1/28 Geschillenkamer Beslissing ten gronde 33/2025 van 21 februari 2025 Dossiernummer : DOS-2018-03758 Betreft : schikkingsbeslissing na een klacht omtrent vermeende fouten in het opvolgingsplan van het minderjarige kind van de klager en de verwerking van het plan via een digitaal schoolplatform De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, alleenzetelend voorzitter; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: Klager: X, hierna “klager”, en; Schikkende partij: Y, hierna “de schikkende partij”. Beslissing ten gronde 33/2025 — 2/28 I. Procedure voorafgaand aan de schikking I.
(0)2 274 48 56 E-mail: litigationchamber@apd-gba.be Per e-mail: Ter informatieve attentie van […] Klager Ter informatieve attentie van de functionaris voor gegevensbescherming van Katholiek Onderwijs Vlaanderen Via e-mail: [e-mailadres] Uw kenmerk Ons kenmerk / DOS-2018-03758 Bijlage(n) Datum 4/11/2024 Betreft: schikkingsvoorstel in het dossier met klacht vanwege mevr. […] tegen de […] (toepassing art. 100, §1, 4° WOG) Geachte, De Geschillenkamer verwijst naar het voornoemde dossier. U werd eerder op de hoogte gesteld van het bestaan van het dossier per aangetekende zending van 26 november
- De verweerder heeft haar repliekconclusie neergelegd op 4 februari
- Eerst en vooral wenst de Geschillenkamer zich te verontschuldigen voor de tijd die de behandeling van dit dossier in beslag heeft genomen. In dit dossier heeft een interne administratieve situatie ertoe geleid dat de behandeling van het dossier ook langer dan gemiddeld op zich heeft laten wachten. In de context van een groot aantal dossiers die voor behandeling door de Geschillenkamer liggen, met lange doorlooptijden bij alle dossiers tot gevolg, heeft de Geschillenkamer krachtens artikel Beslissing ten gronde 33/2025 — 8/28 100, §1, 4° van de Wet tot Oprichting van de Gegevensbeschermingsautoriteit (“WOG”) 4 besloten om voor te stellen over te gaan tot een voorstel tot schikking in het voornoemd dossier middels deze brief ( “schikkingsvoorstel”). De Geschillenkamer dient bij de behandeling van haar dossiers nauwkeurig te kiezen, zodat zij diverse maatschappelijk pertinente (klacht)dossiers met de nodige voortvarendheid kan behandelen. De Belgische wetgever heeft te dezen de noodzaak onderstreept voor de Geschillenkamer om selectief te kunnen optreden, teneinde effectieve handhaving te verzekeren. 5 Desalniettemin heeft de Geschillenkamer het dossier in detail bekeken, en wenst zij voor de behandeling alsnog tot een constructieve uitkomst te komen. Op deze manier kan, ondanks de leeftijd van het dossier, nog voor alle betrokken partijen een potentieel voordeel worden gehaald – zoals voor het verbeteren van de technische en organisatorische maatregelen om gelijksoortige problematieken of grieven in de toekomst te voorkomen. Kort gesteld zou de verweerder zich tot het naleven van drie voorwaarden moeten verbinden om de schikking tot stand te laten komen, waarna het dossier afgesloten kan worden:
- [De verweerder erkent dat het een foutieve weergave van de feiten uitmaakte door als zodanig in het litigieuze opvolgplan te formuleren dat de klager haar zoon als “speelbal” gebruikte. De verweerder engageert zich om de nodige technische en organisatorische maatregelen te nemen om zich ervan te vergewissen dat gelijkaardige opvolgplannen met verwerking van persoonsgegevens enkel juiste informatie bevatten. Concrete maatregelen ter zake dienen niet te worden overgemaakt aan de Geschillenkamer, maar wel intern en formeel te worden bijgehouden.]
- De verweerder engageert zich om de nodige technische en organisatorische maatregelen te nemen om ervoor te zorgen dat zij steeds het goede beheer van de verwerking van persoonsgegevens in het kader van opvolgplannen (gelijkaardig als in het dossier) kan voorzien. Concrete maatregelen ter zake dienen niet te worden overgemaakt aan de Geschillenkamer, maar wel intern en formeel te worden bijgehouden.
- De verweerder zorgt ervoor dat er logs worden bijgehouden van wie welke aanpassingen doet aan opvolgplannen (zoals in het dossier), zonder dat dit betekent dat de identiteit van die personen onderling of aan betrokkenen dient kenbaar te worden gemaakt. De verweerder kan hiertoe de nodige maatregelen nemen, zodat enkel een (beperkt) aantal 4 5 B.S. 10 januari
- Belgische Kamer van Volksvertegenwoordigers, Memorie van Toelichting bij het Wetsontwerp tot oprichting van de Gegevensbeschermingsautoriteit, Doc. 2648/001 (Zittingsperiode 54), beschikbaar via: https://www.dekamer.be/kvvcr/showpage.cfm?section=/flwb&language=nl&cfm=/site/wwwcfm/flwb/flwbn.cfm?lang=N&leg islat=54&dossierID=2648, 51; zie ook: E. Degraeve, “Titre
- Autorité de controle” in C. DE TERWANGNE en K. ROSIER, Le Règlement sur la protection des données (RGPD/GDPR) – 1re édition, Larcier, 2018,
(593)607 : « [L’autorité de contrôle]peut ainsi exerces ses missions de contrôle et apprécier la suite à donner aux plaintes éventuelles qui sont adressées. » Beslissing ten gronde 33/2025 — 10/28 III.1. Vooraf : feiten en procedure Gezien de tijd die is verstreken sinds de laatste procedurele stap in dit dossier, gaat de Geschillenkamer over tot het samengevatte overzicht van hetgeen in deze procedure voorafging. III.1.1. De klacht 1. Op 16 juli 2018 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. 2. Het voorwerp van de klacht betreft de inhoud van en de toegang tot een educatief “opvolgplan” van de zoon […] van de klager zoals opgesteld door de school die onderdeel uitmaakt en onder de verantwoordelijkheid valt van de verweerder. In het opvolgplan kwamen ook persoonsgegevens van de klager in haar hoedanigheid als moeder en wettelijke voogd van haar zoon voor. In het voorliggend geval klaagt de klager aan dat de informatie die over de klager in het opvolgplan voorkwam negatieve feitelijke en juridische gevolgen zou hebben gehad. 3. In concreto zou in het opvolgplan, volgens de klager, gestaan hebben dat zij haar zoon […] “als speelbal” gebruikte “in de communicatie naar [haar] ex.” 6 Deze informatie zou een negatief effect voor de klager hebben gehad in een procedure voor de Jeugdrechtbank waarbij de klager, de voormalig echtgenoot van de klager, alsook hun gemeenschappelijke zoon […] betrokken partij waren. Bij het uitoefenen van haar recht op toegang tot de informatie zou aan de klager niet duidelijk zijn of kunnen worden gemaakt door de verweerder welke persoon die informatie aangaande de klager had toegevoegd aan het opvolgplan. In de klacht schrijft zij: “Ik heb hen [de verweerder] gevraagd om na te gaan wie deze info dan wel in het verslag had ingezet […] Op deze vraag konden ze mij tot op heden geen antwoord geven.”7 Ingevolge dit antwoord haalt de klager ook aan dat zij vragen heeft bij de maatregelen die de verweerder heeft getroffen inzake de beveiliging van de persoonsgegevens opgenomen in het opvolgplan. In de klacht schrijft zij: “Ik vind het echter niet kunnen dat de school iedereen toelaat op dezelfde computer en niet kan traceren wie welke data in het systeem ingeeft.” 5. Bij de klacht wordt een uittreksel van een e-mailconversatie tussen de klager en een medewerker van de verweerster gevoegd; de waarachtigheid van de weergave van deze conversatie wordt niet 6 Klacht in DOS-2018-03758, 16 juli 2018, 1. 7 Ibidem. in vraag gesteld gedurende de procedure bij de Beslissing ten gronde 33/2025 — 11/28 Gegevensbeschermingsautoriteit (“GBA”). In het bijgevoegde stuk bij de klacht stelt een medewerker van de verweerder ([…]) in een e-mail gericht aan de klager: “[…]ik kan niet terugvinden wie deze toevoeging aan het dossier gedaan heeft aangezien er wel logins zijn, maar geen opsplitsing naar wie wat aanpast.” In een latere e-mail door dezelfde medewerker aan de klager staat: “Het blijft voor ons onduidelijk wie dit er zo ingeplaatst heeft. Ik probeer dit alleszins nog te achterhalen en spreek de betrokken persoon hier persoonlijk over aan. Ik heb in tussentijd ook de aanpassing in zijn dossier gedaan en bezorg u bij deze de aangepaste versie.” 8 6. Het dient te worden benadrukt dat de initiële klacht gericht werd tegen een school die een vestiging betreft van de verweerder als verwerkingsverantwoordelijke, die op haar beurt onderdeel is van een scholengemeenschap; de verweerder wijst in navolging van de procedure die liep voor de Geschillenkamer zichzelf aan als verwerkingsverantwoordelijke die onder meer verantwoordelijk is voor de persoonsgegevensverwerkingen bij de schoolvestiging die in de initiële klacht vermeld werd. De verweerder werd dus zelf niet in haar hoedanigheid van verwerkingsverantwoordelijke aangeduid in de klacht, maar neemt die rol op aangezien de school waarvan sprake in de klacht integraal onderdeel uitmaakt van de verweerder.9 III.1.2. Onderzoek Inspectiedienst 7. Op 30 juli 2018 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG overgemaakt aan de Geschillenkamer. 8. Op 3 oktober 2018 beslist de Geschillenkamer op grond van art. 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst. 9. Op 12 november 2019 wordt het onderzoek door de Inspectiedienst afgerond, hierop wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG). 10. Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat: 11. Onder artikel 4, punt 12); artikel 5, lid 1, punt f); artikel 33 en artikel 34 AVG verschillende negatieve bezwaren zijn in hoofde van de verweerster voor wat betreft de integriteit van de persoonsgegevens die in het opvolgplan voorkomen. 10 8 Klacht in DOS-2018-03758, 16 juli 2018, bijlage. 9 Conclusie verweerder dd. 6 januari 2020, administratief stuk 39, blz. 1; repliekconclusie verweerder dd. 4 februari 2020, administratief stuk 44, blz. 1-2. 10 Verslag van het onderzoek van de Inspectiedienst in DOS-2019-03758 van 12 november 2019 (“Inspectieverslag”), blz. 3: “De inspectiedienst is van oordeel dat de wijziging van de betreffende verslagen afdoende is aangetoond […] de feiten dateren van na 25 mei 2018.” Beslissing ten gronde 33/2025 — 12/28 12. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat: - er initieel geen verwerkingsregister in de zin van artikel 30 AVG werd meegedeeld aan de Inspectiedienst, nadat die laatste naar dit verwerkingsregister had gevraagd bij de verweerder. Pas na een voorlopige vaststelling hieromtrent waarbij tegenover de verweerder wordt gesteld dat er geen aanwijzing is dat een verwerkingsregister werd opgesteld, wordt door de verweerder aan de Inspectiedienst een niet gedateerd en niet ondertekend stuk bezorgd.11 - de verweerder tekortschiet in het vervullen van haar verantwoordingsplicht tegenover de Inspectiedienst wanneer er volgens die laatste aanwijzingen waren dat de integriteit van de persoonsgegevens onvoldoende werd beschermd door gebrekkige beveiligingsmaatregelen en in die zin inbreuken vast te stellen zijn in de zin van artikel 5, lid 1, punt
- f)juncto artikel 32, lid 1, punt
- b)AVG.12 - de verweerder persoonsgegevens verwerkt die kwetsbare personen betreffen (m.n. minderjarigen) en die bijzondere risico’s zouden kunnen inhouden en waarbij de technische en organisatorische maatregelen in dit kader hadden moeten toegespitst worden op zulke personen, in de geest en in de zin van artikel 24, lid 1; artikel 25, lid 1 en artikel 32, lid 1 AVG.13 - er geen “behoorlijke incidentenregistratie” werd aangehouden door de verweerder in de zin van artikel 33, lid 5 in samenhang met artikel 32 AVG, nu de in de klacht beschreven incidenten niet werden gemeld of bijgehouden door de verweerder of een door haar aangeduide. III.1.3. Behandeling ten gronde 13. Op 26 november 2019 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde. 14. De Geschillenkamer beslist op basis van het verslag van de Inspectiedienst het dossier op te delen in twee afzonderlijke zaken: - Ingevolge art. 92, 1° WOG zal de Geschillenkamer een beslissing ten gronde nemen met betrekking tot het voorwerp van de klacht; 11 Inspectieverslag, blz. 3-4. 12 Inspectieverslag, blz. 4-5. 13 Inspectieverslag, blz. 5-6. Beslissing ten gronde 33/2025 — 13/28 - Ingevolge art. 92, 3° zal de Geschillenkamer een beslissing ten gronde nemen naar aanleiding van de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. 15. Op 26 november 2019 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in art. 98 WOG. Tevens worden zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. 16. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder wordt vastgelegd op 6 januari 2020, deze voor de conclusie van repliek van de klager op 21 januari 2020 en ten slotte deze voor de conclusie van repliek van de verweerder op 5 februari 2020. 17. Op 2 december 2019 aanvaardt de verweerder om alle communicatie i.v.m. het dossier elektronisch te ontvangen, en vraagt de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), dewelke aan de verweerder wordt overgemaakt op 4 december 2019. Op 9 december 2019 vraagt de verweerder om een stuk opnieuw te bezorgen, gezien bepaalde delen niet leesbaar zouden zijn; dit stuk wordt op 10 december 2019 aan de verweerder bezorgd. III.1.4. Conclusie van antwoord verweerder 18. Op 6 januari 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. 19. Hierin stelt de verweerder met name dat het opvolgplan dat het voorwerp uitmaakt van de klacht, deel uitmaakt van de wettelijke verplichtingen in hoofde van de verweerder, en met name artikel 46 van het Decreet Basisonderwijs van 25 februari 1997 (B.S. 17 april 1997). Verder stelt de verweerder dat dit opvolgplan “geen statisch document” uitmaakt, maar wel “in de loop van het schooljaar aangepast [wordt] door de personen die de betrokken leerling begeleiden […]” 20. De verweerder stelt verder dat zij aan de klager als wettelijke vertegenwoordiger van de persoon die het voorwerp uitmaakt van dat opvolgplan, het opvolgplan steeds heeft bezorgd op haar verzoek, en ook het inzagerecht werd volgens de verweerder voldoende gerespecteerd. Eveneens werd op het verzoek van de klager de vermeende foutieve informatie in het opvolgplan waarover de klacht handelt “uit het verslag gehaald”; het recht op verbetering in de zin van artikel 16 AVG werd dan ook, aldus de verweerder, correct nageleefd. Beslissing ten gronde 33/2025 — 14/28 21. De verweerder benadrukt dat het opvolgplan “op geen enkele manier […] aan externe hulpverleners, externe instanties of andere derden bezorgd” wordt, behoudens wanneer de ouders Met hier betrekking tot expliciet de integriteit van om de verzoeken. persoonsgegevens gedurende de verwerkingsactiviteiten stelt de verweerder daarnaast dat deze “wordt gewaarborgd door het softwaresysteem leerkrachten en leerlingvolgsysteem […] Schoolplatform. therapeuten via hebben een Enkel lees- persoonlijke betrokken en actoren, bewerkingsrechten gebruikersnaam en betrokken in het wachtwoord.” 22. De verweerder stelt in haar conclusie van antwoord dat er “loggegevens” voorhanden zijn die aantonen welke (“alleen de bevoegde”) personen toegang hadden tot het opvolgplan. Bovendien meent de verweerder dat er “nooit een inbreuk in verband met de persoonsgegevens heeft plaatsgevonden” en dat daarom geen melding van enig incident of enige inbreuk inzake persoonsgegevens is gebeurd. III.1.5. Repliekconclusie klager 23. Op 16 januari 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Hierin werpt de klager onder meer op dat het “merkwaardig” is dat het opvolgplan via email aan de vader van haar zoon werd bezorgd. De klager stelt zich ook vragen omtrent de wijzigingen in het opvolgplan en stelt: “wie [heeft] en wanneer werd het originele opvolgplan gewijzigd en/of aangevuld?” De klager heeft vragen bij de “twee versies van het ‘opvolgplan’ [die] in omloop waren.” 24. De klager betwist bovendien dat de toegankelijkheid tot het Schoolplatform-platform beperkt is: “De gegevens van het ‘opvolgplan’ waren via het softwaresysteem ‘schoolplatform’ blijkbaar niet enkel en alleen toegankelijk door de gebruikers met een persoonlijke gebruikersnaam en bijhorend paswoord.” III.1.6. Repliekconclusie verweerder 25. Op 4 februari 2020 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. 26. Hierin acht de verweerder het van belang dat de klager – op basis van hetgeen die laatste stelt in haar repliekconclusie - “wel degelijk van de school [verwacht] dat die haar zoon opvolgt en dat deze informatie ergens genoteerd wordt.” De verweerder stelt ook dat het van belang is dat die informatie “ergens in een dossier moet staan”. 27. Vervolgens gaat de verweerder in op de bewering dat er meerdere versies van het opvolgplan zouden bestaan, nu volgens de verweerder enkel het moment van opvraging Beslissing ten gronde 33/2025 — 15/28 door een andere wettelijke vertegenwoordiger (i.c. de vader) aanleiding gaf tot verschillende versies van het opvolgplan. De verweerder stelt te dezen: “Er is geen ‘origineel opvolgplan’ vermits het opvolgplan in se een dynamisch document is.” De verweerder verwijst ter ondersteuning van deze stelling naar de verschillende versies van het opvolgplan op verschillende momenten in de tijd, zoals die werden overgemaakt aan beide ouders in deze context. 28. De verweerder benadrukt vervolgens dat aanpassingen doen aan het opvolgplan middels het […]-platform per definitie beperkt is aangezien het “net een systeem [is] dat je enkel en alleen kan gebruiken als je minimaal een gebruikersnaam en een bijhorend wachtwoord hebt.” In deze context haalt de verweerder aan dat zij op het moment van het neerleggen van de conclusie bezig was met de implementatie van multi-factor authenticatie. De verweerder ontkent ook dat aanpassingen aan het opvolgplan “niet-verifieerbaar” zouden zijn, nu de loggegevens “de school [toelaten] om te verifiëren wie wanneer iets [aanpast].” 30. In haar repliekconclusie van 4 februari 2020 voegt de verweerder ook argumenten bij met betrekking tot de aanvullende vaststellingen door de Inspectiedienst. 31. Vooreerst stelt de verweerder dat het verwerkingsregister dat zij bezorgde hetgeen is “zoals het in [het] onderwijs gebruikt wordt.” 32. Vervolgens stelt de verweerder: “dat er in de periode tussen 27/11/2018 en 20/08/2019 geen stappen stonden in de ‘grove tijdlijn’ van het ‘verwerkingsregister […] wil niet zeggen dat er in tussentijd niks gedaan is.” 33. De verweerder verzoekt de Geschillenkamer ook te verduidelijken of zij moet registreren wie welke waarde heeft toegevoegd aan het opvolgplan; zij wijst in die context op het belang van deze verduidelijking voor andere onderwijsinstellingen, en de “financiële impact voor die onderwijsinstelling” indien dat inderdaad een verplichting zou uitmaken in de zin van de AVG. 34. Voorts verwijst de verweerder, in haar antwoord op de elementen uit het Inspectieverslag m.b.t. de “risicogebaseerde aanpak”, naar de wettelijke basis voor het opvolgplan: “Het document heeft als doel de context waarbinnen de leerling zijn schoolloopbaan uitoefent in kaart te brengen. Het document werd niet gebruikt met als doel dit te gebruiken in een rechtsgeschil tussen ouders” 35. De verweerder verduidelijkt met betrekking tot de naleving van artikelen 13 en 14 AVG ook dat op haar website een “nieuwe privacyverklaring [staat] met daarbij heel duidelijk gesteld welke verwerkingen de school doet zodanig dat iedereen op een transparante manier geïnformeerd is over het hoe en waarom de school persoonsgegevens gaat verwerken.” 36. Met betrekking tot de functionaris voor gegevensbescherming erkent de verweerder dat die functionaris niet tijdig werd betrokken. Zij stelt dat het niet van belang is “in welk Beslissing ten gronde 33/2025 — 16/28 dienstverband een functionaris voor gegevensbescherming werkt ten opzichte van de verwerkingsverantwoordelijke […]” De verweerder stelt dat het echter niet uitgesloten is dat betrokkenen “met andere personen in contact mogen komen voor het uitoefenen van hun rechten. Bijvoorbeeld met een aanspreekpunt informatieveiligheid […]” De DPO zelf betreft volgens de verweerder de DPO die optreedt voor Katholiek Onderwijs Vlaanderen; in die context werd de DPO correct aangemeld bij de GBA, zo de verweerder. III.2. De schikkingsprocedure 37. Op 3 oktober 2024 wordt de klager op de hoogte gesteld dat een schikkingsprocedure zal worden geïnitieerd, en dat de klager daarvoor eerst haar visie hierop kan uiten. 38. Op 28 oktober 2024 antwoordt de klager en uit zij haar ongenoegen omtrent de lange doorlooptijd van dit dossier. De Geschillenkamer had zich in haar brief van 3 oktober 2024 al verontschuldigd voor dit feit, en verwijst naar het groot aantal hangende dossiers en een samenloop van administratieve omstandigheden. 39. De Geschillenkamer antwoordt op het bericht van de klager van 28 oktober 2024 op 31 oktober 2024, met een bijkomende verontschuldiging omtrent de vertraging, en bijkomende verantwoording omtrent de lange doorlooptijd. III.3. Inhoudelijke voorwaarden schikkingsvoorstel III.3.1. Voorwaarden op grond van grieven verwoord in de klacht Voorwaarde 1 Grieven geuit door de klager in diens klacht: In het opvolgplan van de zoon […] van de klager- zo de klacht - “werd gesteld dat ik [i.e. de klager] mijn zoontje gebruik als speelbal in de communicatie naar mijn ex […] deze uitspraak kwam voor mij als een volledige verrassing.” Na het aanspreken van “de leerkracht en de directeur” kon de verweerder tot op het moment van de klacht “geen antwoord geven.” Prima facie* rechtskundige kwalificatie en analyse: a.2. In se betwist de klager de juistheid van de informatie in de zin van artikel 5, lid 1, punt
- d)AVG. Doordat de informatie aan haar gelinkt wordt in het opvolgplan (op zijn minst indirect doordat Beslissing ten gronde 33/2025 — 17/28 de klager de moeder betreft van de persoon die het voorwerp vormt van het opvolgplan), kan immers gesproken worden van een persoonsgegeven in de zin van artikel 4, punt 1) AVG. Hoewel het niet zo is dat de betwisting van de juistheid van een persoonsgegeven door de persoon aan wie het persoonsgegeven kan toegeschreven worden ipso facto betekent dat het persoonsgegeven daarom fout is, kwamen er gedurende de procedure sterke aanwijzingen naar voren die op zijn minst de juistheid van het specifieke persoonsgegeven betwistbaar maken. Meer specifiek kon de school, dan wel haar medewerkers, niet (binnen een redelijke termijn) correct achterhalen wie de informatie had toegevoegd aan het behandelingsplan. Dit alles zou kunnen beschouwd worden in de context waar het opvolgplan dat de aanleiding was van de klacht in en het voorwerp vormt van het onderhavige dossier, deel uitmaakt van “het wettelijk verplichte handelingsplan”, zo de verweerder, die verwijst naar artikel 46 van het Decreet basisonderwijs van 25 februari 1997 (B.S. 17 april 1997). 14 De verweerder verduidelijkt overigens dat het voorwerp van de klacht een “opvolgplan” betreft dat kadert in dat wettelijk verplichte handelingsplan.15 De verweerder benadrukt in die zin – terecht volgens de Geschillenkamer – dat dit opvolgplan “geen statisch document” betreft, maar “in de loop van het schooljaar aangepast [wordt] door de personen die de betrokken leerling begeleiden.” 16 Wanneer de klager zich dus had gericht aan de verweerder om haar recht in de zin van artikel 16 AVG uit te oefenen, dient de verweerder als verwerkingsverantwoordelijke dat verzoek van de klager als betrokkene dan ook ernstig en degelijk te onderzoeken, c.q. adequaat gevolg aan te geven. De verweerder stelt in casu dat het volgens haar dit recht is dat de klager had uitgeoefend wanneer die laatste vroeg om bepaalde aspecten van het opvolgplan te herzien. 14 Deze wettelijke bepaling luidt als volgt: “Met inachtneming van de door de regering opgelegde of gelijkwaardig verklaarde ontwikkelingsdoelen wordt in het buitengewoon onderwijs voor één of meer leerlingen samen op basis van zijn (hun) opvoedings- en onderwijsbehoeften, een handelingsplan opgemaakt. Dit plan bevat voor een bepaalde periode de pedagogisch-didactische planning voor bedoelde leerling(
- en)en legt onder meer de keuze aan ontwikkelingsdoelen vast, die de klassenraad in opdracht van het schoolbestuur voor hem (hen) wil nastreven. Het handelingsplan geeft in voorkomend geval weer hoe het multidisciplinair teamwerk wordt gepland en hoe de sociale, psychologische, orthopedagogische, medische en paramedische hulpverlening in het opvoedings- en onderwijsaanbod wordt geïntegreerd. Bepaalde eindtermen of ontwikkelingsdoelen van het gewoon basisonderwijs of van andere types van het buitengewoon basisonderwijs kunnen door een beslissing van de klassenraad in een handelingsplan worden opgenomen. Het handelingsplan wordt opgemaakt door de klassenraad, in samenspraak met het CLB en indien mogelijk met de ouders. In het handelingsplan opgenomen ontwikkelingsdoelen met betrekking tot godsdienst, niet-confessionele zedenleer of cultuurbeschouwing zijn gebaseerd op de overeenkomstige leerplannen en zijn in overeenstemming met de internationale en grondwettelijke beginselen inzake de rechten van de mens en van het kind in het bijzonder.” 15 In de klacht spreekt de klager over een “individueel behandelingsplan” – in functie van de duidelijkheid verwijst de Geschillenkamer daarom steeds naar het “opvolgplan”. 16 Conclusie verweerder dd. 6 januari 2020, administratief stuk nr. 39, blz. 2-3. Beslissing ten gronde 33/2025 — 20/28 In de klacht komen een aantal gelijklopende grieven terug: “Blijkbaar heeft iedereen in de school toegang tot dezelfde info en kan iedereen naar eigen goeddunken wijzigingen aanbrengen. Een deftige bescherming tegen hacken is er blijkbaar ook niet, waardoor ik eveneens een vermoeden heb dat deze info buiten de school om in hun systeem werd ingezet [sic].” En verder in de klacht: “Ik vind het echter niet kunnen dat de school iedereen toelaat op dezelfde computer en niet kan traceren wie welke data in het systeem ingeeft […] Ik vind dit uiteraard zeer verontrustend aangezien mijn persoonlijke informatie en die van mijn zoon zomaar te grabbel gegooid kan worden, aangepast kan worden en bovendien verstuurd kan worden naar externe instanties, zonder enige vorm van controle of traceerbaarheid.” Prima facie rechtskundige kwalificatie en analyse: De grieven van de klager wat betreft deze specifieke materie betreffen de integriteit van persoonsgegevens in de zin van artikel 5, lid 1, punt
- f)AVG, en de beveiliging van (de verwerking van) persoonsgegevens, in de zin van artikel 32 AVG, in samenhang met artikelen 24 en 25 AVG.18 Het zou mogelijk problematisch kunnen zijn dat een medewerker van de verweerder ten aanzien van de klager niet kon verduidelijken hoe het toegangsbeheer verliep, waardoor deze klager (foutief) de indruk kreeg dat het toegangsbeheer tot de opvolgplannen onbestaande was, of op zijn minst slecht geregeld dan wel beveiligd was. In de praktijk toonde de verweerder echter doorheen de procedure aan dat er wel degelijk enige waarborgen werden ingebouwd om een adequaat toegangsbeheer te voorzien. Met name is een account op Schoolplatform vereist met een uniek passwoord voor alle personen die toegang hebben tot het opvolgplan, respectievelijk ‘schrijvingsrechten’ hebben om dit opvolgplan aan te passen. Bovendien geeft de verweerder middels een geschiedenis van de aanpassingen van het opvolgplan (“loggings”) weer dat slechts een beperkt aantal personen aanpassingen konden doorvoeren en hadden doorgevoerd. Het betroffen met name die personen die tot het opvolgteam van de zoon van de klager behoorden op het moment van de feiten. In die zin haalt de verweerder in haar conclusie aan dat de persoonsgegevensverwerkingen die in het kader van het opvolgplan plaatsvinden, wel degelijk onderworpen zijn aan passende technische en organisatorische maatregelen “zodat de beveiliging gewaarborgd is.”19 De grieven geformuleerd in de klacht dienen volgens de Geschillenkamer dus enigszins te worden genuanceerd, nu het ten eerste niet klopt dat “iedereen” zomaar toegang en schrijfrechten heeft tot het opvolgplan, zoals de verweerder aanhaalt. Deze schrijfrechten 18 Vergelijk ook Inspectieverslag, blz. 4-6. 19 Conclusie verweerder dd. 6 januari 2020, administratief stuk nr. 39, blz. 3. Beslissing ten gronde 33/2025 — 21/28 blijken beperkt tot “enkel de leerkrachten die de leerling begeleiden”.20 Bovendien voorziet het platform waarvan de medewerkers van de verweerder gebruikmaken (Schoolplatform) op zijn minst minimale autorisatiestappen en beveiliging, zodat op zijn minst een login en wachtwoord vereist zijn om toegang te krijgen tot het platform, en waarbij bepaalde documenten/pagina’s/subsites van het platform ook enkel toegankelijk kunnen worden gemaakt voor een beperkt aantal bevoegde personen, zoals voor het opvolgplan in casu het geval was.21 De verweerder haalt ten overvloede aan dat zij de toegang tot het platform ook afhankelijk zou maken van multi-factor authenticatie.22 De verweerder voert in die zin ook stukken aan waarmee zij naar eigen zeggen aantoont “dat er geen sprake is van een ongeoorloofde toegang tot deze gegevens.” 23 In tegenstelling tot de conclusie die zou kunnen getrokken worden op basis van de eerste communicaties van de verweerder in het dossier, beschikt de verweerder wel degelijk over een “logbestand” waarin kan geconsulteerd worden welke medewerker of actor wanneer wijzigingen aanbracht in het opvolgplan.24 Volgens de verweerder laat “het systeem […] echter niet toe om datgene wat gewijzigd is te tonen.”25 In die zin zou kunnen gesteld worden dat de verweerder onvoldoende technische en organisatorische maatregelen heeft genomen met betrekking tot de toegang en verdere opvolging van dit document dat persoonsgegevens bevat, en waarbij de potentieel gevoelige aard van de persoonsgegevens in zulke documenten – met de nadruk op de persoonsgegevens van minderjarigen en hun gezondheidsgegevens – onvoldoende beschermd worden gedurende hun verwerking. Ten tweede haalt de klager in haar repliekconclusie aan dat er “twee versies van het ‘opvolgplan’ bestaan.”26 Volgens de verweerder is het echter onmogelijk te achterhalen wat met “het originele opvolgplan” bedoeld wordt. De verweerder stelt: “Er is geen ‘origineel opvolgplan’ vermits het opvolgplan in se een dynamisch document is.” 27 In die context haalt de verweerder aan dat er bij een versie van het opvolgplan steeds een datum hoort; 28 in se betreft 20 Conclusie verweerder dd. 6 januari 2020, administratief stuk nr. 39, blz. 2. 21 Iets anders dan hetgeen de verweerder beweert is immers niet aangetoond, zie repliekconclusie verweerder dd. 4 februari 2020, administratief dossier nr. 44, blz. 3-4. 22 Repliekconclusie verweerder dd. 4 februari 2020, administratief stuk nr. 44, blz. 4. 23 Conclusie verweerder dd. 6 januari 2020, administratief stuk nr. 39, blz. 3. 24 Conclusie verweerder dd. 6 januari 2020, administratief stuk nr. 39, bijlage 3. 25 Conclusie verweerder dd. 6 januari 2020, administratief stuk nr. 39, blz. 2. 26 Repliekconclusie klager dd. 16 januari 2020, administratief dossier nr. 41, blz. 2. 27 Repliekconclusie verweerder dd. 4 februari 2020, administratief dossier nr. 44, blz. 2. 28 Repliekconclusie verweerder dd. 4 februari 2020, administratief dossier nr. 44, blz. 3. Beslissing ten gronde 33/2025 — 25/28 III.4. Achtergrond: Procedurele situering van het schikkingsvoorstel en de schikking De Geschillenkamer heeft op haar website een schikkingsbeleid gepubliceerd. Dat vindt u hier in het Nederlands: https://www.gegevensbeschermingsautoriteit.be/publications/schikkingsbeleid-vande-geschillenkamer.pdf Op deze plek kan u nagaan wat een schikking precies is, en hoe die juist in elkaar zit. In het uiteindelijke schikkingsvoorstel zal de schikking ook meer juridisch gekaderd worden. Dit document behoort tot de eerste fase gevisualiseerd in het schikkingsbeleid: Voor meer informatie omtrent de procedurele situering wordt verwezen naar de voormelde weblink. III.5. Schriftelijke en mondelinge uitwisselingen met partijen III.5.1. schriftelijke uitwisselingen Het schikkingsvoorstel vormt het startpunt van de schikkingsprocedure. De voorwaarden van dit voorstel kunnen gedurende het verdere verloop van de schikkingsprocedure echter verduidelijkt of anderszins aangepast worden, zeker in het geval zulke aanpassingen verbeteringen meebrengen in het licht van de gegevensbeschermingswetgeving. Dergelijke verzoeken houden géén automatische verlenging van de termijn in. De partijen nemen in beginsel schriftelijk contact op met de Geschillenkamer wanneer zij het nuttig achten bepaalde aanpassingen aan de voorwaarden van het schikkingsvoorstel te doen. Het staat aan de Geschillenkamer om op basis van deze communicatie vanwege partijen een aanpassing aan het schikkingsvoorstel aan te brengen. Beslissing ten gronde 33/2025 — 26/28 In die zin wordt een constructieve houding vanwege de partijen aangemoedigd. De Geschillenkamer verwacht dat verzoeken op redelijke en proportionele wijze gebeuren. Wanneer de verzoeken in de visie van de Geschillenkamer blijk geven van het feit dat een schikking weinig tot niet waarschijnlijk is, kan dit aanleiding geven tot de intrekking van het schikkingsvoorstel. III.5.2. mondelinge uitwisselingen De verweerder kan een verzoek tot mondelinge toelichting bij het schikkingsvoorstel of latere communicaties aan de Geschillenkamer richten, waarbij het aan de Geschillenkamer staat om de relevantie van zulke mondelinge uitwisselingen te beoordelen. 30 Het spreekt voor zich dat dit een gunst uitmaakt en dat de Geschillenkamer dit te dezen louter aanbiedt en ertoe kan overgaan in functie van een efficiënt procesverloop. Er zal een proces-verbaal worden opgesteld dat in beginsel louter het plaatsvinden van het mondeling toelichtingsmoment vastlegt. Het staat aan partijen vrij om deel te nemen aan door de Geschillenkamer georganiseerde mondelinge toelichtingsmomenten. De gesprekken zijn vertrouwelijk. Over de inhoud van het besprokene mag geen mededeling aan derden worden gedaan. III.6. Termijn De verweerder dient vóór 24/12/2024 op dit schikkingsvoorstel te reageren. III.7. Het bestaan van andere verwerkingsverantwoordelijken en/of verwerkers Dit schikkingsvoorstel is enkel gericht tot de verweerder. Het neemt geen positie in of en in welke mate er andere actoren zijn die verantwoordelijk zijn voor de potentiële inbreuken die aanleiding gaven tot het onderhavig schikkingsvoorstel. III.8. Validatie van de schikking 30 “schikkingsbesprekingen” zijn een gekende wettelijke praktijk binnen het regulatoren-landschap, vergelijk met name de procedure bij de Belgische Mededingingsautoriteit in artikelen IV.55 e.v. (“Onderafdeling 4 – Procedure inzake schikkingen”) van het Wetboek Economisch Recht van 28/02/2013 (B.S. 29/03/2013) en de vermelding van zulke schikkingsbesprekingen aldaar. Beslissing ten gronde 33/2025 — 27/28 Wanneer het schikkingsvoorstel verwordt tot een formele schikkingsbeslissing door uitdrukkelijke aanvaarding door de partij aan wie het schikkingsvoorstel gericht is binnen de hiervoor vermelde termijn, kan hiertegen beroep worden ingesteld door elke “griefhoudende partij”. 31 De uiteindelijke schikking doet geen afbreuk aan het recht van eventuele individuen die schade hebben geleden om voor een burgerlijke rechtbank schadevergoeding te eisen op grond van onder meer artikel 82 AVG. III.9. Beroep tegen het schikkingsvoorstel Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing om een schikkingsvoorstel te doen beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 32. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.33, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). 31 Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W., dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). 32 Het verzoekschrift vermeldt op straffe van nietigheid: 7° de dag, de maand en het jaar; 8° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 9° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 10° het voorwerp en de korte samenvatting van de middelen van de vordering; 11° de rechter voor wie de vordering aanhangig wordt gemaakt; 12° de handtekening van de verzoeker of van zijn advocaat. 33 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd. Beslissing ten gronde 33/2025 — 28/28 Hoogachtend [was getekend] Hielke Hijmans Voorzitter van de Geschillenkamer