← België

Beslissing ten gronde nr. 38/2023

1/26 Geschillenkamer Beslissing ten gronde 38/2023 van 27 maart 2023 Dossiernummer : DOS-2020-05183 Betreft : Aanvaarding tijdens het bestelproces bij online aankoop van zowel de algemene voorwaarden als het contacteren voor commerciële doeleinden De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden. Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager” De verweerder: Bpost NV, met maatschappelijke zetel te Muntplein, 1000 Brussel en ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0214.596.464 vertegenwoordigd door Mr. Heidi Waem en Mr. Simon Verschaeve, hierna “de verweerder” Beslissing ten gronde 38/2023 - 2/26 I. 1. Feiten en procedure Op 1 november 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. 2. Het voorwerp van de klacht betreft het bestelproces van de door de verweerder aangeboden dienst MyStamp. Allereerst wordt er binnen dit bestelproces volgens klager geen onderscheid gemaakt tussen het goedkeuren van de algemene voorwaarden en de goedkeuring tot het contacteren (per e-mail of anders) voor commerciële aanbiedingen. Bovendien heeft verweerder volgens klager niet gereageerd binnen een termijn van een maand op het verzoek van klager om hem niet meer te contacteren en de website aan te passen conform de AVG. Klager heeft tevens beklag gedaan over de verplichting toestemming te moeten geven. Daarover stelt klager het volgende : “Je dient nog steeds akkoord te gaan en eventueel nadien verzet aan te tekenen. Dat is voor zover ik weet niet wettelijk.” De klacht heeft betrekking op de website via welke gepersonaliseerde postzegels aangekocht kunnen worden. Deze MyStamp-dienst is een van de e-Shop onderscheiden dienst (beschikbaar via https://mystamp.bpost.be/) waarop de gebruiker via een online ontwerpmodule gepersonaliseerde postzegels kan vormgeven en aankopen. De klager heeft op 4 oktober 2020 gepersonaliseerde postzegels aangekocht en is daarbij aangelopen tegen een aantal voorwaarden en bepalingen die volgens hem niet conform de privacy regelgeving zijn. 3. Op 17 november 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 16 december 2020 wordt overeenkomstig art. 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 16 juni 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG). 6. Het verslag bevat samengevat de volgende vaststellingen met betrekking tot het voorwerp van de klacht en besluit het volgende: Schending van artikel 5.1

  1. c)AVG waarbij de Inspectiedienst heeft vastgesteld dat het bezwaar van klager, voor wat betreft de website mystamp.bpost.be waar gepersonaliseerde postzegels aangekocht kunnen worden, en ten aanzien van de pakketdienst via https://parcel.bpost.be/nl, gegrond is. Bij beide onderdelen van de website wordt er bij de verplicht te aanvaarden voorwaarden een automatische koppeling gemaakt tussen de eigen Beslissing ten gronde 38/2023 - 3/26 direct marketing en de reclamenetwerken van derden. Voorgaande leidt er volgens de Inspectiedienst toe dat het beginsel van doelbinding in artikel 5.1
  2. b)AVG is geschonden.1 Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast : ▪ Schending van artikel 5.1 c AVG (minimale gegevensverwerking). Door de automatische koppeling van de afhandeling van de bestelling aan meer persoonsgegevens dan noodzakelijk (het GSM nummer) of door eenzijdig te bepalen dat de persoonsgegevens voor de bestelling passeren via meer verwerkingen dan noodzakelijk (reclameplatformen van derden) schendt de verweerder de vereiste in artikel 5.1
  3. c)AVG, onder haar diensten MyStamp en de pakjesdienst. ▪ Schending van artikel 6 AVG. Er is volgens de Inspectiedienst aangetoond dat de litigieuze verwerking geen grond heeft van rechtmatigheid. Ook een verwerking op basis van het gerechtvaardigd belang conform artikel 6.1
  4. f)AVG is volgens de Inspectiedienst niet mogelijk aangezien volgens de Inspectiedienst vaststaat dat de verweerder dwang toepast om bepaalde persoonsgegevens te verkrijgen voor direct marketing om de eerste verwerking (de online bestelling van de dienst) behoorlijk te kunnen uitvoeren. ▪ Schending van artikel 12.1 AVG. De verweerder gebruikt volgens de Inspectiedienst een combinatie van verschillende technieken welke ingaan tegen het vereiste van duidelijke informatie conform artikel 12.1 AVG. ▪ Schending van artikel 12.2. Volgens de Inspectiedienst wordt door de manier van aanbieden van een beperkte verzetsmogelijkheid op het bestelformulier voor eShop en door (voor eShop, MyStamp en de pakjesdienst) het koppelen van het uitoefenen van de rechten in het privacybeleid aan beperkingen (brief, gebruik van een formulier) artikel 12.2 AVG niet toegepast door de verweerder. Het bestelformulier van eShop bevat niet de volle functionaliteit van het recht van bezwaar tegen direct marketing op grond van artikel 21.3 AVG. Door de betrokkenen onduidelijke informatie te verschaffen over de verwerking(
  5. en)van persoonsgegevens voor direct marketing en niet te voorzien in de mogelijkheid voor betrokkenen om zijn rechten per e-mail uit te oefenen, leeft de verweerder volgens de Inspectiedienst artikel 12.2 AVG niet na. ▪ Schending van artikelen 5.1 a, 5.1 c en 25 AVG. De Inspectiedienst merkt op dat de wijze waarop de verweerder haar contactformulier heeft ontworpen zowel disproportioneel als disfunctioneel is voor het opgegeven doel (uitoefenen van de rechten van de betrokkene). Het formulier vormt volgens de Inspectiedienst op zich een schending van meerdere basisbeginselen van de artikelen 5.1
  6. a)(eerlijkheidsbeginsel en transparantiebeginsel) en 5.1 1 Het Inspectieverslag verwijst ten onrechte naar artikel 5.1
  7. c)AVG. Aangezien de verweerder zijn verweer baseert op het beginsel van doelbinding en dus de strekking va de vermeende schending herkent, heeft deze verschrijving verder geen gevolg. Beslissing ten gronde 38/2023 - 4/26
  8. c)(minimale gegevensverwerking) AVG en daardoor ook een schending van het vereiste van gegevensbescherming door ontwerp in artikel 25 AVG. ▪ Schending van artikel 38.4 AVG. De vaststelling betreffende het contactformulier heeft volgens de Inspectiedienst ook een impact op het naleven van de contactfunctie van artikel 38.4 AVG. Voornoemd artikel wordt volgens de Inspectiedienst eveneens geschonden daar de functionaris voor gegevensbescherming niet kan worden bereikt via een ander kanaal dan via een contactformulier. 7. Op 23 augustus 2021 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde. De Geschillenkamer beslist op basis van het verslag van de Inspectiedienst het dossier op te delen in twee afzonderlijke zaken:
  9. a)Ingevolge art. 92, 1° WOG zal de Geschillenkamer een beslissing ten gronde nemen met betrekking tot het voorwerp van de klacht.
  10. b)Ingevolge art. 92, 3° WOG zal de Geschillenkamer een beslissing ten gronde nemen naar aanleiding van de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. De partijen worden dan ook vanwege het toen geldend beleid en de restricties ten gevolge van de covid-pandemie per e-mail in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in art. 98 WOG. Tevens worden zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Aangezien de Geschillenkamer naar aanleiding van voornoemde e-mail geen tegenbericht ontving van de verweerder, werd er besloten om de brief op 22 februari 2022, ditmaal per aangetekende zending, aan verweerder te verzenden. 8. Op 28 februari 2022 verzoekt de verweerder om een verlenging van de conclusietermijnen, gelet op de omvang van het dossier en het feit dat eerdere communicaties niet werden ontvangen. De Geschillenkamer stemt op 4 maart 2022 hiermee in. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 26 april 2022, deze voor de conclusie van repliek van de klager op 24 mei 2022 en ten slotte deze voor de conclusie van repliek van de verweerder op 21 juni 2022. Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd er één enkele conclusietermijn bepaald die gelijk loopt met de eerste termijn vastgelegd op 26 april 2022. 9. Op 28 februari 2022 aanvaardt de raadsman namens verweerder elektronisch alle communicatie omtrent de zaak en geeft hij te kennen gebruik te willen maken van de Beslissing ten gronde 38/2023 - 5/26 mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. Tevens vraagt de raadsman namens de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), dewelke hem werd overgemaakt op 4 maart 2022. 10. Op 26 april 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. Daarin voert de verweerder in hoofdorde twee middelen aan dewelke enerzijds van procedurele aard zijn, en anderzijds betrekking hebben op de ePrivacy-richtlijn en de onbevoegdheid van de GBA tot handhaving ervan. De overige middelen in ondergeschikte orde hebben betrekking op het beginsel van doelbinding, het beginsel van minimale gegevensverwerking, informatieplicht en facilitering van de rechten van de betrokkene in het bestelproces van MyStamp en de Shipping Manager Light-dienst (SML-dienst), alsook op de informatieverstrekking en de facilitering van de rechten van de betrokkene in het bestelproces van eShop. Tenslotte haalt de verweerder argumenten aan tot weerlegging van de bezwaren geuit door de Inspectiedienst in verband met het contactformulier. 11. Op 25 mei 2022 geeft de klager te kennen dat hij geen conclusie van repliek indient, aangezien hij van mening is voldoende argumenten te hebben aangebracht om de verweerder ertoe aan te zetten om te handelen overeenkomstig de AVG. 12. Op 14 oktober 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 16 november 2022. 13. Op 16 november 2022 wordt de verweerder gehoord door de Geschillenkamer. Niettegenstaande de klager behoorlijk werd opgeroepen, heeft hij ervoor geopteerd niet deel te nemen aan de hoorzitting, 14. Op 28 november 2022 wordt het proces-verbaal van de hoorzitting aan de verweerder voorgelegd en ter kennisname aan de klager overgemaakt. 15. Op 1 december 2022 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. II. Motivering
  11. a)Procedure 16. Vooreerst voert de verweerder aan zich niet ten volle te hebben kunnen verdedigen tegen de door de Inspectiedienst en de Geschillenkamer geformuleerde aantijgingen. Volgens de verweerder heeft de Geschillenkamer geen inzage verleend in het volledige dossier waardoor de rechten van verdediging van verweerder onherstelbaar zouden zijn aangetast. De Inspectiedienst heeft immers in haar verslag verwezen naar andere klachten jegens de verweerder (waarbij de identificatiegegevens van klagers werden weggelaten) en daarbij Beslissing ten gronde 38/2023 - 6/26 vermeld dat de verweerder de betreffende klachten via de Geschillenkamer zou kunnen opvragen. De Geschillenkamer heeft vervolgens geweigerd deze stukken over te maken aan verweerder waardoor de rechten van verdediging zouden zijn aangetast. 17. De klachten waarnaar de Inspectiedienst verwijst in het verslag werden echter volledig buiten het beraad van de Geschillenkamer gehouden en werden op geen enkele wijze in rekening gebracht bij het nemen van onderhavige beslissing ten gronde. Dienaangaande is de Geschillenkamer van oordeel dat de verwijzing in het onderzoeksverslag van de Inspectiedienst naar andere klachten omtrent de uitoefening van rechten ten aanzien van de verwerkingsverantwoordelijke geen enkel nadeel ten aanzien van verweerder heeft veroorzaakt. 18. Ook haalt de verweerder aan dat de manier waarop het onderzoek werd gevoerd tijdens de inspectiefase de beginselen van behoorlijk bestuur en de rechten van verdediging ten aanzien van de verweerder op onherstelbare wijze hebben geschonden. 19. De wijze waarop het inspectieverslag is tot stand gekomen, schendt volgens de verweerder het zorgvuldigheidsbeginsel doordat geen informatie werd ingewonnen omtrent de diensten verleend door de verweerder, niettegenstaande uit het inspectieverslag blijkt dat er verwarring bestond daaromtrent in hoofde van de Inspectiedienst. Volgens de verweerder baseert het inspectieverslag zich bovendien veelvuldig op veronderstellingen, beperkt de Inspectiedienst zich tot de vaststelling wat in het algemeen of a priori gebruikelijk zou zijn, terwijl zij in concreto dient te onderzoeken. Ook zou de Inspectiedienst informatie die cruciaal is voor de beoordeling van de zaak niet vermelden en vaststellingen van de Inspectiedienst zijn slechts op fragmentaire wijze gedateerd waardoor het verweer wordt bemoeilijkt. 20. Daarnaast zou volgens de verweerder ook het beginsel van onpartijdigheid zijn geschonden doordat de Inspectiedienst geen onderzoek à décharge heeft gevoerd, maar daarentegen uitging van de kwade trouw van de verweerder. 21. Volgens de verweerder werd in casu ook de hoorplicht door de Inspectiedienst niet nageleefd. De verweerder verwijst in dit verband tevens naar de beweerde schending van het zorgvuldigheidsbeginsel (zie punt 19, hierboven), hetwelk een zorgvuldige overheid ertoe zou verplichten de verweerder te raadplegen met het oog op een zorgvuldige besluitvorming. 22. Aangaande de vaststelling van de Inspectiedienst dat de verweerder geen toelichting heeft verschaft omtrent één van de aantijgingen, reageert de verweerder in de conclusie dat haar op geen enkele manier de kans werd geboden om een dergelijke verheldering aan te brengen waardoor niet alleen het zorgvuldigheidsbeginsel, onpartijdigheidsbeginsel en het redelijkheidsbeginsel zijn geschonden. maar ook het Beslissing ten gronde 38/2023 - 7/26 23. Ook de Geschillenkamer heeft volgens de verweerder de beginselen van behoorlijk bestuur, waaronder het zorgvuldigheidsbeginsel, de hoorplicht, het onpartijdigheidsbeginsel en het redelijkheidsbeginsel niet nageleefd doordat zij geen aanvullend onderzoek heeft bevolen aan de Inspectiedienst na ontvangst van het inspectieverslag, maar wel heeft beslist dat het dossier gereed is voor behandeling ten gronde. 24. Het geheel van alle voormelde elementen brengt de verweerder ertoe te stellen dat de rechten van verdediging zijn geschonden. 25. Hoewel de verweerder duidelijk te kennen geeft nog over de mogelijkheid te beschikken om zich tijdens de procedure ten gronde voor de Geschillenkamer te verdedigen door middel van schriftelijke conclusies en de in het kader daarvan georganiseerde hoorzitting, doet dit volgens haar geen afbreuk aan het besluit dat een evenwichtig onderzoek door de Inspectiedienst ontbreekt. 26. Dienaangaande wijst de Geschillenkamer erop dat de procedurele waarborgen onverkort moeten worden nageleefd en indien er mogelijk al sprake zou zijn geweest van benadeling van de verweerder door de wijze waarop het inspectieverslag is tot stand gekomen, dit nadeel volledig is opgeheven in het vervolgtraject 2 waardoor geen sprake kan zijn van ook maar enige schending van de beginselen van behoorlijk bestuur. De door de verweerder opgeworpen procedurele elementen hebben niet tot gevolg dat de rechten van verdediging zijn geschonden, aangezien de verweerder de kans heeft gekregen om zijn argumentatie volledig naar voor te brengen door middel van de conclusie van antwoord; daarenboven heeft de verweerder zijn recht op tegenspraak ten volle kunnen uitoefenen tijdens de hoorzitting van de Geschillenkamer. De verweerder heeft aldus geen enkel nadeel ondervonden en de rechten van verdediging zijn aldus wel degelijk gerespecteerd.
  12. b)e-Privacyrichtlijn 27. Volgens de verweerder is de Geschillenkamer niet bevoegd om de klacht te beoordelen. Zij houdt voor dat gegevensverwerking met het oog op direct marketing niet onder de AVG valt, maar onder (de nationale omzetting van) richtlijn 2002/58 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (hierna ‘e-Privacyrichtlijn’).3 Voor zover het toepassingsgebied van beide instrumenten overlapt, zouden de regels vervat in de e-Privacyrichtlijn als lex specialis voorrang moeten krijgen op de regels van de AVG. De GBA zou echter niet bevoegd 2 Zie in dit verband: Beslissing ten gronde 18/2020 van 28 april 2020; Beslissing ten gronde 71/2020 van 30 oktober 2020; Beslissing ten gronde 133/2021 van 2 december 2021. 3 Richtlijn 2002/58 van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie, Pb.

(2002)L 201/
  1. Beslissing ten gronde 38/2023 - 8/26 zijn om de nationale omzetting van de e-Privacyrichtlijn toe te passen. Samengevat bestaat de redenering van de verweerder dus uit de volgende drie stappen:
  2. de e-Privacyrichtlijn is van toepassing;
  3. de AVG is om die reden niet van toepassing;
  4. de Geschillenkamer is niet bevoegd om de e-Privacyrichtlijn toe te passen.
  5. De Geschillenkamer volgt deze redenering niet. De Geschillenkamer heeft zich reeds meermaals uitgesproken over haar bevoegdheden in relatie tot de e-Privacyrichtlijn en verwijst in dit verband naar haar beslissing ten gronde 11/2022 van 21 januari 2022 (punten 22-40). Dit betreft vooral de bevoegdheden terzake cookies. Aangezien het hier om een andere problematiek gaat en het Hof van Justitie in het arrest Proximus van 27 oktober 2022 verdere verduidelijking heeft geboden, worden deze bevoegdheden in deze beslissing nader gepreciseerd.
  6. Ten eerste is de AVG hoe dan ook van toepassing, zelfs indien men aanneemt dat de door de Inspectiedienst geviseerde verwerkingen voor direct marketing binnen de reikwijdte van de ePrivacyrichtlijn vallen. De AVG bevat zelf ook bepalingen over direct marketing, met name over het recht van bezwaar en het mogelijk gebruik van gerechtvaardigd belang als rechtsgrond, die in ieder geval toepassing moeten kennen. De bijzondere regel uit artikel 13, eerste tot derde lid, van de e-Privacyrichtlijn kan daaraan niet afdoen. Die regel moet namelijk worden toegepast tegen de achtergrond van de algemene regels van de AVG inzake doelbinding, transparantie, enz., waarvan de e-Privacyrichtlijn niet afwijkt. Meer nog, artikel 13, lid 2, van deze richtlijn stelt uitdrukkelijk als voorwaarde dat de relevante gegevens in overeenstemming met de AVG worden verkregen.
  7. Ten tweede strekt de bevoegdheid van de Geschillenkamer zich wel degelijk uit tot de uitleg van de e-Privacyrichtlijn, voor zover dit nodig is om de algemene regels van de AVG toe te passen. De wetgever heeft de bevoegdheid van de GBA ruim omschreven, precies om duidelijk te maken dat haar materiële bevoegdheid niet beperkt was tot de AVG in strikte zin. AVG en e-Privacyrichtlijn
  8. De verweerder beweert ten onrechte dat artikel 13 van de e-Privacyrichtlijn als lex specialis de toepasselijkheid van de AVG uitsluit. In geval van communicatie via e-mail (‘elektronische post’) of via andere kanalen zou de verwerking van de contactgegevens van de klanten alleen mogen worden beoordeeld in het licht van de e-Privacyrichtlijn.
  9. De Geschillenkamer wijst erop dat artikel 13, lid 2, van de e-Privacyrichtlijn, dat bepaalt onder welke voorwaarden direct marketing via e-mail kan plaatsvinden, uitdrukkelijk stipuleert dat de AVG daarbij eveneens gerespecteerd moet worden (eigen benadrukking): Beslissing ten gronde 38/2023 - 9/26 − “Artikel 13 − Ongewenste communicatie −
  10. Het gebruik van automatische oproepsystemen zonder menselijke tussenkomst (automatische oproepapparaten), fax of e-mail met het oog op direct marketing kan alleen worden toegestaan met betrekking tot abonnees die daarin vooraf hebben toegestemd. −
  11. Onverminderd lid 1 kan een natuurlijke of rechtspersoon die van zijn klanten elektronische contactgegevens voor elektronische post verkrijgt in het kader van de verkoop van een product of een dienst, overeenkomstig Richtlijn 95/46/EG, die elektronische contactgegevens gebruiken voor direct marketing van eigen gelijkaardige producten of diensten mits de klanten duidelijk en expliciet de gelegenheid wordt geboden kosteloos en op gemakkelijke wijze bezwaar te maken tegen het gebruik van die elektronische contactgegevens bij het verzamelen ervan en, ingeval de klant zich in eerste instantie niet tegen dat gebruik heeft verzet, bij elke boodschap. − […]”.
  12. Wanneer de e-Privacyrichtlijn op een dergelijke expliciete manier naar de AVG (of diens rechtsvoorganger, richtlijn 95/46/EG4) verwijst, is de discussie over lex specialis / lex generalis eenvoudigweg “niet relevant”.5 Op dat adagium dient namelijk alleen te worden teruggevallen wanneer de betrokken wettekst niet zegt hoe hij zich tot een andere wettekst verhoudt. Hier heeft de Uniewetgever daarentegen duidelijk voorgeschreven dat, bij een beroep op artikel 13, lid 2, van de e-Privacyrichtlijn, de AVG nog steeds moet worden nageleefd. Het arrest in de zaak Proximus behandelt de verhouding tussen de e-Privacyrichtlijn en de AVG eveneens zuiver op grond van de tekst van beide rechtsinstrumenten: waar de richtlijn uitdrukkelijk naar de AVG verwijst, kan er geen enkele twijfel over bestaan dat de AVG moet worden toegepast. 6
  13. De e-Privacyrichtlijn en de AVG bevatten tal van bepalingen waaruit blijkt dat het uitgangspunt is dat beide rechtsinstrumenten tegelijk van toepassing zijn.
  14. De e-Privacyrichtlijn ‘specifieert’ de bepalingen van de AVG in de sector van de elektronische communicatie,7 maar dat betekent geenszins dat de toepassing van de AVG uitgesloten is 4 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, Pb.
(1995)L 281/31. Zie ook art. 94, lid 2, AVG: “Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar deze verordening.” 5 Conclusie van Advocaat-Generaal Collins in H.v.J., C-129/21, Proximus, 28 april 2022, EU:C:2022:332, § 48. 6 H.v.J. C-129/21, Proximus, 27 oktober 2022, EU:C:2022:833, § 51 e.v. 7 Art. 1, lid 2, e-Privacyrichtlijn: “Voor op de doelstellingen van lid 1 vormen de bepalingen van deze richtlijn een specificatie van en een aanvulling op Richtlijn 95/46/EG. Bovendien voorzien zij in bescherming van de rechtmatige belangen van abonnees die rechtspersonen zijn.” Zie ook H.v.J., C-543/09, Deutsche Telekom, 5 mei 2011, EU:C:2011:279, § 50; C-40/17, Fashion ID, conclusie AG Bobek, 19 december 2018, EU:C:2018:1039, § 114. Zie ook Europees Comité voor Gegevensbescherming (EDPB), Advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, met name wat betreft de taken en bevoegdheden van gegevensbeschermingsautoriteiten, 12 maart 2019, §§ 37-42, beschikbaar op Beslissing ten gronde 38/2023 - 10/26 telkens gebruik wordt gemaakt van elektronische communicatiemiddelen. Integendeel: overweging 10 van de e-Privacyrichtlijn stelt uitdrukkelijk dat (eigen benadrukking): − “[i]n de sector elektronische communicatie […] [de AVG] van toepassing [is], met name op alle aangelegenheden met betrekking tot de bescherming van fundamentele rechten en vrijheden die niet specifiek onder het bepaalde in deze richtlijn vallen, met inbegrip van de plichten van de verantwoordelijke en de rechten van personen”.8 36. Ook de AVG bepaalt dat zij in beginsel tegelijk van toepassing is met de e-Privacyrichtlijn in de sector van elektronische communicatie. Artikel 95 AVG stipuleert namelijk (eigen benadrukking): − “Deze verordening legt natuurlijke personen of rechtspersonen geen aanvullende verplichtingen op met betrekking tot verwerking in verband met het verstrekken van openbare elektronische-communicatiediensten in openbare communicatienetwerken in de Unie, voor zover zij op grond van Richtlijn 2002/58/EG onderworpen zijn aan specifieke verplichtingen met dezelfde doelstelling”. 37. Aldus hanteert de AVG een bijzondere invulling van het concept lex specialis, waarbij het moet gaan om (
  1. i)een verplichting (en dus niet om een regel in het algemeen) (
  2. ii)die specifieker is dan de algemene verplichting in de AVG en die bovendien ook (iii) dezelfde doelstelling nastreeft als die algemene verplichting. De AVG koppelt aan het bestaan van een specifieke verplichting in de richtlijn allerminst het gevolg dat de AVG in haar geheel niet meer van toepassing zou zijn. Het gaat er enkel om dat, als zowel de AVG als de richtlijn een verplichting bevatten met eenzelfde doelstelling, de specifieke verplichting uit de richtlijn moet worden toegepast en niet de algemene verplichting uit de AVG. Voor al het overige blijft de AVG wel degelijk van toepassing op gegevensverwerkingen via elektronische communicatiemiddelen. 38. Het Hof van Justitie9 heeft recent bovendien verduidelijkt dat niet élke verplichting die in de e-Privacyrichtlijn voorkomt automatisch een ‘specifieke verplichting’ in de zin van artikel 95 AVG uitmaakt. In de zaak Proximus sprak het Hof zich uit over de vraag of de eis van een abonnee tot verwijdering van zijn persoonsgegevens uit een telefoongids – een recht dat de abonnee in die bewoordingen werd toegekend door artikel 12, lid 2, van de e-Privacyrichtlijn – een uitoefening vormde van het recht op gegevenswissing in de zin van artikel 17 AVG. Aangezien artikel 12, lid 2, van de richtlijn zelf niet naar de AVG verwees en evenmin identieke bewoordingen gebruikte, argumenteerde de verwerkingsverantwoordelijke dat het recht om gegevens te laten verwijderen een specifieke verplichting was en dat dit tot gevolg had dat de https://edpb.europa.eu/sites/default/files/files/file1/201905_edpb_opinion_eprivacydir_gdpr_interplay_nl.pdf. 8 Overw. 10 e-Privacyrichtlijn: “In de sector elektronische communicatie is Richtlijn 95/46/EG van toepassing, met name op alle aangelegenheden met betrekking tot de bescherming van fundamentele rechten en vrijheden die niet specifiek onder het bepaalde in deze richtlijn vallen, met inbegrip van de plichten van de verantwoordelijke en de rechten van personen. Richtlijn 95/46/EG is van toepassing op niet-openbare communicatiediensten.” 9 H.v.J., C-129/21, Proximus, 27 oktober 2022, EU:C:2022:833, § 57. Beslissing ten gronde 38/2023 - 11/26 toepassing van artikel 17 AVG op grond van artikel 95 AVG moest worden uitgesloten. Het Hof van Justitie sprak dit tegen met de volgende redenering (eigen benadrukking): − “61 In de eerste plaats moet erop worden gewezen dat abonnees volgens artikel 12, lid 2, tweede volzin, van richtlijn 2002/58 met name de gelegenheid moeten krijgen om de hen betreffende persoonsgegevens te laten verwijderen uit openbare abonneelijsten. − 62 Het feit dat abonnees die mogelijkheid wordt geboden, houdt voor aanbieders van abonneelijsten echter geen specifieke verplichting in de zin van artikel 95 AVG in, op grond waarvan de toepassing van de relevante bepalingen van deze verordening zou kunnen worden uitgesloten. Zoals de advocaat-generaal in punt 54 van zijn conclusie in wezen heeft opgemerkt, bevat [de e-Privacyrichtlijn] namelijk geen aanwijzingen aangaande de modaliteiten, de uitvoering en de gevolgen van verzoeken tot verwijdering van persoonsgegevens. De bepalingen van de AVG kunnen derhalve worden toegepast in een dergelijk geval, zoals overigens blijkt uit overweging 10 van deze richtlijn juncto artikel 94 van deze verordening.”10 39. Het Hof oordeelde dus dat artikel 12, lid 2, van de richtlijn geen ‘specifieke verplichting’ vormde omdat de details van de uitvoering van dit recht niet in de richtlijn waren vastgelegd en de bepalingen van de AVG dus nog perfect konden worden toegepast. Bijgevolg paste het Hof het uitgangspunt van artikel 95 AVG toe, namelijk dat de AVG van toepassing blijft, samen met de e-Privacyrichtlijn, in de sector van de elektronische communicatie. 40. Wat betreft direct marketing, bevat de AVG verschillende bepalingen die uitdrukkelijk het gebruik van persoonsgegevens voor direct marketing regelen. Ten eerste stipuleert artikel 21, tweede tot vierde lid, AVG dat de betrokkene, “wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt”, te allen tijde bezwaar moet kunnen maken tegen het gebruik van zijn gegevens. Indien hij dat doet, mogen de gegevens niet langer worden gebruikt voor direct marketing. Dit recht van bezwaar moet uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene worden gebracht en duidelijk gescheiden van enige andere informatie worden weergegeven. 11 41. Ten tweede verduidelijkt overweging 47 van de preambule van de AVG dat toestemming niet de enige mogelijke rechtsgrond is voor een verwerking ten behoeve van direct marketing. De verwerkingsverantwoordelijke kan zich ook op een gerechtvaardigd belang beroepen in de zin van artikel 6.1, f, AVG (eigen benadrukking): 10 11 H.v.J., C-129/21, Proximus, 27 oktober 2022, EU:C:2022:833, § Dat het bezwaar kosteloos moet kunnen worden uitgeoefend, zoals artikel 13, lid 2, van de e-Privacyrichtlijn voorschrijft, volgt eveneens uit overweging 70 van de preambule van de AVG (eigen benadrukking): “Wanneer persoonsgegevens worden verwerkt ten behoeve van direct marketing dient de betrokkene, ongeacht of het een aanvankelijke dan wel een verdere verwerking betreft, het recht te hebben te allen tijde en kosteloos bezwaar te maken tegen deze verwerking, ook in het geval van profilering voor zover deze betrekking heeft op de direct marketing. Dat recht moet uitdrukkelijk, op duidelijke wijze en gescheiden van overige informatie, onder de aandacht van de betrokkene worden gebracht.” Beslissing ten gronde 38/2023 - 12/26 − “
(47)[…] De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang”. 42. In tegenstelling tot wat de verweerder voorhoudt, kan uit deze zin niet worden afgeleid dat de verwerking van persoonsgegevens voor direct marketing doeleinden per se “noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde” (artikel 6.1, f, AVG) omdat dit deel uitmaakt van de normale bedrijfsvoering van elke onderneming, laat staan dat die belangen ook per se zwaarder zouden wegen dan de belangen of grondrechten van de betrokkenen. 43. Overweging 47 AVG spreekt zich hier enkel uit over de eerste stap van de drieledige toets van artikel 6, lid 1, onder f, AVG (doeltoets, noodzakelijkheidstoets, belangenafweging) en geeft dus eenvoudigweg te kennen dat direct marketing moet worden aanvaard als een legitiem doel, meer bepaald een gerechtvaardigd belang van de verwerkingsverantwoordelijke. Tenzij de verwerkingsverantwoordelijke voor die verwerking toestemming heeft verkregen van de betrokkene, dan zal hij dus de door artikel 6.1, f, AVG voorgeschreven belangenafweging moeten maken. De limitatieve voorwaarden waaronder een verwerking van persoonsgegevens volgens artikel 6. 1, AVG rechtmatig is, blijven van toepassing, ook al valt de verwerking tevens onder de e-Privacyrichtlijn. 44. De lezing die de verweerder aan artikel 13, lid 2 van de e-Privacyrichtlijn geeft, namelijk dat voor direct marketing via e-mail geen belangenafweging vereist is, is manifest onverenigbaar met artikel 8 van het Handvest van de Grondrechten van de Europese Unie (‘het Handvest’) en het evenredigheidsbeginsel in artikel 52, lid 1, van het Handvest. Die laatste bepaling schrijft immers voor dat aan de uitoefening van de in het Handvest erkende rechten en vrijheden “slechts beperkingen [kunnen] worden gesteld, indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan de door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen”. De noodzakelijkheidstoets en de belangenafweging die artikel 6. 1,
  1. f)AVG vereist wanneer een beroep wordt gedaan op een gerechtvaardigd belang geven dus uitvoering aan primair Unierecht, waarvan artikel 13, lid 2, van de e-Privacyrichtlijn niet kan afwijken. Aangezien zowel het Unierecht als de nationale omzetting ervan grondrechtenconform moet worden uitgelegd,12 moet artikel 13, lid 2, van de e-Privacyrichtlijn zo worden gelezen dat zij, wat de rechtsgrond betreft, wordt aangevuld door het algemene artikel 6.1,
  2. f)AVG. 45. Het kan niet redelijk worden volgehouden dat de AVG niet van toepassing zou zijn op direct marketing via e-mail en via andere kanalen. Artikel 13 van de e-Privacyrichtlijn kan niet los van de algemene regels van de AVG worden toegepast, net zo min als artikel 12, lid 2, van die richtlijn, zoals uitgelegd door het Hof in de zaak Proximus. Artikel 13 van de e-Privacyrichtlijn 12 H.v.J. C-569/16 en C-570/16, Bauer, 6 november 2018, EU:C:2018:871. Beslissing ten gronde 38/2023 - 13/26 bepaalt bijvoorbeeld niet wat de gevolgen zijn van het uitoefenen van het bezwaarrecht, terwijl op dit punt probleemloos artikel 21, lid 3, AVG kan worden toegepast. Evenmin zegt artikel 13 van de richtlijn iets over de informatieverplichting van de verwerkingsverantwoordelijke. Om die redenen moet het uitgangspunt van artikel 95 AVG en overweging 10 van de richtlijn ook hier gelden, namelijk dat de AVG en de richtlijn beide van toepassing zijn. 46. De verweerder brengt hier tegenin dat artikel 6 van de e-Privacyrichtlijn (verwerking van ‘verkeersgegevens’) volgens advies 5/2019 van het Europees Comité voor Gegevensbescherming13 voorrang moet krijgen op de AVG omdat die bepaling de voorwaarden waaronder verkeersgegevens kunnen worden verwerkt expliciet beperkt. Luidens dit advies kan wat dergelijke gegevens betreft dus geen beroep worden gedaan op het volledig scala aan rechtmatigheidsgronden van artikel 6 AVG. De Geschillenkamer kan dit standpunt geenszins bijtreden voor wat de toepassing hiervan op direct marketing betreft. In tegenstelling tot wat het geval is voor de verwerking van verkeersgegevens, bevat de AVG verschillende bepalingen die specifiek betrekking hebben op direct marketing en die hierboven zijn genoemd: voor direct marketing kan volgens overweging 47 AVG een beroep worden gedaan op de rechtsgrond van het gerechtvaardigd belang en artikel 21, lid 2, AVG heeft specifiek betrekking op het bezwaarrecht in de context van direct marketing (artikel 21). Bovendien heeft het Hof van Justitie in het arrest Proximus verduidelijkt dat, zelfs wanneer de e-Privacyrichtlijn specifieke bepalingen bevat over de toegestane rechtsgrond, alsnog artikel 6, lid 1, AVG moet worden toegepast. Bevoegdheid GBA 47. Volgens de verweerder zou de GBA niet bevoegd zijn om de (nationale omzetting van
  3. de)e-Privacyrichtlijn te handhaven omdat deze bevoegdheid door de Belgische wetgever aan de FOD Economie werd toegewezen. Bovendien zou uit advies 5/2019 van het Europees Comité voor Gegevensbescherming blijken dat de GBA haar onderzoek in een dergelijk geval moet beperken tot de verwerkingshandelingen die niet onder bijzondere regels van de ePrivacyrichtlijn vallen. 48. De Geschillenkamer weerlegt dit. Nog los van het feit dat de FOD Economie niet kan worden aangemerkt als een onafhankelijke toezichthouder in de zin van artikel 8, lid 3, van het Grondrechtenhandvest van de Europese Unie, en reeds om die reden niet kan worden belast met het toezicht, voor zover dit toezicht de verwerking van persoonsgegevens betreft, 14 omschrijft artikel 4, § 1, WOG de bevoegdheid van de GBA zoals reeds boven gezegd, ruim. Deze 13 Europees Comité voor Gegevensbescherming (EDPB), Advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn en de algemene verordening gegevensbescherming, met name wat betreft de taken en bevoegdheden van gegevensbeschermingsautoriteiten, 12 maart 2019, beschikbaar op https://edpb.europa.eu/sites/default/files/files/file1/201905_edpb_opinion_eprivacydir_gdpr_interplay_nl.pdf. 14 Zie verder punten 52-56 hieronder. Beslissing ten gronde 38/2023 - 14/26 strekt zich uit tot “het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens”. Zodoende is de GBA niet alleen bevoegd om toezicht te houden op de AVG, die als rechtstreeks toepasselijke wetgevingshandeling (op grond van artikel 288 van het Verdrag inzake de Werking van de Europese Unie) automatisch deel uitmaakt van de Belgische rechtsorde, maar eveneens op nationale wetten die bepalingen bevatten inzake de verwerking van persoonsgegevens, zoals de nationale wetsbepalingen die de e-Privacyrichtlijn omzetten. 49. Uit de voorbereidende werken van de WOG blijkt dat de wetgever, na opmerkingen van de Raad van State in die zin, bewust heeft gekozen voor een formulering van de bevoegdheid van de GBA die veel ruimer was dan louter de bevoegdheid om de AVG te handhaven (eigen benadrukking): − “De Raad van State haalt terecht aan dat de Commissie voor de bescherming van de persoonlijke levenssfeer krachtens de wet op de persoonlijke levenssfeer materieelrechtelijk een ruimere bevoegdheid heeft dan degene die wordt toegekend aan de Gegevensbeschermingsautoriteit op basis van de Verordening 2016/679. Los van de toekomstige kaderwet ter vervanging van de wet op de persoonlijke levenssfeer stelt zich dus de algemeen de vraag naar de verhouding van de Gegevensbeschermingsautoriteit tot deze bijkomende materieelrechtelijke dimensie, niet alleen ten opzichte van de wet op de persoonlijke levenssfeer maar ook ten aanzien van andere wetgeving krachtens dewelke bijkomende opdrachten toekomen aan de autoriteit die toezicht houdt op wetgeving die bepalingen bevatten inzake de verwerking van persoonsgegevens. Om hieraan tegemoet te komen werd verduidelijkt dat de Gegevensbeschermingsautoriteit verantwoordelijk is voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens in het kader van deze wet en andere wetgeving die de verwerking van persoonsgegevens omvatten.” 15 50. Het werd dus wenselijk geacht dat de materiële bevoegdheid van de GBA ruimer zou zijn dan het toezicht op de naleving van de AVG. De materiële bevoegdheid moest zo worden omschreven dat de GBA ook toezicht kon houden op andere wetgeving inzake gegevensbescherming en zelfs op de naleving van bepalingen inzake de verwerking van persoonsgegevens in enige andere wetgeving. Er kan dus niet worden betwist dat de wetgever met artikel 4, § 1, WOG duidelijk de intentie had om de GBA ook de bevoegdheid toe te kennen om toezicht te houden op (onder meer) de nationale omzetting van de e-Privacyrichtlijn. 51. De bevoegdheid van de Geschillenkamer volgt de materieelrechtelijke bevoegdheidsomschrijving van de GBA. Overeenkomstig artikel 33, § 1, WOG is de Geschillenkamer namelijk “het administratief geschillenorgaan van de Gegevensbeschermingsautoriteit”. Uit geen enkele bepaling van de WOG blijkt dat de 15 Parl. St. Kamer 2016-2017, nr. 54-2648/001, 9. Beslissing ten gronde 38/2023 - 15/26 Geschillenkamer slechts geschillen zou mogen beslechten die betrekking hebben op de AVG. Integendeel: artikel 60 WOG eist slechts dat een klacht die wordt ingediend bij de eerstelijnsdienst “behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit” en artikel 63, 6°, WOG laat de inspectiedienst toe om zichzelf te vatten “wanneer zij ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens”. In beide gevallen is de materiële bevoegdheid om kennis te nemen van een mogelijke inbreuk op het gegevensbeschermingsrecht dus aanzienlijk ruimer dan de AVG. 52. De verweerder leidt de onbevoegdheid van de GBA af uit het feit dat het Wetboek Economisch Recht (“WER”) de handhaving van de nationale omzetting van de relevante bepalingen van de e-Privacyrichtlijn aan de FOD Economie zou toewijzen. Deze bevoegdheidstoedeling zou de bevoegdheid van de GBA uitsluiten. De verweerder meent voor deze visie steun te vinden in advies 5/2019 van het Europees Comité voor Gegevensbescherming. 53. De Geschillenkamer wijst er op dat deze argumentatie onjuist is. Zoals blijkt uit artikel 15bis, derde lid, van de e-Privacyrichtlijn belet niets een lidstaat om desgevallend meerdere nationale organen aan te stellen om de bepalingen van die richtlijn te handhaven. 16 Uit een eventuele bevoegdheidstoedeling aan de FOD Economie kan dus geenszins worden afgeleid dat de GBA automatisch onbevoegd zou zijn om de handhaving van de e-Privacyrichtlijn te verzekeren. 54. Eerder dan dit tegen te spreken bevestigt het voormelde advies 5/2019 net dat de lidstaten meerdere autoriteiten mogen aanwijzen die toezicht houden op de naleving van het nationaal recht tot omzetting van de e-Privacyrichtlijn.17 Bovendien onderstreept het advies dat de gegevensbeschermingsautoriteiten in ieder geval bevoegd zijn om de AVG toe te passen op gegevensverwerkingen, ook in de context waarin andere autoriteiten krachtens de nationale omzetting van de e-Privacyrichtlijn bevoegd zouden zijn om toezicht te houden op bepaalde elementen van de verwerking van persoonsgegevens: − “De gegevensbeschermingsautoriteiten zijn bevoegd om de AVG te handhaven. Het enkele feit dat een subgedeelte van de verwerking binnen het toepassingsgebied van de e-[P]rivacyrichtlijn valt, beperkt de bevoegdheid van de gegevensbeschermingsautoriteiten uit hoofde van de AVG niet.” 18 16 Artikel 15bis, derde lid, e-Privacyrichtlijn: “De lidstaten zorgen ervoor dat de bevoegde nationale instantie en, in voorkomend geval, andere nationale organen over de nodige onderzoeksbevoegdheden en -middelen beschikken, […]”. Zie ook overweging 117 van de preambule van de AVG: “[…] De lidstaten moeten de mogelijkheid hebben om in overeenstemming met hun constitutionele, organisatorische en bestuurlijke structuur meer dan één toezichthoudende autoriteit in te stellen”. 17 Advies 5/2019, supra n. 13, § 74. 18 Ibid., § 69. Beslissing ten gronde 38/2023 - 16/26 55. Vanzelfsprekend mogen zij de e-Privacyrichtlijn slechts toepassen indien zij krachtens het nationale recht daartoe bevoegd zijn.19 Zoals eerder aangetoond is dat wel degelijk het geval. 56. Daarenboven moet worden vastgesteld dat de FOD Economie, in tegenstelling tot de GBA, niet aan de vereisten van artikel 8 van het Handvest van de Grondrechten van de Europese Unie voldoet en dus niet voor nationale toezichthouder op de naleving van de e-Privacyrichtlijn kan doorgaan. Het derde lid van artikel 8 van het Handvest schrijft namelijk uitdrukkelijk voor dat een “onafhankelijke autoriteit” erop moet toezien dat de Uniewetgeving ter bescherming van het grondrecht op de bescherming van persoonsgegevens wordt nageleefd. Deze onafhankelijkheid wordt onder meer in de artikelen 52 en 53 AVG en overwegingen 117 tot 122 verder uitgewerkt en gaat gepaard met een verbod om van wie dan ook instructies te aanvaarden. Het spreekt voor zich dat de FOD Economie, als onderdeel van de uitvoerende macht, niet aan deze onafhankelijkheidsvereiste voldoet en daarom niet als een onafhankelijke autoriteit in de zin van artikel 8, derde lid, van het Handvest kan gelden. 57. De bevoegdheid van de Geschillenkamer voor de toepassing en handhaving van zowel de AVG, als de ePrivacy-richtlijn staat dus onomstotelijk vast.
  4. c)Beginsel van doelbinding en rechtmatigheid van de verwerking. 58. De Inspectiedienst stelt dat, voor wat betreft de website mystamp.bpost.be (MyStamp), alsook voor parcel.bpost.be (SML) het beginsel van doelbinding wordt geschonden door in de verplicht te aanvaarden algemene voorwaarden een automatische koppeling te maken tussen de eigen direct marketing en de reclamenetwerken van derden. Volgens de Inspectiedienst betreft het een koppeling van totaal verschillende, onverenigbare verwerkingen, namelijk de bestelling en het gebruik voor twee onverenigbare vormen van direct marketing. Zo stelt de Inspectiedienst ook nog dat de verweerder niet het doel en de middelen bepaalt van de reclameplatformen van onder meer Google en Facebook, en dat de betrokkene het recht heeft om duidelijk te worden geïnformeerd over elk gebruiksdoeleinde dat zal worden gemaakt van de verstrekte gegevens. 59. De Geschillenkamer verduidelijkt dat in tegenstelling tot wat het inspectieverslag laat uitschijnen, er in voorliggend geval geen sprake is van enige onverenigbare verwerking in de zin van de AVG. Het is wel degelijk mogelijk om persoonsgegevens te verwerken voor meerdere onderscheiden doeleinden, mits die doeleinden van bij aanvang duidelijk worden kenbaar gemaakt aan de betrokkene en deze hierover dus wordt geïnformeerd bij de gegevensinzameling. De verweerder heeft de persoonsgegevens van de klager voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld (artikel 5.1
  5. b)AVG), namelijk voor het plaatsen van een bestelling én voor direct marketing, en heeft hem 19 Ibid., § 75. Beslissing ten gronde 38/2023 - 17/26 hierover geïnformeerd op het ogenblik van de gegevensinzameling in het kader van het bestelproces. 60. Een onverenigbare verwerking in de zin van artikel 5.1
  6. b)AVG is slechts aanwezig indien de reeds ingezamelde gegevens door de verwerkingsverantwoordelijk nà de gegevensinzameling worden verwerkt voor een ander doeleinde dan initieel werd meegedeeld en dit doeleinde van de voorgenomen verdere verwerking onverenigbaar is met de oorspronkelijke doeleinden20. Dit is in casu niet het geval, aangezien de verweerder elk van de verwerkingsdoeleinden heeft meegedeeld op het ogenblik van de gegevensinzameling. 61. Bovendien is er voor de gegevensverwerking van elk van beide doeleinden een rechtsgrond (artikel 6 AVG). De gegevensverwerking met het oog op het plaatsen van een bestelling is gebaseerd op art. 6.1
  7. b)AVG en de verwerking van de aldus verkregen gegevens met het oog op direct marketing is gebaseerd op artikel 6.1
  8. f)AVG. Daartoe verwijst de verweerder naar de privacyverklaring waarin per doeleinde de rechtsgronden zijn vermeld. Zo heeft de verweerder ook tijdens de hoorzitting nog uitdrukkelijk verwezen naar de tick box waarin is opgenomen “Ik aanvaard de algemene voorwaarden en werd geïnformeerd over de erin beschreven verwerking van mijn persoonsgegevens, zoals het gebruik ervan door bpost om mij te informeren over gelijkaardige diensten en acties van bpost. U kan zich op elk moment via elke e-mail uitschrijven”. Deze tick box is nodig in het kader van een verkoop op afstand en door deze tick box aan te kruisen gaat de klant akkoord met de algemene voorwaarden en de privacyverklaring. Hiermee voldoet de verweerder aan zijn informatieplicht en wordt op geen enkele manier toestemming van de klant gevraagd noch wordt door hem toestemming gegeven voor een verwerking van persoonsgegevens. De tick box toont louter aan dat de klant zich in het bestelproces bevindt en de nodige informatie werd gegeven opdat er een contract tot stand zou kunnen komen. De Geschillenkamer is dan ook van oordeel dat de verwerking van de persoonsgegevens verzameld in het kader van het bestelproces rechtmatig is op grond van artikel 6.1
  9. b)AVG. 62. Bovendien beschikt de verweerder ten aanzien van zijn klanten over de mogelijkheid om de betreffende persoonsgegevens te verwerken met het oog op direct marketing op grond van het gerechtvaardigd belang (artikel 6.1
  10. f)AVG), mits de voorwaarden hiertoe zijn vervuld. 63. Overeenkomstig de rechtspraak van het Hof van Justitie van de Europese Unie dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(
  11. n)aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van 20 A contrario, zie overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Beslissing ten gronde 38/2023 - 18/26 de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”21). 64. Teneinde zich conform artikel 6.1
  12. f)AVG te kunnen beroepen op de rechtmatigheidsgrond van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te tonen dat: 1. de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); 2. de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en 3. de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”). 65. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van oordeel dat het doeleinde dat erin bestaat de eigen producten en diensten van de verweerder via verscheidene kanalen te promoten, kan worden aangemerkt als een gerechtvaardigd belang. Het belang dat de verweerder als verwerkingsverantwoordelijke nastreeft, kan overeenkomstig overweging 47 AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste voorwaarde vervat in artikel 6.1,
  13. f)AVG. 66. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende verwerking voor de betrokkenen. Teneinde haar klanten te kunnen bereiken voor het promoten van gelijkaardige diensten en acties dient de verweerder de contactgegevens van haar klanten te kunnen aanwenden voor commerciële acties. Zonder deze contactgegevens is het voor de verweerder eenvoudigweg niet mogelijk om de klanten te bereiken ter promotie van dergelijke commerciële acties. De noodzaak om de klantgegevens ook voor commerciële doeleinden te gebruiken staat aldus vast. Daartegenover staat het recht van bezwaar van de klager dat te allen tijde en zonder enige motivering kan worden uitgeoefend en waaraan door de verweerder zonder meer gevolg dient te worden gegeven. In concreto is daaraan ook gevolg gegeven door de verweerder die een stuk bijbrengt dat aantoont dat op het ogenblik van ontvangst in haar systemen van persoonsgegevens uit het bestelproces, een 21 HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5AScaraA, overweging 40. Beslissing ten gronde 38/2023 - 19/26 opt-out e-mail aan de klanten van MyStamp verstuurt met informatie over de mogelijkheid om zich te verzetten tegen gebruik voor direct marketing en het verzet eenvoudig, i.e. door één enkele klik, kan worden uitgeoefend. De verweerder weerlegt hiermee de bewering van de Inspectiedienst dat geen recht van verzet wordt aangeboden, aangezien de vaststelling van de Inspectiedienst is gebaseerd op een gesimuleerde en niet gefinaliseerde aankoop, maar die niet heeft geleid tot een daadwerkelijke bestelling waardoor de Inspectiedienst de opt-out email niet heeft ontvangen. 67. Aan de hand van bijgebrachte stukken toont de verweerder ook aan dat hij in het kader van het bestelproces van SML praktische en operationele informatie aan de betrokkenen verstrekt omtrent de uitoefening van rechten waaronder het recht van bezwaar, dit in zowel de algemene voorwaarden van SML, als in de specifieke privacyverklaring voor SML. Hetzelfde geldt voor de eShop, waaromtrent de verweerder evenzeer aantoont op basis van stukken dat de betrokkene tijdens het bestelproces eerst door verwijzing naar de privacyverklaring wordt geïnformeerd over de verwerkingsactiviteiten die de verweerder uitvoert voor direct marketing en de betrokkene een verzetsmogelijkheid wordt aangeboden via de checkbox in het bestelproces. Naar het oordeel van de Geschillenkamer komt de verweerder hiermee tegemoet aan de vereisten gesteld door artikel 12.1 en 12.2 AVG. 68. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1,
  14. f)AVG - de zogenaamde “afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden” 22. 69. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc M5A-ScaraA” van 11 december 201923, waarin het stelt: “Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn of haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van het geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan verwachten”. 70. Reeds op het ogenblik van de gegevensinzameling in het kader van het plaatsen van de bestelling wordt aan de klant meteen duidelijk gemaakt dat diezelfde gegevens ook voor direct marketing kunnen worden aangewend. Beide initiële doeleinden, namelijk de gegevensverwerking voor de uitvoering van de bestelling enerzijds en de contactname voor 22 Overweging 47 AVG. 23 HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58. Beslissing ten gronde 38/2023 - 20/26 direct marketing anderzijds, zijn van bij aanvang gekend door de klant doordat de verweerder hem hierover uitdrukkelijk informeert. Hierdoor is het voor de klant van bij het begin duidelijk dat hij er zich aan kan verwachten te worden gecontacteerd voor commerciële acties. Ook aan de derde voorwaarde is bijgevolg voldaan. 71. Hierbij wijst de Geschillenkamer er volledigheidshalve op dat de verkregen gegevens enkel en alleen door de verweerder zelf worden gebruikt voor direct marketing, namelijk voor het verstrekken van informatie over gelijkaardige diensten aangeboden door de verweerder. 72. Dat de verweerder de in het kader van het bestelproces verkregen persoonsgegevens kan aanwenden voor reclamedoeleinden met betrekking tot gelijkaardige diensten volgt uit artikel XII.13 WER24 zoals vastgelegd in het KB elektronische post25 en uit de bepalingen van artikel VI.110 e.v. WER voor het versturen van direct marketing via andere kanalen. De redelijke verwachtingen van de betrokkenen kunnen met andere woorden ook uit deze bepalingen van de WER worden afgeleid. De Geschillenkamer verduidelijkt dit hieronder. 73. Voor elektronische post bepaalt artikel 1 van het KB elektronische post immers (eigen onderlijning): “Artikel 1. In afwijking van artikel 14, § 1, eerste lid van de wet van 11 maart 2003 betreffende bepaalde juridische aspecten van de diensten van de informatiemaatschappij, en onverminderd hetgeen bepaald is in artikel 2 van dit besluit, is elke dienstverlener ervan vrijgesteld de voorafgaande toestemming te vragen om reclame per elektronische post te ontvangen : 1° bij zijn klanten, natuurlijke of rechtspersonen, indien elk van de volgende voorwaarden vervuld is :
  15. a)hij heeft rechtstreeks hun elektronische contactgegevens verkregen in het kader van de verkoop van een product of een dienst, mits de wettelijke en reglementaire voorwaarden betreffende de bescherming van de private levenssfeer nageleefd zijn;
  16. b)hij gebruikt de beschouwde elektronische contactgegevens uitsluitend voor gelijkaardige producten of diensten die hijzelf levert;
  17. c)hij geeft aan de klanten, op het ogenblik waarop hun elektronische contactgegevens worden verzameld, de mogelijkheid om zich kosteloos en op gemakkelijke wijze tegen de uitbating te verzetten. 2° bij rechtspersonen als de elektronische contactgegevens die hij met dat doel gebruikt onpersoonlijk zijn.” 74. Voor direct marketing via andere kanalen dan elektronisch post stelt artikel VI.110, §2 WER het volgende (eigen onderlijning): «Art. VI.110. § 1. Het gebruik van geautomatiseerde oproepsystemen zonder menselijke tussenkomst en het gebruik van faxen met het oog op direct marketing, zijn verboden zonder de voorafgaande, vrije, specifieke en geïnformeerde toestemming van de geadresseerde van de boodschap. 24 Wetboek Economisch Recht 25 Koninklijk besluit van 4 april 2003 tot reglementering van het verzenden van reclame per elektronische post Beslissing ten gronde 38/2023 - 21/26 De persoon die zijn toestemming heeft gegeven kan deze te allen tijde terugtrekken, zonder daarvoor een reden op te geven en zonder dat hem daarvoor enige kosten kunnen worden ten laste gelegd. De bewijslast dat om de overgebrachte communicatie werd verzocht via een techniek vermeld in of vastgesteld met toepassing van deze paragraaf, berust op de afzender. Bij een besluit, vastgesteld na overleg in de Ministerraad, kan de Koning het verbod bedoeld in het eerste lid uitbreiden tot andere dan de aldaar vermelde communicatietechnieken, rekening houdend met de evolutie ervan. § 2. Onverminderd artikel XII.13 is het gebruik van andere dan de in paragraaf 1 bedoelde technieken voor het overbrengen van ongevraagde communicatie met het oog op direct marketing toegestaan, voor zover de geadresseerde, natuurlijke of rechtspersoon, zich hiertegen niet kennelijk heeft verzet of, voor wat betreft direct marketing naar abonnees, mits inachtneming van de bepalingen voorzien in de artikelen VI.111 tot VI.115. […]” 75. Uit de feitelijke elementen van het dossier blijkt overigens geenszins dat deze gegevens ter beschikking worden gesteld aan derden die ze op hun beurt voor eigen direct marketingdoeleinden gebruiken zoals het inspectieverslag veronderstelt. De Inspectiedienst alludeert op een verkoop of verhuur van persoonsgegevens aan een derde partij voor de gevallen waarin de verweerder gebruik maakt van een sociaal mediaplatform door te stellen dat de persoonsgegevens verkregen voor de uitvoering van de overeenkomst automatisch worden gekoppeld niet alleen aan het gebruik van de persoonsgegevens voor direct marketing voor gelijkaardige diensten die door de verweerder worden aangeboden, maar ook aan het gebruik voor de reclameplatformen van niet limitatief opgesomde derden (“Google, Facebook, Twitter, LinkedIn,…”). Volgens de Inspectiedienst gaat het hier om een koppeling van totaal verschillende, onverenigbare verwerkingen en is er automatische koppeling van een bestelling aan het gebruik voor twee onverenigbare vormen van direct marketing waarbij de verweerder niet het doel en de middelen bepaalt van de reclameplatformen van onder meer Google en Facebook. 76. De Geschillenkamer dient hierbij vast te stellen dat de bewering van de Inspectiedienst dat derden de persoonsgegevens van klanten van de verweerder aanwenden voor eigen direct marketing doeleinden niet werd onderzocht en zich in het dossier bijgevolg geen elementen bevinden ter ondersteuning ervan. 77. De Geschillenkamer is van oordeel dat de verweerder zich voor wat betreft de direct marketing activiteiten terecht beroept op artikel 6.1
  18. f)AVG en de gegevensverwerking in het kader van het bestelproces terecht wordt gebaseerd op artikel 6.1
  19. b)AVG. De Geschillenkamer besluit eveneens dat er geen elementen worden aangebracht waaruit blijkt dat de verweerder met betrekking tot de diensten MyStamp en SML zou hebben gehandeld in strijd met de vereisten van artikel 5.1
  20. b)AVG, alsmede artikel 12.1 en 12.2 AVG. Beslissing ten gronde 38/2023 - 22/26
  21. d)Beginsel van minimale gegevensverwerking 78. Volgens de Inspectiedienst schendt de verweerder het beginsel van minimale gegevensverwerking (artikel 5.1
  22. c)AVG) door enerzijds de afhandeling van de bestelling automatisch te koppelen aan meer persoonsgegevens dan noodzakelijk, met name het GSMnummer en anderzijds eenzijdig te bepalen dat de persoonsgegevens voor de bestelling passeren via meer verwerkingen dan noodzakelijk (reclameplatformen van derden), en dit zowel voor de dienst MyStamp als de pakjesdienst (SML). 79. De verweerder licht toe dat voor wat betreft de dienst MyStamp op het ogenblik van de klacht inderdaad zowel het e-mailadres als het GSM-nummer van de klant, en dus ook van de klager, dienden te worden verstrekt bij het plaatsen van een bestelling. Het GSM-nummer werd toen als noodzakelijk beschouwd teneinde op een snelle manier in contact te treden met de klant in geval een leveringsprobleem zich voordeed. De verweerder benadrukt hierbij ook dat op geen enkel ogenblik het GSM-nummer werd gebruikt om klanten voor direct marketing te benaderen. Doordat het gebruik van het GSM-nummer in de praktijk sterk was afgenomen, is dit gegeven inmiddels ook geen verplicht veld meer. 80. Voor wat betreft de SML-dienst benadrukt de verweerder dat het GSM-nummer op geen enkel ogenblik een verplicht veld was en dus steeds optioneel is. 81. Uit het bovenstaande volgt dat er een afdoende verantwoording wordt gegeven door de verweerder voor de verwerking van het GSM-nummer van klanten binnen de MyStamp dienst, en dat het aan de vrije keuze van de klant wordt overgelaten om al dan niet zijn GSM-nummer te verstrekken in het kader van de SML-dienst. Aldus oordeelt de Geschillenkamer dat er geen inbreuk op artikel 5.1
  23. c)AVG kan worden weerhouden voor wat betreft de verwerking van het GSM-nummer door de verweerder. 82. De Inspectiedienst stelt dat het beginsel van minimale gegevensverwerking is geschonden doordat de verweerder gebruik kan maken van reclameplatformen van derden voor direct marketing met betrekking tot gelijkaardige producten van de verweerder. 83. De Geschillenkamer oordeelt in dit verband dat het beginsel van minimale gegevensverwerking in het onderhavige geval niet tot gevolg kan hebben dat bepaalde middelen die worden aangewend, in casu sociale mediakanalen, worden uitgesloten. Artikel 5.1
  24. c)bepaalt dat persoonsgegevens toereikend, ter zake dienend en beperkt dienen te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt waardoor persoonsgegevens alleen mogen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt,. Beslissing ten gronde 38/2023 - 23/26 84. Vastgesteld moet worden in hoeverre voor de verwerking van persoonsgegevens met het oog op direct marketing bepaalde persoonsgegevens van klanten noodzakelijkerwijs dienen te worden verwerkt. Het beginsel van minimale gegevensverwerking kan echter niet worden aangewend om te stellen dat per definitie sociale mediakanalen daartoe niet het geëigende instrument vormen. Dit beginsel beoogt enkel te beoordelen in welke mate persoonsgegevens al dan niet kunnen worden verwerkt om het doeleinde te bereiken, niet om te beoordelen of het aangewende middel om het doel te bereiken kan worden toegelaten indien reeds vaststaat dat een zekere gegevensverwerking is vereist om het doeleinde te kunnen bereiken. Er bevinden zich in het dossier ook geen elementen of bewijzen dat het gebruik van sociale mediakanalen in casu aanleiding zou gegeven hebben tot een schending van het principe van minimale gegevensverwerking. Hieruit volgt dat de Geschillenkamer besluit dat ook aangaande de aanwending van reclameplatformen van derden voor direct marketing met betrekking tot gelijkaardige producten van de verweerder, zowel voor wat betreft de dienst MyStamp en SML, er geen bewijs is voor een inbreuk op artikel 5.1
  25. c)AVG.
  26. e)Privacy by design en functionaris voor gegevensbescherming • Communicatiemogelijkheden met de verweerder 85. De Inspectiedienst stelt dat de verweerder een e-mailadres aan de klanten dient te verstrekken voor de uitoefening van de rechten naast de reeds voorziene mogelijkheid om via een online contactformulier of per post contact op te nemen. 86. Verwijzend naar artikel 13.1
  27. a)en
  28. b)AVG en artikel 14.1
  29. a)en
  30. b)AVG wijst de Geschillenkamer erop dat de AVG vereist dat “de contactgegevens van de verwerkingsverantwoordelijke” aan de betrokkene worden verstrekt, alsook “in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming”. Het staat de verwerkingsverantwoordelijke vrij de passende middelen aan te wenden om aan deze verplichting te voldoen. Dit is eveneens in lijn met de richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 van de Groep Gegevensbescherming artikel 29, waarin in bijlage is bepaald dat de informatie opgenomen in artikel 13.1
  31. a)en 14.1
  32. a)AVG bij voorkeur verschillende vormen van communicatie met de verwerkingsverantwoordelijke toelaat (bv. telefoonnummer, e-mail, postadres, etc.)26. Voor wat betreft de contactgegevens van de functionaris voor gegevensbescherming verwijzen voormelde richtsnoeren naar de richtsnoeren betreffende de functionaris voor gegevensbescherming, waarin is opgenomen dat de contactgegevens van de functionaris voor gegevensbescherming informatie moeten bevatten waarmee de betrokkenen en de toezichthoudende autoriteiten de functionaris voor gegevensbescherming 26 Article 29 Working Party Guidelines on transparency under Regulation 2016/679: “This information should allow for easy identification of the controller and preferably allow for different forms of communications with the data controller (e.g. phone number, email, postal address, etc.)” Beslissing ten gronde 38/2023 - 24/26 op een gemakkelijke manier kunnen bereiken (een postadres, een speciaal telefoonnummer en/of een speciaal e-mailadres). In voorkomend geval kunnen, met het oog op de communicatie met het publiek, ook andere communicatiemiddelen worden verstrekt bijvoorbeeld een speciale hotline of een speciaal contactformulier voor de DPO op de website van de organisatie27. 87. Doordat de verweerder heeft geopteerd voor communicatie via een online contactformulier en via de post waarbij de keuze voor een gestructureerd online contactformulier in plaats van een eenvoudige e-mail is ingegeven door het aanzienlijke aantal en de grote verscheidenheid aan verzoeken van de betrokkenen (waarbij het belangrijk is dat de verzoeken ab initio zoveel mogelijk essentiële en ter zake doende informatie bevatten, wat gemakkelijker afdwingbaar is via een contactformulier), dewelke bovendien overeenkomstig de AVG binnen een maand na ontvangst dienen te worden beantwoord, komt de Geschillenkamer tot het besluit dat de verweerder tegemoet komt aan de vereisten gesteld door artikel 13.1
  33. a)en
  34. b)AVG en artikel 14.1
  35. a)en
  36. b)AVG. • Plaats van de informatie over de communicatiemogelijkheden voor de betrokkene 88. De Inspectiedienst meent dat de hyperlink voor de uitoefening van de rechten van de betrokkene op de hoofdpagina van de website van de verweerder zou moeten worden gepubliceerd in plaats van in de privacyverklaring. Ook stelt de Inspectiedienst dat de betrokkene te veel stappen dient te ondernemen vooraleer deze de contactgegevens vindt om de verweerder op elektronische wijze te consulteren. Dit zou een schending uitmaken van artikel 12.2 AVG. 89. De verweerder toont aan dat informatie over de verwerking van persoonsgegevens, met inbegrip van de contactgegevens om een verzoek inzake uitoefening van rechten, in de privacyverklaring is opgenomen. De privacyverklaring zelf is raadpleegbaar via een hyperlink vermeld op elke pagina van hun website. 90. Op grond van artikel 12.2 AVG kan door de Geschillenkamer niet worden vastgesteld dat het een vereiste zou zijn om de hyperlink voor de uitoefening van rechten rechtstreeks op te nemen op de hoofdpagina van de website. Dit wordt evenmin vereist door de richtsnoeren inzake transparantie28, noch in de richtsnoeren betreffende de rechten van de betrokkene 29. Bovendien toont de verweerder aan dat er wel degelijk in de privacyverklaring een rechtstreekse hyperlink naar het online contactformulier is opgenomen zowel voor MyStamp, 27 Article 29 Working Party Guidelines on Data Protection Officers (‘DPOs’): “The contact details of the DPO should include information allowing data subjects and the supervisory authorities to reach the DPO in an easy way (a postal address, a dedicated telephone number, and/or a dedicated e-mail address). When appropriate, for purposes of communications with the public, other means of communications could also be provided, for example, a dedicated hotline, or a dedicated contact form addressed to the DPO on the organisation’s website.” 28 Article 29 Working Party Guidelines on transparency under Regulation 2016/679 29 Guidelines 01/2022 on data subject rights - Right of access Beslissing ten gronde 38/2023 - 25/26 SML, als voor de eShop. Op basis hiervan, alsmede ingevolge het feit dat de verweerder informatie verstrekt over de contactmogelijkheden omtrent de uitoefening van de rechten van de betrokkene, in combinatie met informatie over deze rechten, in de privacyverklaringen van zowel de algemene website, als de website voor MyStamp, SML en eShop, stelt de Geschillenkamer dat er geen inbreuk op artikel 12.2 AVG werd gepleegd en de verweerder aldus op afdoende wijze de rechten van de betrokkene faciliteert. • Het contactformulier 91. De Inspectiedienst stelt dat de wijze waarop de verweerder haar contactformulier heeft ontworpen zowel disproportioneel als disfunctioneel is in het licht van de uitoefening van de rechten van de betrokkene. Het formulier vormt volgens de Inspectiedienst een schending van het eerlijkheids- en transparantiebeginsel (artikel 5.1
  37. a)AVG) en het beginsel van minimale gegevensverwerking (artikel 5.1
  38. c)AVG), alsook van de plicht om de rechten van de betrokkene te faciliteren (artikel 12.2 AVG) en de vereiste van gegevensbescherming door ontwerp (artikel 25 AVG). 92. De verweerder voert aan dat een toelichting in het contactformulier is geïntegreerd bij elk invulveld van het formulier over het voorgenomen gebruik van die welbepaalde gegevens, precies met het oog op aanduiding van de noodzaak tot verwerking ervan. Bovendien toont de verweerder aan dat het online contactformulier een gestructureerd proces aanbiedt dat de betrokkene gidst doorheen de informatie die de verweerder nodig heeft om gevolg te kunnen geven aan een verzoek van de betrokkene, dit met het oogmerk om de uitoefening van rechten te organiseren en te faciliteren. 93. De Geschillenkamer stelt ook op dit punt vast dat het online contactformulier van de verweerder beantwoordt aan de vereisten van artikel 5.1
  39. a)AVG, artikel 5.1
  40. c)AVG, artikel 12.2 AVG en artikel 25 AVG. III. Publicatie van de beslissing 94. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit, mét vermelding van de identificatiegegevens van de verweerder. Deze vermelding wordt verantwoord door de onvermijdelijke heridentificatie van de verweerder in geval van pseudonimisering. Beslissing ten gronde 38/2023 - 26/26 OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om op grond van artikel 100, §1, 1° WOG, voorliggende klacht te seponeren gelet op het feit dat er dienaangaande geen inbreuk op de AVG kan worden vastgesteld. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 30. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.31, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 30 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 31 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.