaannemers rechtstreeks een afspraak kunnen maken met de kopers om hun opmerkingen te bespreken”. 19. Op 19 juni 2019 stuurt de hoofdaannemer de lijst met de hierboven bedoelde contactgegevens door naar de technische onderaannemer. 20. Op 26 juni 2019 stuurt het telecommunicatiebedrijf, dat nu in het bezit is van de lijst met contactgegevens van alle bewoners, deze ten onrechte door naar zijn commerciële onderaannemer, die vervolgens een commerciële prospectiecampagne lanceert. 21. (

  1. i)De hoofdaannemer wordt verweten dat hij deze lijst met contactgegevens aan het telecommunicatiebedrijf heeft doorgegeven, wat in strijd is met verschillende beginselen van de AVG, en (
  2. ii)het telecommunicatiebedrijf wordt verweten dat het een datalek heeft veroorzaakt. 22. De Geschillenkamer zal het volgende onderzoeken, met betrekking tot de hoofdaannemer: (
  3. i)het beginsel van doelbinding in punt II.2.1 van deze beslissing; (
  4. ii)de rechtmatigheid van de doorgifte van de lijst met contactgegevens van de bewoners aan het telecommunicatiebedrijf in punt II.2.2 van deze beslissing; (iii) het beginsel van minimale gegevensverwerking in punt II.2.3 van deze beslissing; en, met betrekking tot het telecommunicatiebedrijf: (
  5. iv)de rechtmatigheid van de doorgifte van de lijst met contactgegevens van de bewoners aan zijn commerciële onderaannemer in punt II.3.1 van deze beslissing; (
  6. v)de technische en organisatorische maatregelen die zijn getroffen om datalekken zoals in dit geval te voorkomen, op te sporen en op te lossen, in punt II.3.2 van deze beslissing, en; (
  7. vi)de instructies die zijn gegeven aan de werknemers die onder zijn gezag staan in het kader van de verwerking van persoonsgegevens, in punt II.3.3 van deze beslissing. II.2. De tegen de hoofdaannemer aangevoerde grieven II.2.1. Wat betreft het beginsel van doelbinding II.2.1.1. Onderzoeksverslag Beslissing ten gronde 31/2026 — 5/16 23. De Inspectiedienst is van mening dat, gelet op het feit dat de hoofdaannemer de lijst met contactgegevens van de bewoners heeft doorgegeven “om afspraken te kunnen maken voor de aansluitingen in de kelders”6, terwijl het doel van het verzamelen van deze gegevens het bespreken van de opmerkingen van de kopers met betrekking tot de opleveringsfase van de werkzaamheden was, de hoofdaannemer het beginsel van doelbinding heeft geschonden, aangezien het voltooien van de aansluitingswerkzaamheden niets te maken heeft met het bespreken van opmerkingen. II.2.1.2. 24. Standpunt van de klager De klager sluit zich aan bij het onderzoeksverslag. II.2.1.3. 25. Standpunt van de hoofdaannemer De hoofdaannemer beweert dat hij de persoonsgegevens in de lijst van bewoners heeft verwerkt “zodat de onderaannemers rechtstreeks een afspraak kunnen maken met de kopers om hun opmerkingen te bespreken”, en dat deze bespreking van opmerkingen niet beperkt blijft tot de opleveringsfase van de werken – zoals geïnterpreteerd door de Inspectiedienst – maar ook eventuele opmerkingen van kopers met betrekking tot de “aanleg van de kabeltelevisieleidingen die in de verkoopprijs van de woningen was inbegrepen” omvat7. Hij merkt in dit verband op dat geen enkele bewoner zich over de situatie heeft beklaagd of er verbaasd over was. 26. Subsidiair verzoekt de hoofdaannemer de Geschillenkamer om, in het geval zij van oordeel zou zijn dat het ”bespreken van opmerkingen” alleen betrekking had op de oplevering van de werken en niet ook op de bekabelingswerkzaamheden voor teledistributie, te oordelen dat de gegevens zijn verwerkt op een wijze die verenigbaar is met het oorspronkelijke doel. II.2.1.4. 27. Beoordeling door de Geschillenkamer De hoofdaannemer heeft in eerste instantie de contactgegevens van de bewoners verzameld zodat “de onderaannemers rechtstreeks een afspraak kunnen maken met de kopers om hun opmerkingen te bespreken”8. Dit is het doel waarvoor deze contactgegevens aan hem zijn persoonsgegevens doorgegeven. doorgegeven De hoofdaannemer aan de heeft technische vervolgens onderaannemer dezelfde om de aansluitingswerken op het kabeltelevisienet te kunnen voltooien. 28. Artikel 5.1.
  8. b)van de AVG bepaalt: "Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de 6 Onderzoeksverslag, p. 54. 7 Syntheseconclusie van verweerder 1, blz. 8. 8 Onderzoeksverslag, blz. 56. Beslissing ten gronde 31/2026 — 6/16 verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (doelbinding).” 29. Artikel 6.4 van de AVG bepaalt: “Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:
  9. a)ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
  10. b)het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
  11. c)de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;
  12. d)de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
  13. e)het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. ” 30. De vraag die dan moet worden beantwoord, is (
  14. i)of het bespreken van opmerkingen niet alleen betrekking had op de fase van de oplevering van de werkzaamheden, maar ook op de voltooiing van de werkzaamheden voor de bekabeling van het kabeltelevisienet, zodat niet kan worden aangenomen dat de doorgifte van de lijst met contactgegevens een ander doel diende dan dat waarvoor de gegevens waren verzameld, en, indien dit niet het geval is, (
  15. ii)of deze doorgifte verenigbaar was met het oorspronkelijk nagestreefde doel. 31. Allereerst moet worden opgemerkt dat het doel van een verwerking strikt moet worden geïnterpreteerd. Het is dan ook niet mogelijk om aan te nemen dat het bespreken van opmerkingen kan worden verward met het organiseren van “afspraken voor de aansluitingen in de kelders”9. Het eerste doel bestaat in het eenvoudigweg verzamelen van informatie van de bewoners, terwijl het tweede doel bestaat in het organiseren van praktische werkzaamheden. 9 Onderzoeksverslag, p. 54. Beslissing ten gronde 31/2026 — 7/16 32. De Geschillenkamer merkt echter op dat als de hoofdaannemer tijdens de opleveringsfase de bewoners in de gelegenheid stelt hun opmerkingen kenbaar te maken, dit noodzakelijkerwijs betekent dat hij voornemens is hieraan gevolg te geven. Bovendien was de hoofdaannemer ook belast met de coördinatie van de installatie van buizen en kabels met de televisiedistributiebedrijven. 33. Hoewel de doorgifte van de lijst van kopers dus niet onder het oorspronkelijke doel (het bespreken van opmerkingen) viel, was deze in ieder geval verenigbaar met dat doel, aangezien het een direct en voorspelbaar gevolg daarvan was. 34. Bijgevolg is de Geschillenkamer van oordeel dat er geen sprake is van een schending door de hoofdaannemer van de artikelen 5.1.
  16. b)en 6.4 van de AVG, aangezien de doorgifte van de lijst weliswaar een ander doel diende dan dat waarvoor de gegevens waren verzameld, maar in ieder geval verenigbaar was met dat doel. II.2.2. Wat betreft de rechtmatigheid van de doorgifte van de persoonsgegevens II.2.2.1. 35. Onderzoeksverslag De Inspectiedienst is van mening dat, aangezien de hoofdaannemer beweert dat de doorgifte van de lijst met contactgegevens van de bewoners noodzakelijk was voor de uitvoering van zijn overeenkomst, maar tegelijkertijd erkent dat hij geen overeenkomst met het telecommunicatiebedrijf heeft gesloten, de verwerking onrechtmatig was. II.2.2.2. 36. De klager sluit zich aan bij het onderzoeksverslag. II.2.2.3. 37. Standpunt van de klager Standpunt van de hoofdaannemer De hoofdaannemer stelt dat de verwerking van persoonsgegevens gebaseerd was op artikel 6.1.
  17. b)van de AVG, dat wil zeggen dat de verwerking ”noodzakelijk was voor de uitvoering van een overeenkomst waarbij de betrokkene partij was”. 38. Hij wijst erop dat uit de overeenkomsten tussen de opdrachtgever en de bewoners blijkt dat elke woning moet zijn voorzien van “een kabelgoot voor de aansluiting op het radio- en tvdistributienetwerk”10. Bovendien blijkt uit de aannemingsovereenkomst tussen hemzelf en de opdrachtgever dat hij met name belast is met de coördinatie van de werkzaamheden voor de aanleg van de kabels voor het kabeltelevisienet met de distributiebedrijven. Deze verplichtingen worden ook vermeld in de bestekken. De hoofdaannemer voert dus aan dat de opdrachtgever hem de contractuele verplichtingen heeft toevertrouwd die hij tegenover de bewoners had. 10 Syntheseconclusie van verweerder 1, blz. 6. Beslissing ten gronde 31/2026 — 8/16 II.2.2.4. 39. Beoordeling door de Geschillenkamer De hoofdaannemer heeft de technische onderaannemer de lijst met alle contactgegevens van de bewoners bezorgd om de aansluiting van de woningen op het kabeltelevisienet te voltooien. 40. De Geschillenkamer merkt op dat de doorgifte van de lijst met contactgegevens van de bewoners verenigbaar was met het doel dat met het verzamelen van die lijst werd nagestreefd. Bijgevolg hoeft de hoofdaannemer deze verwerking niet te rechtvaardigen op basis van een andere rechtmatigheid dan die waarop het verzamelen van de gegevens oorspronkelijk was gebaseerd 11. II.2.3. Wat betreft het beginsel van minimale gegevensverwerking II.2.3.1. 41. Onderzoeksverslag De Inspectiedienst is van mening dat, aangezien de hoofdaannemer de lijst met contactgegevens van alle bewoners

(271)aan de technische onderaannemer heeft doorgegeven, terwijl hij de dag na de doorgifte vernomen heeft dat het slechts nodig was om de contactgegevens van een beperkt aantal bewoners
(2)te kennen, hij meer persoonsgegevens heeft verwerkt dan nodig was en daarmee het beginsel van minimale gegevensverwerking heeft geschonden. II.2.3.
  2. Standpunt van de klager De klager sluit zich aan bij het onderzoeksverslag. II.2.3.
  3. Standpunt van de hoofdaannemer
  4. Met betrekking tot deze grief voert de hoofdaannemer twee zaken aan.
  5. Ten eerste heeft hij het telecommunicatiebedrijf en de technische onderaannemer, die om een “passe-partout-sleutel” vroegen om volledige toegang te krijgen tot de ruimtes met een aansluiting, gevraagd om de plaatsen waar de interventie nodig was, limitatief aan te geven. Hij beweert echter nooit een antwoord te hebben ontvangen.
  6. Ten tweede heeft hij de lijst met alle bewoners pas doorgegeven toen hij van mening was dat de urgentie hem geen andere keuze liet. De technische onderaannemer kwam op 19 juni 2019 naar de bouwplaats zonder toegang te hebben tot de plekken waar hij de werkzaamheden moest uitvoeren. Aangezien de duur van deze interventie zeer beperkt was (drie dagen) en de werkzaamheden, indien ze werden uitgesteld, op zijn vroegst in de maand 11 Overweging 50 van de AVG: “De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. […]” Beslissing ten gronde 31/2026 — 9/16 september 2019 konden worden uitgevoerd, wat nadelig zou zijn geweest voor de bewoners, gaf de hoofdaannemer toe en bezorgde hij de volledige lijst met contactgegevens van de bewoners. Hij voert aan dat dit paste in zijn taak als coördinator voor de distributeurs van kabeltelevisie. II.2.3.
  8. Beoordeling door de Geschillenkamer De hoofdaannemer heeft de technische onderaannemer de lijst met contactgegevens van alle bewoners
(271)bezorgd. De volgende dag werd hem meegedeeld dat het eigenlijk alleen nodig was om de contactgegevens van twee bewoners door te geven. 47. Artikel 5.1.
  1. c)van de AVG bepaalt dat persoonsgegevens “toereikend [moeten] zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”).” 48. Door een lijst met persoonsgegevens van 271 personen door te geven, terwijl de tussenkomst van de technische onderaannemer slechts betrekking had op twee bewoners, was de verwerking zonder twijfel buitensporig in verhouding tot het nagestreefde doel. Bovendien heeft de hoofdaannemer zijn fout erkend in zijn communicatie met de ID 12. 49. Bijgevolg stelt de Geschillenkamer vast dat de hoofdaannemer het in artikel 5.1.
  2. c)van de AVG vastgelegde beginsel van minimale gegevensverwerking heeft geschonden. 50. Er zijn echter verschillende omstandigheden waarmee hier rekening moet worden gehouden. 51. Enerzijds merkt de Geschillenkamer op dat de hoofdaannemer op 14 juni 2019 aan het telecommunicatiebedrijf heeft gevraagd tot welke woningen toegang nodig was om de werkzaamheden voor de aansluiting op het kabeltelevisienet te voltooien. Op deze vraag is geen antwoord gekomen. Bovendien blijkt uit de e-mailcorrespondentie tussen de partijen dat de technische onderaannemer toegang heeft gevraagd tot (sic) “alle plaatsen met aansluitingen”13. 52. Anderzijds merkt de Geschillenkamer op dat de hoofdaannemer zich in een spoedeisende situatie bevond. Over het algemeen hadden de werkzaamheden al zoveel vertraging opgelopen dat veel bewoners inmiddels hun woning hadden betrokken zonder dat de aansluitingswerkzaamheden waren voltooid. Bovendien was de technische onderaannemer op 17 juni 2019 ter plaatse geweest – voor een periode van drie dagen – om de aansluitingswerkzaamheden af te ronden. Omdat hij echter niet over de contactgegevens van de betrokken bewoners beschikte, wist hij niet waar hij heen moest om de werkzaamheden af te ronden. Als de technische onderaannemer de werkzaamheden tijdens 12 Onderzoeksverslag, blz. 57. 13 Stuk 14, dossier met stukken van verweerder 1. Beslissing ten gronde 31/2026 — 10/16 deze periode niet zou voltooien, zouden deze op zijn vroegst naar september 2019 moeten worden uitgesteld, wat nadelig zou zijn geweest voor de betrokken bewoners. 53. Deze omstandigheden moeten in aanmerking worden genomen bij de keuze van de corrigerende maatregel of de sanctie die moet worden opgelegd. II.3. De tegen het telecommunicatiebedrijf aangevoerde grieven II.3.1. Wat betreft de rechtmatigheid van de verwerking van persoonsgegevens II.3.1.1. 54. Onderzoeksverslag De Inspectiedienst is van mening dat het telecommunicatiebedrijf, door de lijst van bewoners zonder rechtmatigheidsgrond aan zijn commerciële onderaannemer door te geven, het legaliteitsbeginsel heeft geschonden. II.3.1.2. 55. De klager sluit zich aan bij het onderzoeksverslag. II.3.1.3. 56. Standpunt van de klager Standpunt van het telecommunicatiebedrijf Het telecommunicatiebedrijf beweert dat deze verwerking van persoonsgegevens het gevolg is van een menselijke fout. Zij moet dus worden beschouwd als een inbreuk in verband met persoonsgegevens. Bijgevolg kan van het bedrijf niet worden verlangd dat het zich op een rechtmatigheidsgrond beroept. 57. Bovendien is het bedrijf van mening dat het niet als verwerkingsverantwoordelijke kan worden beschouwd voor de verwerking van telefoonoproepen voor direct marketingdoeleinden die door zijn commerciële onderaannemer zijn gedaan, omdat deze buiten de algemene instructies om heeft gehandeld. II.3.1.4. 58. Beoordeling door de Geschillenkamer Het telecommunicatiebedrijf heeft de lijst met contactgegevens van alle bewoners doorgegeven aan zijn commerciële onderaannemer, die vervolgens een commerciële prospectiecampagne heeft gevoerd. 59. Uit het onderzoeksverslag en de conclusie van het telecommunicatiebedrijf blijkt dat deze doorgifte het gevolg was van een menselijke fout. Deze doorgifte van gegevens moet dan ook worden beschouwd als een inbreuk in verband met persoonsgegevens (schending van de vertrouwelijkheid). 60. Concluderend is de Geschillenkamer van oordeel dat het niet relevant is om de rechtmatigheid van de verwerking te onderzoeken. De inbreuk in verband met persoonsgegevens wordt in punt II.3.2 van de onderhavige beslissing onderzocht in het licht Beslissing ten gronde 31/2026 — 11/16 van de technische en organisatorische maatregelen die de verwerkingsverantwoordelijke in dit verband heeft getroffen. II.3.2. Wat betreft de technische en organisatorische maatregelen II.3.2.1. 61. Standpunt van het telecommunicatiebedrijf Het telecommunicatiebedrijf wijst erop dat het vóór de gebeurtenissen enerzijds opleidingen en een reeks interne maatregelen had ingevoerd om zijn werknemers toegang te geven tot informatie over de verwerking van persoonsgegevens, en anderzijds de bescherming van persoonsgegevens strikt had geregeld in zijn overeenkomsten en zijn ”Gedragscode voor leveranciers”. 62. Na het voorval heeft het telecommunicatiebedrijf de inbreuk in zijn register van inbreuken opgenomen – waarbij de inbreuk in kwestie werd beschouwd als een laag risico voor de rechten en vrijheden van de betrokkenen – en heeft het de betrokkenen uit eigen beweging op de hoogte gebracht van de inbreuk, zonder daartoe verplicht te zijn door de AVG. 63. Het bedrijf heeft ook zijn commerciële onderaannemer gevraagd om de betrokkenen niet meer te telefoneren voor direct marketingdoeleinden en om alle gegevens over de bewoners te wissen. II.3.2.2. 64. Beoordeling door de Geschillenkamer Artikel 5.1.
  3. f)van de AVG bepaalt dat persoonsgegevens “door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier [moeten] worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging”. 65. Artikel 24.1 van de AVG bepaalt: "Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.” 66. Het telecommunicatiebedrijf heeft ten onrechte de lijst met bewoners doorgegeven aan zijn commerciële onderaannemer, wat een inbreuk in verband met persoonsgegevens vormt. 67. Er moet dan ook worden onderzocht of de door het telecommunicatiebedrijf genomen technische en organisatorische maatregelen voldoende waren om een dergelijk incident te voorkomen, op te sporen en op te lossen. Beslissing ten gronde 31/2026 — 12/16 68. De Geschillenkamer merkt op dat (
  4. i)het telecommunicatiebedrijf zijn personeel voortdurend opleidt, met name om inbreuken in verband met persoonsgegevens te herkennen en correct te handelen in geval van zo'n inbreuk; (
  5. ii)het bedrijf een reeks documenten met betrekking tot de bescherming van persoonsgegevens heeft opgesteld, en; (iii) het bedrijf een reeks contractuele waarborgen met zijn onderaannemers heeft ingesteld om ervoor te zorgen dat persoonsgegevens altijd in overeenstemming met de AVG worden verwerkt. 69. Het telecommunicatiebedrijf ontdekte het datalek nadat de klager en andere bewoners hadden geklaagd over de voortdurende telefoontjes die zij ontvingen. In dit verband heeft het een interne risicoanalyse uitgevoerd 14. Aangezien het risico gering was, heeft het bedrijf hiervan geen melding gemaakt bij de GBA. Het heeft echter wel de betrokkenen op de hoogte gebracht. Ook heeft het zijn commerciële onderaannemer gevraagd om te stoppen met telefonische prospectie en om de persoonsgegevens van de betrokkenen te wissen. 70. Aangezien het in ieder geval om een op zichzelf staand incident gaat en de vereisten inzake technische en organisatorische maatregelen op dit gebied een middelenverbintenis vormen waarbij menselijke fouten niet volledig kunnen worden uitgesloten, kan in dit verband geen sprake zijn van een schending door het telecommunicatiebedrijf. 71. Concluderend stelt de Geschillenkamer vast dat het telecommunicatiebedrijf geen schending heeft begaan van de artikelen 5.1.
  6. f)en 24.1 van de AVG. II.3.3. Wat betreft de instructies die werden gegeven aan personen die onder het gezag van het telecommunicatiebedrijf staan II.3.3.1. 72. Standpunt van de klager De klager stelt dat het telecommunicatiebedrijf zijn commerciële onderaannemer weliswaar niet expliciet de opdracht heeft gegeven om de telefooncampagne voor direct marketingdoeleinden naar de betrokkenen te lanceren, maar dat deze opdracht op zijn minst impliciet uit de e-mail bleek. II.3.3.2. 73. Standpunt van het telecommunicatiebedrijf Het telecommunicatiebedrijf verstrekt verschillende documenten waaruit blijkt dat het alle passende maatregelen heeft genomen om de verwerking van persoonsgegevens door zijn eigen werknemers en die van zijn commerciële onderaannemer op adequate wijze te organiseren. 74. Tot deze documenten behoren (
  7. i)een clausule in elke arbeidsovereenkomst met werknemers waarin wordt bepaald dat persoonsgegevens alleen mogen worden gebruikt in het kader van de door het bedrijf toevertrouwde taken; (
  8. ii)een uittreksel uit zijn privacybeleid 14 Stuk 6 van verweerder 2. Beslissing ten gronde 31/2026 — 13/16 over de verantwoordelijkheid van werknemers bij de verwerking van persoonsgegevens, en (iii) de gedragscode die het jaarlijks aan zijn werknemers meedeelt en die in een speciaal deel “het belang van een verantwoordelijke en veilige verwerking van persoonsgegevens benadrukt”15. 75. Ten slotte beweert het bedrijf dat het in het onderhavige geval nooit opdracht heeft gegeven aan zijn commerciële onderaannemer om commerciële prospectie te verrichten en dat het daarom hiervoor niet aansprakelijk kan worden gesteld. II.3.3.3. 76. Beoordeling door de Geschillenkamer Artikel 32.4 van de AVG bepaalt: “De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is gehouden.” 77. De Geschillenkamer merkt op dat het telecommunicatiebedrijf een onderaannemingsovereenkomst heeft met zijn commerciële onderaannemer waarin clausules zijn opgenomen die in overeenstemming zijn met de vereisten van artikel 28.3 van de AVG. 78. Bovendien wordt de verwerking van persoonsgegevens van klanten geregeld in elk van de arbeidsovereenkomsten die het telecommunicatiebedrijf met zijn werknemers heeft gesloten. Dit wordt ook geregeld in het privacybeleid voor werknemers. Elke werknemer ontvangt ook de gedragscode via een onlinecursus, die op elk moment op het intranet kan worden geraadpleegd. 79. Concluderend stelt de Geschillenkamer vast dat het telecommunicatiebedrijf artikel 32.4 van de AVG niet heeft geschonden, aangezien het passende maatregelen heeft genomen om te waarborgen dat geen enkele natuurlijke persoon die onder zijn gezag handelt, persoonsgegevens verwerkt buiten zijn instructies om. III. Sancties en corrigerende maatregelen 80. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° de opschorting van de uitspraak te bevelen; 15 Conclusie van antwoord van verweerder 2, blz 24. Beslissing ten gronde 31/2026 — 14/16 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 81. Samengevat heeft de hoofdaannemer artikel 5.1.
  9. c)van de AVG niet nageleefd. De Geschillenkamer berispt hem dan ook voor het doorgeven van meer persoonsgegevens dan nodig was. De omstandigheden die in de punten 50 tot en met 53 worden uiteengezet, rechtvaardigen het om geen zwaardere sanctie op te leggen. Bovendien houdt de Geschillenkamer ook rekening met het feit dat de hoofdaannemer haar tijdens de hoorzitting heeft meegedeeld dat hij zijn werknemers heeft opgedragen om nooit meer een dergelijke gegevensoverdracht te doen, zelfs niet als de omstandigheden even spoedeisend en uitzonderlijk zouden zijn als in dit geval. Wat betreft de grieven met betrekking tot de rechtmatigheid van de gegevensoverdracht en het beginsel van doelbinding, kan geen enkele schending worden vastgesteld. Bijgevolg moeten deze grieven op technische gronden worden geseponeerd. 82. Het telecommunicatiebedrijf heeft geen van de drie schendingen begaan die het ten laste werden gelegd. Bijgevolg moeten zij op technische gronden worden geseponeerd. 83. Hoewel de opdrachtgever deel uitmaakt van de totale verwerkingsketen, gezien zijn rol in het bouwproject, heeft hij geen litigieuze verwerking uitgevoerd. Bovendien is er geen grief Beslissing ten gronde 31/2026 — 16/16 overeenkomstig artikel 1034quinquies van het Ger.W. 17, of via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Directeur van de Geschillenkamer 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 17 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, per aangetekende brief naar de griffier van het gerecht gestuurd of ter griffie neergelegd.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.