Beslissing ten gronde nr. 34/2022

1/20 Geschillenkamer Beslissing ten gronde 34/2022 van 10 maart 2022 Dossiernummer : DOS-2020-02237 Betreft: verzending door ex-werkgever van een e-mail met persoonsgegevens De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Romain Robert en Christophe Boeraeve; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: . De klager: mevrouw X, vertegenwoordigd door mr. Karen Rosier, hierna "de klager"; . . De verweerder: Y, vertegenwoordigd door mr. Marco Schoups en mr. Sara Cockx, hierna: "de verweerder". Beslissing ten gronde 34/2022 - 2/20 I. Feiten en procedure

1. Op 7 juli 2020 diende de klager een klacht tegen de verweerder in bij de Gegevensbeschermingsautoriteit. Het voorwerp van de klacht betreft de mededeling door de verwerkingsverantwoordelijke (gewezen werkgever) van persoonsgegevens aan derden: privé-e-mailadres, nieuw zakelijk emailadres, privéhuisadres en een persoonlijke brief. De klacht betreft het niet naleven van beginselen van de AVG, met name: - Het finaliteitsbeginsel; - Het beginsel van minimale gegevensverwerking; - Het integriteits- en vertrouwelijkheidsbeginsel.
2. De klacht bevat eveneens een uiteenzetting van feiten die als volgt kunnen worden samengevat. De klager was destijds als jurist in dienst bij de verweerder. Hij beschikte in die hoedanigheid over een bedrijfsvoertuig waarmee hij tijdens een privégebruik van het voertuig, een milieu-inbreuk in de gemeente (...) pleegde (ongeoorloofd achterlaten van een zak naast een glascontainer). Op 26 januari 2019 wordt door de Cel gemeentelijke administratieve sancties van de provincie VlaamsBrabant (hierna de Cel sancties) een brief met de vaststelling van de inbreuk naar de verweerder gestuurd, aangezien het voertuig op zijn naam is ingeschreven. Na ontvangst van die vaststelling van de inbreuk geeft de verweerder, overeenkomstig de gebruikelijke interne procedure, deze door aan de klager met het verzoek de nodige administratieve stappen te ondernemen. Uit andere stukken van het dossier blijkt dat de klager op 5 februari 2019 een brief in het Nederlands naar de Cel sancties heeft gestuurd waarin hij zich als dader van de overtreding meldt, waarbij hij zijn goede trouw bepleit en vraagt om te worden gehoord. Op 10 april 2019 stelt de Cel sancties de klager in kennis van haar beslissing hem een administratieve boete van 80 euro op te leggen. Op 23 april 2019 wordt door de gemeente (...) een factuur voor die boete naar de klager gestuurd. De klager betaalt deze boete per bankoverschrijving op 11 mei 2019 . Deze elementen waren ten tijde van de feiten niet bekend bij de verweerder. Op 23 april 2020 ontvangt de verweerder een factuur van de gemeente (...) voor een bedrag van 460 euro dat duidelijk betrekking heeft op de hierboven beschreven feiten. Bij de factuur is een uittreksel gevoegd van het register van de notulen van het college van burgemeester en schepenen van de gemeente (...) van een vergadering van 16/03/2020, waarin is besloten de administratieve boete op te leggen. De verweerder antwoordt bij monde van zijn directeur per e-mail op die brief en Beslissing ten gronde 34/2022 - 3/20 stelt de gemeente daarbij in kennis van het feit dat de klager verantwoordelijk voor die overtreding is. De e-mail in kwestie wordt naar drie verschillende adressen van de gemeente (...) gestuurd, naar drie medewerkers van de verweerder in kopie, en naar het privé-e-mailadres en het nieuwe zakelijke e-mailadres van de klager, en luidt als volgt: “Geachte Mevrouw […], Geachte Mevrouw […], Ik kreeg deze morgen, via een scan als bijlage aan een email, Uw schrijven dd. 23/04/2020 – zie bijlage. Wij zijn op dit ogenblik in telewerk en ik ga slechts sporadisch naar het kantoor. Ik antwoord u per mail om die schuldvordering ten stelligste te betwisten wat haar verhaalbaarheid op de Y betreft. De inbreuk werd gepleegd door onze voormalige excellente juridisch adviseur X , die reeds maanden de Y heeft verlaten. Zij erkende de feiten in een brief die zij destijds naar het Provinciebestuur Vlaams-Brabant richtte en die ik in mijn globale Dropbox archieven teruggevonden heb. U vindt deze brief als bijlage – ik heb er een vrije vertaling bijgevoegd. Ik ben niet zeker dat zij dit schrijven effectief stuurde. Gezien de persoonlijke aard van de overtreding cc. ik deze mail naar de persoon in kwestie (…) zodat zij voor een vlotte administratieve afhandeling kan zorgen, waarvoor reeds dank. Gelieve bijgevolg de schuldvordering rechtstreeks naar haar te sturen : X Adres Ik dank u daar reeds bij voorbaat om en verblijf inmiddels, met de meeste hoogachting.”
3. De e-mail bevat in de bijlage een in het Frans geschreven ontwerp van brief van de klager, waarin hij de feiten erkent (hierna het ontwerp van brief of de ontwerpbrief). Zoals aangegeven in de hierboven weergegeven e-mail verstrekt de verweerder een vrije vertaling van de ontwerpbrief naar het Nederlands. Hij preciseert dat hij niet weet of die brief door de klager naar de gemeente (...) is verzonden.
4. Op 4 mei 2020 stuurt de klager per e-mail en per post een eerste brief naar zijn ex-werkgever (de verweerder). Hij verklaart verbaasd te zijn dat de gemeente de verweerder rechtstreeks contacteert, aangezien het gemeentebestuur al in het bezit is van zijn contactgegevens en het om feiten uit zijn privéleven gaat. Hij vraagt de verweerder te preciseren wat de rechtsgrond van de verwerking is, alsmede het doel ervan. Hij informeert hem ook dat hij van plan is contact op te nemen met de Gegevensbeschermingsautoriteit. Beslissing ten gronde 34/2022 - 4/20
5. De directeur van de verweerder antwoordt per e-mail diezelfde dag met het verzoek dringend het nodige te doen om te voorkomen dat tegen de verweerder gerechtelijke stappen zouden worden ondernomen.
6. Op 5 mei 2020 dient de klager een verzoek om informatie in bij de GBA.
7. Op 9 juni 2020 antwoordt de Eerstelijnsdienst de verweerder dat de uiteengezette feiten kunnen worden onderzocht ten aanzien van de volgende beginselen: doeleinde, minimale gegevensverwerking, integriteit en vertrouwelijkheid. De dienst wijst er tevens op dat de verwerkingsverantwoordelijke binnen de maand moet reageren op verzoeken om uitoefening van rechten.
8. Op 15 juni 2020 stuurt de klager een nieuwe brief per post en per e-mail waarin hij verklaart geen antwoord op zijn eerste brief betreffende vragen in verband met de naleving van de AVG te hebben ontvangen en vraagt hij de verweerder aan te tonen dat de beginselen van minimale gegevensverwerking, doelbinding en integriteit en vertrouwelijkheid in deze zaak zijn geëerbiedigd.
9. Op 7 juli 2020 dient de klager een klacht in tegen de verweerder bij de Gegevensbeschermingsautoriteit.
10. Op 16 juli 2020 neemt de verweerder contact op met de gemeente (...) om te vragen of het dossier wat hem betreft kan worden afgesloten , aangezien de dader van de overtreding is geïdentificeerd.
11. Hij stuurt diezelfde dag een ontvangstbevestiging naar de klager voor zijn brief van 15 juni
13. Op 5 augustus 2020 antwoordt de verweerder op de in de brieven van 4 mei en 15 juni geformuleerde verzoeken van de klager. Hij herinnert met name aan de context van het dossier en verklaart zich te baseren op het gerechtvaardigd belang voor de gegevensverwerking, met als doel zich te verdedigen tegen de onterecht tot hem gerichte rechtsvervolging.
14. Op 29 juli 2020 wordt de klacht op grond van de artikelen 58 en 60 van de WOG ontvankelijk verklaard door de Eerstelijnsdienst en overeenkomstig artikel 62, §1, van de WOG aan de Geschillenkamer overgemaakt.
15. Op 19 oktober 2020 beslist de Geschillenkamer op grond van artikel 95, §1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde.
16. Dezelfde dag worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, en in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 26 november 2020, deze voor de conclusie van repliek van de klager op 17 december 2020 en deze voor de conclusie van repliek van de verweerder op 7 januari
17. Beslissing ten gronde 34/2022 - 5/20
18. Op 28 oktober 2020 aanvaardt de verweerder om alle communicatie omtrent de zaak elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. Hij vraagt eveneens een kopie van het dossier (artikel 95, §2, 3°, van de WOG), die hem op 29 oktober 2020 wordt toegezonden.
19. Op 26 november 2020 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder. De verweerder geeft aan dat er een verwerking van persoonsgegevens van de klager heeft plaatsgevonden, maar is van mening dat dit in overeenstemming met AVG is gebeurd. Wat de rechtmatigheid van de verwerking betreft, beroept de verweerder zich op de toepassing van artikel 6, lid 1, punt c), van de AVG, aangezien de verwerking nodig was om te voldoen aan een wettelijke verplichting. Deze verplichting is gebaseerd op artikel 4.11 van het politiereglement van de gemeente (...) en op artikel 33.2 van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties. Deze twee artikelen zijn op soortgelijke wijze geformuleerd en bieden de houder van een kentekenplaat de mogelijkheid om met alle rechtsmiddelen of op welke manier dan ook de identiteit van de chauffeur op het moment van de overtreding aan te tonen. Artikel 33.2 vermeldt tevens dat de houder van de kentekenplaat dan verplicht is de identiteit van de chauffeur mee te delen. De verweerder beroept zich tevens op artikel 10, §1, 1°, van de WVG, aangezien de verwerking noodzakelijk is voor het beheer van zijn eigen geschil. Hij voert aan dat een administratieve boete gelijkstaat aan een strafrechtelijke sanctie. De verweerder beroept zich ook op het gerechtvaardigd belang in artikel 6, lid 1, punt f), van de AVG, aangezien het natuurlijk in zijn belang is de werkelijke pleger van de inbreuk te identificeren om te vermijden dat deze hem zal worden aangerekend. Wat het beginsel van doelbinding betreft, preciseert de verweerder dat zijn Gegevensbeschermingsbeleid bepaalt dat de persoonsgegevens van de werknemer in elk geval na een termijn van 10 jaar zullen worden gewist, tenzij het gaat om gegevens die noodzakelijk zijn voor eventuele lopende geschillen. Wat het beginsel van minimale gegevensverwerking betreft, wijst de verweerder erop dat alle gegevens in de e-mail nodig waren om elk risico en bijkomende kosten voor de betrokken partijen te vermijden. Hij is van mening dat de naam en het adres van de klager nodig waren, zodat de gemeente haar brief naar de betrokkene kon sturen. De e-mailadressen van de klager, die in kopie waren toegevoegd, waren ook noodzakelijk, aangezien als gevolg van de telewerksituatie door de COVID-19-pandemie een doorgifte van een papieren exemplaar van de brief niet mogelijk was. Het gebruik van het nieuwe zakelijke e-mailadres van de klager wordt gerechtvaardigd door het feit dat dit zich in de gegevensbank van de verweerder bevindt, aangezien de klager in dienst is bij een organisatie die lid is van de verweerder. De verzending van de door de klager opgestelde brief was Beslissing ten gronde 34/2022 - 6/20 ter zake dienend om met alle rechtsmiddelen aan te tonen dat de klager inderdaad de pleger van de inbreuk was, aangezien hij daarin de feiten erkende. De verweerder preciseert ook dat de personen die in kopie van de e-mail stonden, de financieel directeur, de directeur personeelszaken en de directe chef van de klager waren. Wat het beginsel van integriteit en vertrouwelijkheid betreft, onderstreept de verweerder een aantal maatregelen die zijn getroffen, met name het bestaan van een privacybeleid in overeenstemming met de AVG, en regelingen voor het beheer van toegang en wachtwoorden. De verweerder verzoekt de Geschillenkamer de klacht ongegrond te verklaren.
20. Op 27 november 2020 aanvaardt de klager alle communicatie met betrekking tot de zaak elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. Hij vraagt eveneens een kopie van het dossier (artikel 95, §2, 3°, van de WOG), die hem op 1 december 2020 wordt toegezonden.
21. Op 16 december 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De klager benadrukt eerst en vooral het privékarakter van het geschil tussen hem de gemeente (...). Wat het beginsel van doelbinding betreft, is de klager van mening dat dit niet is geëerbiedigd op minstens twee vlakken. Het eerste heeft betrekking op het gebruik van zijn huidige zakelijke emailadres, dat volgens de conclusie van de verweerder uit de gegevensbank van de verweerder komt. Dit gegeven is volgens de klager verwerkt voor andere doeleinden dan waarvoor het is verzameld, aangezien de verweerder enkel over dat gegeven beschikt door het feit dat de nieuwe werkgever van de klager een organisatie is die lid is van de verweerder en dat een vertegenwoordiger van zijn nieuwe werkgever zetelt in de regionale raad van de verweerder. Het tweede betreft het gebruik van een door de klager opgestelde ontwerpbrief die op de server van de verweerder zou zijn opgeslagen in een persoonlijk dossier. De klager is van mening dat deze brief door de verweerder nooit had mogen worden verwerkt, omdat hij betrekking had op een eigen geschil. Hij betwist het feit dat de verweerder het document juist in het kader van het beheer van zijn geschil heeft kunnen bewaren, aangezien het in een privédossier werd bewaard. Wat het beginsel van minimale gegevensverwerking betreft, is de klager in de eerste plaats van mening dat het voor de verweerder niet noodzakelijk was om op de brief van de gemeente te reageren. Het was voor hem voldoende geweest om deze volgens de gebruikelijke interne praktijk aan de klager over te maken. In de tweede plaats is de klager van mening dat het voor de verweerder voldoende was geweest om de identiteit en het huisadres van de klager mee te delen. De vermelding van zijn hoedanigheid van jurist en de verzending van de ontwerpbrief worden door de klager beschouwd als niet ter zake dienend en niet noodzakelijk voor de verwerking. Beslissing ten gronde 34/2022 - 7/20 Wat de schending van het beginsel van integriteit en vertrouwelijkheid betreft, benadrukt de klager dat volgens het eigen privacybeleid van de verweerder, de managers de vertrouwelijkheid van de persoonsgegevens van de werknemers moeten eerbiedigen. De klager is van mening dat dit beginsel is geschonden door zijn ontwerpbrief en nieuwe zakelijke adres in kopie te sturen naar drie leden van het personeel van de verweerder. Hij is van mening dat de toezending aan die drie personen niet gerechtvaardigd is, evenmin als de toezending aan drie verschillende adressen van de gemeente (...) (persoon die de beslissing ondertekent, financiële dienst en algemeen adres). Hij meent ook dat het zich toegang verschaffen tot persoonsgegevens van een voormalig werknemer om er een ontwerpbrief uit te halen die voor privédoeleinden is geschreven, gelijkstaat aan het doorzoeken van een persoonlijke digitale ruimte, meer dan een jaar na het einde van zijn contract. Volgens hem is dit een schending van het beginsel van integriteit en vertrouwelijkheid en de beginselen van rechtmatigheid, behoorlijkheid en transparantie.
22. Op 7 januari 2021 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. Naast de elementen die reeds in zijn conclusie aanwezig zijn, onderstreept hij dat aangezien de tweede factuur van de gemeente (...) met naam en toenaam aan hem is gericht, hij wel degelijk bij het geschil betrokken is. Wat minimale gegevensverwerking betreft, preciseert hij dat de gegevens van alle werknemers gedurende 5 jaar worden bewaard, zoals aangegeven in zijn privacybeleid en dat die periode door de burgerlijke en strafrechtelijke verjaringsregelingen wordt gerechtvaardigd. De verweerder corrigeert een bewering in zijn eerste conclusie. Hij wijst erop dat de ontwerpbrief niet uit een Dropbox-bestand van de algemeen directeur komt, maar hem is gegeven door een werknemer die de klager destijds had geholpen de brief naar het Nederlands te vertalen. De bewijskrachtige correspondentie is in het dossier 1 opgenomen, evenals een door de algemeen directeur ondertekende verklaring op eer waaruit dit blijkt. Subsidiair somt de verweerder verzachtende omstandigheden op en vraagt hij opschorting van de uitspraak of een beperking tot een waarschuwing of een berisping. In geval van publicatie van de beslissing, verzoekt hij om anonimisering van de identiteit van de partijen.
23. Op 15 oktober 2021 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 29 november
25. Op 29 november 2021 worden de partijen gehoord door de Geschillenkamer.
26. Op 17 januari 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 1 In dat verband merkt de Geschillenkamer op dat de e-mailuitwisseling verduidelijkingen van de collega bevat waarin zij te kennen geeft niet te weten of de ontwerpbrief uiteindelijk naar de gemeente was gestuurd. Beslissing ten gronde 34/2022 - 8/20
27. Op 22 januari 2022 ontvangt de Geschillenkamer enkele opmerkingen van de verweerder met betrekking tot het proces-verbaal. II. Motivering II.1 Wat betreft de verwerking en de feiten
28. Een factuur van de gemeente (...) voor illegaal storten wordt naar de werkgever van de klager gestuurd. De illegale storting is door de klager gedaan met gebruikmaking van zijn bedrijfswagen. De werkgever (verweerder) verzoekt de klager de nodige stappen te ondernemen om de boete af te handelen. Bijna een jaar later stuurt de gemeente een hogere factuur voor dezelfde feiten naar de gewezen werkgever (de klager is ondertussen van werk veranderd). De gewezen werkgever antwoordt de gemeente door een e-mail te sturen naar drie verschillende adressen van de gemeente (persoon die de beslissing ondertekent, financiële dienst en algemeen adres), en drie van zijn medewerkers (namelijk de financieel directeur, de directeur personeelszaken en de gewezen hiërarchische chef van de klager) en de klager in kopie te zetten. De e-mail bevat verschillende persoonsgegevens van de klager: - zijn huisadres; - zijn nieuwe zakelijke e-mailadres; - zijn beroep als jurist; - een ontwerpbrief die de klager van plan was naar de gemeente te sturen, waarin hij onder andere de feiten toegeeft (die de ex-werkgever in zijn Dropbox-archief zegt te hebben gevonden. Een verklaring die is gecorrigeerd in de conclusie, waarin de ex-werkgever zegt deze brief te hebben gekregen van een ex-collega van de klager die hem destijds met de vertaling heeft geholpen). Deze verwerking vormt het voorwerp van het geschil.
29. Bovendien blijkt uit de stukken van het dossier dat de klager wel degelijk correct had gezorgd voor de afhandeling van de eerste boete en deze had betaald, hetgeen de werknemer niet wist. Ook blijkt uit het dossier dat de klager de brief die met de hulp van zijn collega was geschreven had gebruikt, en deze met kleine wijzigingen naar de gemeente had gestuurd. Deze verzending was ook niet bekend bij de werkgever, die niet wist of de ontwerpbrief door de klager was gebruikt. De redenen voor de verzending van de factuur van 460 EUR konden in de procedure voor de Geschillenkamer niet worden opgehelderd. Beslissing ten gronde 34/2022 - 9/20 II.2 Wat betreft de inbreuken die door de Geschillenkamer zijn onderzocht II.2.1 Rechtmatigheidsbeginsel
30. Het rechtmatigheidsbeginsel in artikel 5, lid 1, punt a), van de AVG bepaalt dat elke verwerking van persoonsgegevens moet worden gebaseerd op een van de rechtmatigheidsgronden in artikel 6, lid 1, van de AVG. Dit artikel luidt als volgt: "
31. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: (a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. Beslissing ten gronde 34/2022 - 10/20 De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.”
32. De verweerder beroept zich op de toepassing van drie verschillende rechtmatigheidsgronden (artikel 6, lid 1, punten c) en f), en artikel 10 van de AVG). Hij beroept zich voor alles op de toepassing van artikel 6, lid 1, punt c) van de AVG, namelijk voldoen aan een wettelijke verplichting. Deze verplichting is gebaseerd op artikel 4.11 van het politiereglement van de gemeente (...) en op artikel 33.2 van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties. Deze twee artikelen zijn op soortgelijke wijze geformuleerd en bieden de houder van een kentekenplaat de mogelijkheid om met alle rechtsmiddelen of op welke manier dan ook de identiteit van de chauffeur op het moment van de overtreding aan te tonen. Artikel 33.2 vermeldt tevens dat de houder van de kentekenplaat dan verplicht is de identiteit van de chauffeur mee te delen.
33. Voor de Geschillenkamer bevatten de twee ingeroepen artikelen in wezen geen wettelijke verplichting, maar een wettelijke bevoegdheid. Volgens de doctrine heeft artikel 6, lid 1, punt c) betrekking op gevallen van een wettelijke verplichting en niet op loutere machtigingen.
34. In dat verband bepaalt de doctrine bijvoorbeeld: "Wat artikel 6, lid 1, punt c), niet duidelijk dekt zijn de juridische bepalingen die de rechtssubjecten slechts machtigen of de bevoegdheid geven om iets te doen. Dergelijke gevallen zouden moeten worden aangemerkt als gevallen van artikel 6, lid 1, punt e) wanneer zij overheidsinstanties toestaan activiteiten uit te oefenen die de verwerking van gegevens met zich brengen, of als gevallen van artikel 6, lid 1, punt f), wanneer particuliere instanties wordt toegestaan bepaalde gegevensverwerkingactiviteiten uit te oefenen." 2 De Geschillenkamer onderschrijft deze interpretatie en is derhalve van mening dat de verwerkingsverantwoordelijke zich in deze zaak moest beroepen op artikel 6, lid 1, punt f), of een andere rechtsgrond voor rechtmatigheid.
35. De verweerder beroept zich in het onderhavige geval op het gerechtvaardigd belang in artikel 6, lid 1, punt f), van de AVG, aangezien het in zijn belang is de werkelijke pleger van de inbreuk te identificeren om te vermijden dat deze hem zal worden aangerekend. De verweerder beroept zich eveneens op de toepasselijkheid van artikel 10 van de AVG. Uit dit artikel blijkt echter dat een rechtmatigheidsgrond als in artikel 6, lid 1, noodzakelijk is voordat de toepasselijkheid van artikel 10 kan worden overwogen. De Geschillenkamer zal bijgevolg de rechtmatigheid van de verwerking op grond van artikel 6, lid 1, punt f), van de AVG onderzoeken.
36. De rechtspraak van het Hof van Justitie van de Europese Unie vereist dat een beroep op artikel 6, lid 1, punt f), van de AVG aan drie cumulatieve voorwaarden moet voldoen “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking 2 L. Georgieva “Processing of personal data relating to criminal convictions and offences”, in : Ch. Kuner, The EU General Data Protection Regulation (GDPR)