1/16 Geschillenkamer Beslissing ten gronde 40/2023 van 3 april 2023 Dossiernummer : DOS-2022-01387 Betreft : Weigering tot inzage van persoonsgegevens na beëindiging tewerkstelling De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, vertegenwoordigd door Meester Maarten Verhaghe, kantoorhoudende te 9000 Gent, Kortrijksesteenweg 546, hierna “de klager”; De verweerster: Y, vertegenwoordigd door Meester Sara Torrekes, kantoorhoudende te 8790 Waregem, Jozef Duthoystraat 112, hierna “de verweerster”. Beslissing ten gronde 40/2023 – 2/16 I. 1. Feiten en procedure Op 22 februari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerster. De klager was gedurende 13 jaar werkzaam bij de verweerster, een autonome vereniging met als activiteit de ondersteuning en begeleiding van volwassen personen met een beperking. De klager was (mede-)verantwoordelijke voor de atelierwerking van de verweerster. In het kader van de uitoefening van deze functie heeft de klager tijdens een periode van (minstens) 8 jaar het e-mailadres […] gebruikt. Op 15 september 2020 werd de tewerkstelling van de klager beëindigd. Op 25 mei 2021 heeft de klager een verzoek tot inzage/meer informatie gericht aan de verweerster. Gelet op de complexiteit en de omvang van het verzoek heeft de verweerster op 10 juni 2022 de klager in kennis gesteld van de verlenging met 2 maanden van de termijn tot verstrekken van informatie over het gevolg dat aan het verzoek is gegeven. Op 24 augustus 2022 heeft de verweerster haar antwoord op het recht van inzage overgemaakt. 2. Op 30 maart 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 4 mei 2022 neemt de Geschillenkamer, overeenkomstig artikel 58, lid 2, punt
- c)van de AVG en artikel 95, lid 1, 5° WOG de beslissing 67/2022 ten aanzien van de verweerster en gelast haar, voordat een beslissing ten gronde genomen wordt, binnen een maand gehoor te geven aan het verzoek van de klager om zijn recht van inzage uit te oefenen (artikel 15, lid 1 AVG). Het resultaat van deze beslissing moet ter kennis van de Geschillenkamer gebracht worden, onder overlegging van bewijsstukken, binnen de termijn van één maand na de kennisgeving van de beslissing. 4. Op 24 mei 2022 verzoekt de verweerster tot een behandeling ten gronde van de zaak en verzoekt zij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 1 juni 2022 5. Op 1 juni 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster wordt vastgelegd op 13 juli 2022, deze voor de conclusie van repliek van de klager op 3 augustus 2022 en ten slotte deze voor de conclusie van repliek van de verweerster op 24 augustus 2022. Beslissing ten gronde 40/2023 – 3/16 6. Op 13 juni 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak, geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord overeenkomstig artikel 98 WOG, en vraagt zij om een verlenging van de conclusietermijnen. 7. Op 13 juni 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak, geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord overeenkomstig artikel 98 WOG en bevestigt het verzoek tot verlenging van de conclusietermijnen van de verweerster. De conclusietermijnen worden bepaald als volgt: De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster wordt vastgelegd op 24 juli 2022, deze voor de conclusie van repliek van de klager op 24 augustus 2022 en ten slotte deze voor de conclusie van repliek van de verweerster op 24 september 2022. 8. Op 18 juli 2022 heeft de Geschillenkamer de conclusie van antwoord ontvangen van de verweerster. In hoofdorde werpt de verweerster op dat het schrijven dd. 25 mei 2021 van de klager geen verzoek tot inzage van persoonsgegevens met betrekking tot (de mailbox gekoppeld aan) het e-mailadres in kwestie uitmaakt. In ondergeschikte orde voert de verweerster aan dat het e-mailadres in kwestie geen persoonsgegevens van de klager bevat. In meer ondergeschikte orde betoogt de verweerster dat de weigering tot inzage gerechtvaardigd is, gelet op het buitensporig karakter van het verzoek en de bescherming van de rechten en vrijheden van anderen. 9. Op 24 augustus 2022 ontvangt de Geschillenkamer het verzoek van beide partijen om de conclusietermijnen aan te passen zodat de uiterste datum voor ontvangst van de conclusie van repliek van de klager wordt bepaald op 31 augustus 2022 en deze voor de conclusie van repliek van de verweerster op 29 september 2022. De Geschillenkamer bevestigt deze verlenging op 26 augustus 2022. 10. Op 31 augustus 2022 ontvangt de Geschillenkamer het verzoek van beide partijen om de conclusietermijnen nogmaals te verlengen, waardoor de uiterste datum voor ontvangst van de conclusie van repliek van de klager wordt bepaald op 5 september 2022 en de conclusie van dupliek van de verweerster op 4 oktober 2022. Op 31 augustus 2022 bevestigt de Geschillenkamer deze verlengde termijnen en benadrukt dat geen verdere verlenging zal toegestaan worden. 11. Op 5 september 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De klager voert aan dat het schrijven dd. 25 mei 2021 wel degelijk een verzoek tot inzage overeenkomstig artikel 15 AVG uitmaakt en dat het e-mailadres, in tegenstelling tot wat de verweerster opwerpt, wel zijn persoonsgegeven uitmaakt. De klager stelt eveneens dat het verzoek tot inzage niet alleen betrekking heeft op het e-mailadres zelf, maar ook op andere Beslissing ten gronde 40/2023 – 4/16 persoonsgegevens. Tot slot betoogt de klager dat de weigering van de inzage niet gerechtvaardigd is. 12. Op 4 oktober 2022 ontvangt de Geschillenkamer de conclusie van dupliek vanwege de verweerster. In deze conclusies herneemt de verweerster de argumenten uit haar conclusies van antwoord en voegt hieraan toe dat het schrijven dd. 25 mei 2021 van de klager geen betrekking had op diverse andere persoonsgegevens dan het e-mailadres en de verbonden mailbox. 13. Op 26 januari 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 13 maart 2023. 14. Op 13 maart 2023 worden de partijen gehoord door de Geschillenkamer. 15. Op 15 maart 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 16. Op 20 maart 2023 ontvangt de Geschillenkamer vanwege de verweerster enkele opmerkingen met betrekking tot het proces-verbaal dewelke zij beslist mee op te nemen in haar beraad. 17. De Geschillenkamer ontvangt geen opmerkingen met betrekking tot het proces-verbaal vanwege de klager. II. Motivering II.1. Voorwerp van de procedure 18. Op basis van de conclusies en de hoorzitting stelt de Geschillenkamer vast dat de partijen het niet eens zijn over de omvang van het voorwerp van deze procedure. De klager werpt op dat de klacht en dus de procedure betrekking heeft op het verzoek tot inzage met betrekking tot alle opgevraagde persoonsgegevens en documenten, zoals ook geformuleerd in het schrijven dd. 25 mei 2021. De verweerster werpt op dat de klacht enkel betrekking heeft op het e-mailadres en de daaraan gekoppelde mailbox. Beide partijen hebben hun standpunt hieromtrent toegelicht tijdens de hoorzitting. 19. De Geschillenkamer stelt dat het schrijven dd. 25 mei 2021 ruim geformuleerd is, waarbij enerzijds wordt gevraagd om inzage te verkrijgen in alle persoonsgegevens, en anderzijds verschillende concrete documenten worden vermeld waarin de klager inzage wenst te verkrijgen. De verweerster heeft een antwoord geformuleerd op dit schrijven en verschillende gevraagde documenten waarover zij beschikte overgemaakt. De klager vond dit antwoord onvoldoende en heeft een klacht ingediend bij de GBA. In deze klacht verwijst de klager enkel naar het e-mailadres en de verbonden mailbox. Er is geen enkele verwijzing, ook niet als voorbeeld, naar andere documenten die de klager wenst te verkrijgen, maar niet ontvangen heeft na het antwoordschrijven van de verweerster. De Geschillenkamer stelt Beslissing ten gronde 40/2023 – 5/16 dan ook vast dat klacht aldus gericht is op het verkrijgen van persoonsgegevens vervat in de mailbox. 20. De Geschillenkamer besluit bijgevolg dat onderhavige procedure enkel betrekking heeft op het recht op inzage voor wat betreft de mailbox [… ] en de eraan verbonden mailbox. II.2. Definitie persoonsgegevens II.2.1. Standpunt van de klager 21. In zijn conclusies voert de klager aan dat hij gedurende een periode van 13 jaar tewerkgesteld was bij de verweerster als verantwoordelijke van de atelierwerking. Tijdens en met het oog op de uitoefening van zijn functie is door de klager steeds het e-mailadres […] gebruikt, zowel voor professionele als voor persoonlijke doeleinden. De klager stelt dat dit e-mailadres enkel door hem werd gebruikt, gedurende een periode van 8 jaar tot het einde van zijn tewerkstelling. De klager stelt bovendien dat het algemeen e-mailadres van verweerster […] is en niet […]. 22. Bijgevolg, zo concludeert de klager, is het e-mailadres zijn persoonsgegeven en bevat de mailbox ook verschillende persoonsgegevens van hem. 23. De klager verwijst eveneens naar Aanbeveling 8/2012 van 2 mei 2012 van de Commissie voor de bescherming van de persoonlijke levenssfeer (hierna: CBPL) en beslissingen 29 september 2020 en 2 december 2021 van de Geschillenkamer betreffende het beheer van de mailbox van een werknemer die de onderneming verlaat en de toepassing van essentiële principes binnen de AVG zoals doelbinding, rechtmatigheid, minimale gegevensverwerking en opslagbeperking door de werkgever. De klager heeft immers nooit toestemming gegeven tot verder gebruik van de mailbox na zijn vertrek. De verweerster heeft volgens de klager niet gehandeld overeenkomstig deze Aanbeveling en eerdere beslissingen van de Geschillenkamer. II.2.2. Standpunt van de verweerster 24. De verweerster betwist deze stelling van de klager. Zij stelt dat het e-mailadres […] geen persoonsgegeven van de klager uitmaakt en dat de daaraan gekoppelde mailbox geen persoonsgegevens bevat die betrekking hebben op de klager. Evenmin zijn bij het gebruik van de mailbox persoonsgegevens verwerkt die op de klager slaan. Het e-mailadres betreft immers een louter functioneel e-mailadres dat haar exclusief toebehoort en dat door haar werknemers, waaronder de klager, uitsluitend voor professionele doeleinden kan en mag gebruikt worden. 25. In haar conclusies merkt de verweerster op dat, in tegenstelling tot wat wordt gesteld in de conclusies van de klager, dit e-mailadres ten tijde van zijn tewerkstelling gebruikt werd door Beslissing ten gronde 40/2023 – 6/16 meerdere medewerkers, zoals in het bijzonder collega Z. Dit blijkt uit communicatie die de klager zelf heeft gestuurd tijdens zijn tewerkstelling waarbij de klager enerzijds zelf aandrong op het gebruik van algemene e-mailadressen in plaats van gepersonaliseerde emailadressen en anderzijds vroeg om deze collega toegang te verlenen tot het e-mailadres in kwestie. In dit kader maakt de verweerster een mail dd. 4 januari 2018 over waarin de klager vraagt om mails van een collega af te leiden naar de mailbox zodat ze zo snel mogelijk dezelfde mailbox delen. 26. De verweerster werpt op dat de klager op geen enkele manier aantoont of aannemelijk maakt dat (de mailbox gekoppeld aan) het e-mailadres wel persoonsgegevens zou bevatten die op hem betrekking hebben. De verweerster legt getuigenverklaringen voor die stellen dat het e-mailadres een professioneel gedeeld e-mailadres was waarin meerdere begeleiders inkijk hadden en dat niet voor privédoeleinden gebruikt werd. Deze getuigenverklaringen stellen ook dat, mocht er na het vertrek van de klager toch een persoonlijke mail voor hem ontvangen zijn, quod non, deze naar hem zou doorgestuurd zijn. 27. Bovendien moet worden opgemerkt dat uit de afwezigheid van een ICT-beleid en/of schriftelijk verbod op het privaat gebruik van een e-mailadres, vanzelfsprekend niet zomaar kan worden afgeleid dat het betrokken e-mailadres in de praktijk voor zowel professionele als private doeleinden kan worden gebruikt. De verwijzing van de klager naar de Aanbeveling 02/2012 en naar de eerdere beslissingen van de Geschillenkamer is niet relevant volgens de verweerster. Deze Aanbeveling en beslissingen hebben betrekking op het gebruik van een e-mailadres waarin de naam- en voornaam van de betrokkene vermeld zijn. Het e-mailadres met mailbox bevatte dus geen persoonsgegevens van de klager, zo concludeert de verweerster. II.2.3. Beoordeling door de Geschillenkamer 28. De Geschillenkamer zal eerst oordelen of het e-mailadres […] een persoonsgegeven van de klager uitmaakt en vervolgens over de persoonsgegevens die zich in de mailbox bevinden. II.2.3.1. 29. E-mailadres als persoonsgegeven Artikel 4, 1 AVG definieert persoonsgegevens als volgt: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon. Beslissing ten gronde 40/2023 – 7/16 30. Er zijn 4 elementen in de definitie van persoonsgegeven te onderscheiden : 1) betrekking hebben op 2) een geïdentificeerde of 3) identificeerbare 4) natuurlijke persoon. 31. Wil er sprake zijn van persoonsgegevens dan moeten de gegevens in principe betrekking hebben op een natuurlijke persoon. Gegevens hebben alleen betrekking op een natuurlijke persoon wanneer deze geïdentificeerd is of identificeerbaar is. Een persoon is geïdentificeerd wanneer deze uniek van alle andere personen binnen een groep te onderscheiden is. Een persoon is identificeerbaar wanneer deze nog niet geïdentificeerd is, maar dit zonder onevenredige inspanning wel mogelijk is. 32. De Geschillenkamer heeft meermaals bevestigd dat een e-mailadres met daarin de betrokkene zijn/haar voor- en familienaam, i.e. directe identificatoren, een persoonsgegeven in de zin van artikel 4, 1) AVG uitmaakt.1 In onderhavige zaak betreft het echter een functioneel e-mailadres, namelijk […] Het e-mailadres is aldus gekoppeld aan een dienst, in casu de atelierwerking, en niet aan een persoon. De vraag rijst of dergelijk functioneel e-mailadres ook een persoonsgegeven kan uitmaken op basis van indirecte identificatoren. De mate waarin bepaalde (indirecte) identificatiemiddelen voldoende zijn om tot identificatie te komen hangt af van de context van de specifieke situatie. De Geschillenkamer stelt vast dat een onderscheid gemaakt moet worden tussen het emailadres in de periode vanaf het eerste gebruik tot 4 januari 2018 en de periode daarna. Periode voor 4 januari 2018 33. De klager stelt in zijn conclusies dat hij de enige gebruiker was van het e-mailadres. Aangezien de verweerster geen elementen aanvoert die aantonen dat andere personen gebruik maakten van het e-mailadres in de periode tot 4 januari 2018, stelt de Geschillenkamer vast dat het e-mailadres uitsluitend werd gebruikt en beheerd door de klager, als (mede-)verantwoordelijke van de atelierwerking. Tijdens de uitoefening van zijn taken, heeft de klager telkens mails verstuurd en ondertekend met zijn naam als (mede)verantwoordelijke voor het atelier. De personen die mails verzonden naar en ontvingen van dit e-mailadres in kwestie, konden, zeker na verloop van tijd, de klager identificeren als de beheerder van het e-mailadres. De klager was dus indirect identificeerbaar voor derden door het gebruik van het e-mailadres zoals hierboven beschreven. 34. Gelet op het bovenstaande concludeert de Geschillenkamer dan ook dat het functioneel emailadres niet in gebruik is genomen met het oogmerk om dit te koppelen aan de persoon 1 Zie o.a. beslissing 133/2021 van 2 december 2021 en beslissing 64/2020 van 20 september 2020. Beslissing ten gronde 40/2023 – 8/16 van de klager maar dat dit toch het gevolg was omwille van het exclusief gebruik ervan door de klager. Bijgevolg maakt het e-mailadres voor die periode dus zijn persoonsgegeven uit. Periode vanaf 4 januari 2018 35. In de periode vanaf 4 januari 2018 toont de verweerster echter aan dat het e-mailadres eveneens gebruikt werd door (minstens) de andere medeverantwoordelijke van de atelierwerking in functie van de werking van de dienst. De bedoeling van een functioneel emailadres is immers de continuïteit van de dienst te verzekeren, bijvoorbeeld wanneer een werknemer niet langer werkzaam is binnen die dienst. Van zodra de medeverantwoordelijke en andere begeleiders gebruik maakten van het e-mailadres en ook e-mails in hun eigen naam als medewerker van het atelier ondertekenden, was de klager niet langer indirect identificeerbaar. Een afzender van een e-mail kon immers niet weten wie van de werknemers zijn mail zou behandelen, zelfs indien hij de klager persoonlijk zou aanspreken in zijn mail. De Geschillenkamer oordeelt dan ook dat vanaf 4 januari 2018 het e-mailadres geen persoonsgegeven van de klager meer uitmaakt. II.2.3.2. 36. Persoonsgegevens in de mailbox De verweerster stelt dat er zich geen persoonsgegevens in de mailbox bevinden aangezien het niet toegestaan was om het e-mailadres aan te wenden voor niet-professionele doeleinden. Dit wordt betwist door de klager. De klager stelt dat er wel persoonsgegevens in de mailbox zitten en wijst erop dat er geen beleid voorhanden is omtrent het gebruik van het professioneel e-mailadres. 37. De Geschillenkamer herinnert er in dat verband aan dat het begrip "persoonsgegevens" alle soorten informatie omvat: privé (intieme), openbare, professionele of commerciële informatie, objectieve of subjectieve informatie. In het arrest Nowak 2 stelt het Hof van Justitie van de Europese Unie (hierna: HvJEU) duidelijk dat het begrip "persoonsgegevens" zowel gegevens omvat die voortvloeien uit objectieve, verifieerbare en betwistbare elementen als subjectieve gegevens die een evaluatie of een oordeel over de betrokkene bevatten. Bijgevolg concludeert de Geschillenkamer dat het feit dat een functioneel emailadres geen persoonsgegeven in de zin van artikel 4, 1) AVG uitmaakt, niet verhindert dat er eventueel persoonsgegevens van de klager in de mailbox aanwezig kunnen zijn. 38. De Geschillenkamer stelt dat er in casu een onderscheid gemaakt moet worden tussen enerzijds de persoonsgegevens van de klager die werden verwerkt in de professionele context en anderzijds persoonsgegevens die werden verwerkt buiten de professionele context van zijn toenmalige hoedanigheid als werknemer van de verweerster (privé e-mails). 2 HvJEU, 20 december 2017, C-434/16, Nowak, ECLI:EU:C:2017:994. Beslissing ten gronde 40/2023 – 9/16 39. Op basis van het bovenstaande concludeert de Geschillenkamer dat er geen twijfel over kan bestaan dat er zich persoonsgegevens in de professionele context van de klager in de mailbox bevinden, zoals bijvoorbeeld een inschrijving voor een opleiding. 40. Voor wat betreft privémails, wordt erkend door de partijen dat er geen expliciet schriftelijk verbod op het aanwenden van het professioneel e-mailadres voor privédoeleinden van toepassing was. De partijen zijn het echter niet eens over de gevolgen die daar uit voortvloeien. De klager stelt dat het aldus toegelaten was om privé e-mails te versturen en te ontvangen met het professioneel e-mailadres. De verweerster daarentegen merkt op dat het gebrek aan dergelijk verbod of ICT-beleid in die zin niet zomaar betekent dat het betrokken e-mailadres voor zowel professionele als privédoeleinden gebruikt kan worden. 41. De Geschillenkamer verwijst in dit kader naar de rechtspraak van het Europees Hof voor de Rechten van de Mens (hierna: EHRM). Het EHRM heeft geoordeeld dat het begrip “privéleven” ruim geïnterpreteerd dient te worden. Het omvat bijvoorbeeld het recht op het aangaan en ontwikkelen van relaties met andere mensen en het recht op identiteit en persoonlijke ontwikkeling. Meer bepaald heeft het EHRM geoordeeld dat e-mails die vanaf het werk verzonden worden prima facie onder de begrippen privéleven en correspondentie in de zin van artikel 8, lid 1 van het Europees Verdrag voor de Rechten van de Mens ressorteren, dit naar analogie met haar eerder standpunt dat dit ook het geval is voor telefoongesprekken vanuit bedrijfsruimten. Deze ruime lezing betekent echter niet dat elke activiteit die een persoon met andere mensen zou willen aangaan om relaties tot stand te brengen beschermd wordt. De Geschillenkamer is dan ook van oordeel dat de klager, gelet op het recht op bescherming van het privéleven, occasioneel privé e-mails kon versturen en ontvangen op het professioneel e-mailadres, mede omdat hij niet beschikte over een professioneel e-mailadres op naam en aangezien geen (schriftelijk) beleid hieromtrent gecommuniceerd werd. Dit privaat gebruik dient echter beperkt te zijn tot occasioneel gebruik. De Geschillenkamer leest echter in de conclusies van de klager dat hij gedurende 8 jaar veelvuldig privémails verstuurd en ontvangen zou hebben, maar stelt tegelijk vast dat hij hieromtrent geen enkel bewijsstuk overlegt. De Geschillenkamer kan dan ook niet vaststellen dat dergelijke privé e-mails uit de periode van de tewerkstelling van de klager in de mailbox aanwezig zouden zijn. 42. De verweerster stelt dat er na de beëindiging van de tewerkstelling geen privémails zijn toegekomen voor de klager en staaft dit door verschillende getuigenverklaringen. Tijdens de hoorzitting heeft de Geschillenkamer gevraagd aan de raadsman van de klager over welke soort privé e-mails het in deze zaak zou gaan. Deze stelde dat het ging om privé emails van vrienden en kennissen. De Geschillenkamer kan echter noch uit de conclusies, noch uit de hoorzitting vaststellen dat er aanwijzingen zijn die erop wijzen dat er inderdaad Beslissing ten gronde 40/2023 – 10/16 privé e-mails zijn ontvangen op het e-mailadres in kwestie na de beëindiging van de tewerkstelling bij de verweerster. II.3. Recht op inzage (artikel 15 AVG) 43. Overeenkomstig artikel 58, lid 2, punt
- c)van de AVG en artikel 95, lid 1, 5° WOG heeft de Geschillenkamer de beslissing 67/2022 genomen ten aanzien van de verweerster en gelastte haar, voordat een beslissing ten gronde genomen wordt, binnen een maand gehoor te geven aan het verzoek van de klager om zijn recht van inzage uit te oefenen (artikel 15, lid 1 AVG). Gelet op het verzoek van de verweerster om de zaak ten gronde te behandelen en de argumenten die door de partijen uiteengezet zijn, neemt de Geschillenkamer hieromtrent een nieuwe beslissing. 44. Volgens artikel 15, lid 1 van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Indien dat het geval is, heeft de betrokkene het recht om inzage te krijgen van die persoonsgegevens en van informatie die in artikel 15, lid 1
- a)-
- h)van de AVG wordt vermeld, zoals het doeleinde van de verwerking van de gegevens en de eventuele ontvangers van de gegevens, evenals informatie over het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn gegevens te vragen, of om een klacht bij de GBA in te dienen. 45. Krachtens artikel 15, lid 3 van de AVG heeft de betrokkene bovendien het recht om een kopie te verkrijgen van de persoonsgegevens die het voorwerp van de verwerking uitmaken. 46. Artikel 12 van de AVG over de wijze waarop de betrokkenen hun rechten kunnen uitoefenen, bepaalt dat de verwerkingsverantwoordelijke de uitoefening van die rechten door de betrokkene (artikel 12, lid 2 van de AVG) moet faciliteren, en hem onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet geven over de maatregelen die naar aanleiding van zijn verzoek zijn genomen (artikel 12, lid 3 van de AVG). Wanneer de verwerkingsverantwoordelijke niet van plan is aan het verzoek te voldoen, moet hij zijn weigering binnen een maand meedelen, en de betrokkene informeren over de mogelijkheid om beroep in te stellen tegen die weigering bij de toezichthoudende autoriteit voor gegevensbescherming (artikel 12, lid 4 van de AVG). 47. De Geschillenkamer stelt vast dat de klager op 25 mei 2021 de mededeling en/of inzage heeft gevraagd via onderstaande brief. Beslissing ten gronde 40/2023 – 11/16 48. De klager verzoekt eveneens een kopie van verschillende documenten uit zijn personeelsdossier en voegt hieraan toe dat hij ook graag had geweten wat er wanneer gebeurd is met zijn werkmailbox […] na zijn ontslag. 49. Op 10 juni 2021 stelde de verweerster via aangetekende brief de klager in kennis van de verlenging van de termijn tot het verstrekken van informatie over het gevolg dat aan het verzoek is gegeven, met twee maanden, overeenkomstig artikel 12, lid 3 AVG. Op 24 augustus 2021 maakt de verweerster verschillende gevraagde documenten over en licht toe aan de klager waarom andere documenten niet kunnen overgemaakt worden, ofwel omdat ze niet bestaan, ofwel omdat de verweerster niet de verwerkingsverantwoordelijke is. 50. In zijn klacht gericht aan de GBA stelt de klager aan de kaak dat hij geen inzage heeft gekregen in de e-mails in zijn werkmailbox. 51. In haar conclusies voert de verweerster aan dat dit initieel verzoek dd. 25 mei 2021 geen verzoek tot inzage van persoonsgegevens overeenkomstig artikel 15 AVG met betrekking tot (de mailbox gekoppeld aan) het e-mailadres […] bevat. De klager vraagt volgens de verweerster met betrekking tot het e-mailadres enkel wat er wanneer gebeurd is met zijn werkmailbox. De verweerster heeft hierop geantwoord dat de toegangsrechten van het emailadres werden aangepast alsook het wachtwoord. De verweerster antwoordde eveneens dat het e-mailadres niet persoonlijk was en dus geen persoonsgegeven uitmaakt Beslissing ten gronde 40/2023 – 12/16 en wijst het verzoek van de klager af. In ondergeschikte orde stelt de verweerster dat indien het toch een persoonsgegeven zou uitmaken, de afwijzing van het verzoek tot inzage nog steeds verantwoord zou zijn, gelet op het proportionaliteitsbeginsel enerzijds en de bescherming van de rechten en vrijheden van anderen anderzijds. II.3.1. Verzoek tot inzage met betrekking tot het e-mailadres en de mailbox 52. De Geschillenkamer stelt vast dat de vraag van de klager omtrent wat er wanneer met zijn mailbox is gebeurd niet kan worden aangemerkt als een verzoek om inzage/mededeling van zijn persoonsgegevens Het verzoek tot inzage vloeit echter voort uit het eerste deel van de brief dd. 25 mei 2021 zoals hierboven hernomen (zie supra randnummer 47). De AVG voorziet immers geen vormvereisten voor het verzoek tot inzage, en tenzij anders vermeld, heeft een verzoek tot inzage betrekking op alle persoonsgegeven van de betrokkene. Bovenstaand verzoek is dus in overeenstemming de AVG geformuleerd en heeft betrekking op alle persoonsgegevens, ook diegene die zich mogelijks in de mailbox bevinden. 53. De Geschillenkamer wijst er in dit verband tevens op dat het recht op inzage één van de essentiële onderdelen uitmaakt van het recht op gegevensbescherming, als zodanig is opgenomen in artikel 8 van het Handvest voor de grondrechten van de Europese Unie, en dat, zoals ook blijkt uit de richtsnoeren van de EDPB over het recht op inzage, beperkingen op de uitoefening van dit recht slechts in beperkte mate zijn toegestaan. Voorts is het motief van een betrokkene om inzage te vragen van generlei belang. 3 II.3.2. Weigering van het recht op inzage voor wat betreft de mailbox 54. De klager werpt op dat het recht van inzage verschillende elementen omvat zoals het krijgen van uitsluitsel over het feit of er al dan niet persoonsgegevens van de klager verwerkt worden, zoals persoonsgegevens die zich bevinden in de mailbox. In haar conclusies zet de verweerster de redenen uiteen waarom zij het recht op inzage tot de mailbox geweigerd heeft. In hoofdorde betoogt de verweerster dat er geen persoonsgegevens aanwezig zijn in de mailbox (zie sectie II.2.3.2). In eerste instantie heeft de verweerster dus geantwoord op het verzoek van inzage door te stellen dat er zich geen persoonsgegevens in de mailbox bevinden. 55. Gelet op het bovenstaande (zie sectie II.2.3.2) stelt de Geschillenkamer vast dat het onvermijdelijk is dat persoonsgegevens van de klager in professionele mails aanwezig zijn in de mailbox. 3 EDPB, Guidelines 01/2022 on data subject rights – right of access, https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf te raadplegen op Beslissing ten gronde 40/2023 – 13/16 56. In ordergeschikte orde voert de verweerster aan dat de weigering nog steeds verantwoord is, gelet op het proportionaliteitsbeginsel enerzijds en de bescherming van de rechten en vrijheden van anderen anderzijds. 57. De Geschillenkamer herinnert eraan dat het recht op inzage niet absoluut is. In dit kader verwijst de Geschillenkamer naar artikel 12, lid 5,
- b)van de AVG dat luidt als volgt: “Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel: […]
- b)weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen” 58. Het HvJEU heeft zich in zijn arrest Rijkeboer uitgesproken over het evenwicht dat moet worden gezocht tussen het recht van inzage van de betrokkenen en de last die de verplichting tot naleving van dat recht met zich brengt voor de verwerkingsverantwoordelijke. Meer bepaald ging het om de vraag "vanaf wanneer de uitoefening van het recht van inzage van informatie over het verleden wettelijk kan worden verlamd door de wissing van die informatie. En hoe lang moeten de personen die in het bezit van die gegevens zijn, de sporen van handelingen die in het verleden met die gegevens zijn verricht, bewaren". Alhoewel de vraag in deze zaak was hoelang een verwerkingsverantwoordelijke persoonsgegevens moet bewaren, kan de redenering van het HvJEU op het onderhavige geval worden toegepast, gelet op de omvang van het verzoek van de klager, dat alle hem betreffende e-mails betreft. De Geschillenkamer wijst op het belang van het vinden van "[...] een billijk evenwicht tussen enerzijds het belang van de betrokkene zijn privacy te beschermen […] en anderzijds de last die de verplichting om die informatie te bewaren voor de verwerkingsverantwoordelijke vormt". De parameters aan de basis van dit evenwicht mogen de verwerkingsverantwoordelijke uiteraard geen onevenredige verplichtingen en buitensporige lasten opleggen. 59. De Geschillenkamer merkt echter op dat artikel 12, lid 5 AVG vereist dat de verwerkingsverantwoordelijke de kennelijk ongegronde en buitensporige aard van het verzoek moet aantonen. In haar brief dd. 24 augustus 2021 heeft de verweerster dit niet gedaan. In haar conclusies van antwoord en dupliek heeft de verweerster wel elementen aangevoerd die het buitensporig karakter aantonen, doch dit had reeds dienen te gebeuren in bovenvermelde brief aan de klager. Beslissing ten gronde 40/2023 – 14/16 60. In het onderhavige geval stelt de Geschillenkamer vast dat het doorzoeken van alle e-mails betreffende de klager, gedurende minstens 8 jaar, na het moment van beëindiging van de tewerkstelling, een onevenredige werklast voor verweerster zou betekenen. De werkmailbox werd bovendien jarenlang gebruikt door verschillende personen. De klager heeft ook geen enkel stuk overgemaakt waaruit blijkt dat er privé e-mails in de mailbox zouden zitten, noch geeft de klager specifieke e-mailadressen of andere parameters mee op basis waarvan gericht gezocht kan worden in de mailbox. In zijn conclusies stelt de klager bovendien dat uit geen interne instructies blijkt dat hij gehouden was om enige labelling aan te brengen aan de e-mails die persoonlijk zijn of deze diende te klasseren in een aparte map. Eventuele aanwezige privé e-mails kunnen dus niet met een redelijke inspanning teruggevonden worden door de verweerster. Bovendien betreft de mailbox veel gevoelige informatie, zoals gezondheidsgegevens over de gebruikers van de diensten van verweerster, namelijk volwassenen met een beperking, zodat ook niet zomaar inzage verleend kan worden in alle professionele mails met persoonsgegevens van de klager. Gelet op voormelde elementen komt de Geschillenkamer tot de vaststelling dat het verzoek tot inzage van de klager buitensporig is en dat de verweerster rechtmatig geweigerd heeft om hieraan gevolg te geven. 61. Gelet op het bovenstaande komt de Geschillenkamer tot de conclusie dat er geen inbreuk is op de artikelen 12, lid 1 – lid 4 en 15 AVG, maar dat er wel sprake is van een inbreuk op artikel 12, lid 5 AVG wegens het niet tijdig voldoende aantonen van het kennelijk buitensporig of ongegrond karakter van het verzoek tot inzage van de klager. Die inbreuk is echter niet van zodanig zware aard dat hiervoor een geldboete of een corrigerende sanctie moet worden opgelegd. De Geschillenkamer meent dat met een berisping kan worden volstaan. III. Toegang en gebruik van het e-mailadres na beëindiging van tewerkstelling 62. In zijn conclusies stelt de klager dat de verweerster eenzijdig de toegang tot de mailbox aan hem heeft ontzegd. Zijn toelatingen als gebruiker van de mailbox werden immers geschrapt en daarna werd het wachtwoord veranderd. De klager voert aan dat de verweerster zich enkel kan beroepen op de rechtsgrond toestemming om verder gebruik te maken van de mailbox na zijn vertrek. Aangezien de klager geen toestemming heeft gegeven, zou de verwerking van zijn persoonsgegevens niet gesteund zijn op een rechtsgrond uit artikel 6, lid 1 AVG. In dit kader verwijst de klager naar de hierboven reeds vermelde Aanbeveling 02/2021 van de CBPL en de voornoemde beslissingen 29 september 2020 en 2 december 2021 van de Geschillenkamer voor wat betreft het voor privaat gebruik aanwenden van professionele middelen, zoals een e-mailadres. 63. De verweerster voert aan in haar conclusies dat geen persoonsgegevens van de klager verder verwerkt werden door het gebruik van de mailbox. Het betreft immers een Beslissing ten gronde 40/2023 – 15/16 functioneel e-mailadres en geen e-mailadres op naam. De verwijzing van de klager naar de Aanbeveling 02/2012 en naar eerdere beslissingen van de Geschillenkamer is niet relevant volgens de verweerster. Deze Aanbeveling en beslissingen hebben betrekking op het gebruik van een e-mailadres waarin de naam- en voornaam van de betrokkene vermeld zijn. Bijgevolg kan de verweerster rechtmatig verder gebruik blijven maken van het e-mailadres en de mailbox. III.1. Beoordeling door de Geschillenkamer 64. De Geschillenkamer stelt dat het e-mailadres inderdaad een functioneel e-mailadres is op moment van de beëindiging van de tewerkstelling van de klager en dus geen persoonsgegeven van de klager uitmaakt waardoor de AVG niet van toepassing is. De verwijzingen naar de Aanbeveling 02/2020 van de CBPL en de voornoemde beslissingen van de Geschillenkamer zijn in deze dus niet relevant. Tijdens de hoorzitting heeft de verweerster toegelicht dat zij intussen een ander e-mailadres in gebruik genomen heeft voor de atelierwerking, hetgeen de nodige problemen met zich heeft meegebracht, gelet op haar doelpubliek, volwassenen met een beperking. De Geschillenkamer is van oordeel dat de verweerster rechtmatig gebruik had kunnen blijven maken van het functioneel emailadres. Het doel van dergelijk e-mailadres is immers de continuïteit van de dienst(verlening). Tot slot wijst de Geschillenkamer er nogmaals op dat de klager niet heeft aannemelijk gemaakt dat er na de beëindiging van de tewerkstelling nog hem betreffende persoonsgegevens in de e-mailbox zouden zijn binnengekomen. IV. Publicatie van de beslissing 65. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van artikel 100, §1, 5° de verweerster te berispen gezien het niet tijdig voldoende aantonen van het kennelijk buitensporig of ongegrond karakter van het verzoek tot inzage hetgeen een inbreuk op artikel 12, lid 5 AVG uitmaakt. - op grond van artikel 100, §1, 1° WOG alle andere grieven te seponeren. Beslissing ten gronde 40/2023 – 16/16 Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerster. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 4. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.5, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 4 5 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.