Beslissing ten gronde nr. 41/2020

1/32 Geschillenkamer Beslissing ten gronde 41/2020 van 29 juli 2020 Dossiernummer: DOS-2019-01165 Betreft: klacht van x tegen y (recht van inzage bij de voormalige werkgever) De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren C. Boeraeve en R. Robert, leden, die de zaak in deze samenstelling opneemt; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit , hierna "WOG"; Gelet op het reglement van interne orde zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken in het dossier; Heeft de volgende beslissing genomen inzake: de klager, vertegenwoordigd door zijn raadslieden mrs. S. Callens en C. Bachez, advocaten; Beslissing met betrekking tot 41/2020- 2/32 de verwerkingsverantwoordelijke: (hierna de verweerder), vertegenwoordigd door zijn raadsman mr. O. Louppe, advocaat. 1. Historiek van de procedure Gelet op het verzoek dat de klager op woensdag 20 februari 2019 tot de Gegevensbeschermingsautoriteit (GBA) heeft gericht; Gelet op de voorbereiding van het dossier door de Eerstelijnsdienst (ELD) en de door de ELD bij de verweerder ingezette bemiddelingspoging; Gelet op het mislukken van de bemiddeling en het informeren - op datum van 14 augustus 2019 - van de klager dat, in dat geval, artikel 62 WOG hem de mogelijkheid biedt om zijn oorspronkelijke verzoek om bemiddeling met zijn uitdrukkelijke toestemming als klacht te herkwalificeren; Gelet op de toestemming van de klager in dit verband van 3 september 2019; Gelet op de ontvankelijkheidsbeslissing van de klacht door de ELD van 25 november 2019; Gelet op de beslissing die de Geschillenkamer op 18 december 2019 heeft genomen dat het dossier klaar was om ten gronde te worden behandeld overeenkomstig de artikelen 95, § 1, 1° en 98 van de WOG; Gelet op de brief van 18 december 2019 van de Geschillenkamer waarin zij de partijen in kennis stelt van haar beslissing om het dossier op grond van artikel 98 WOG als klaar voor behandeling ten gronde te beschouwen en hun een tijdschema voor de uitwisseling van conclusies verstrekt; Gelet op de brief die op 20 januari 2020 door de raadsman van de verweerder aan de Geschillenkamer is gestuurd en waarin hij de Geschillenkamer ten principale verzoekt het verlies van het voorwerp van de ingediende klacht te noteren. Subsidiair verklaart de verweerder dat hij zijn eerdere verweer, zoals uiteengezet in zijn proceduredossier, met name zijn brief van 29 juli 2019 aan de ELD van de GBA, handhaaft; Gelet op de brief van 24 januari 2020 van de raadslieden van de klager, waarin deze verklaren dat zij het verlies van het voorwerp van de klacht van zijn cliënt enkel kunnen vaststellen; Gelet op de beslissing van de Geschillenkamer van 28 januari 2020 om het onderzoek van de klacht voort te zetten volgens het tijdschema dat op 18 december 2019 aan de partijen is meegedeeld; ... Beslissing met betrekking tot 41/2020- 3/32 Gelet op de conclusies van de klager die door zijn raadslieden zijn ingediend en op 7 februari 2020 zijn ontvangen; Gelet op de conclusies van antwoord van de verweerder die door zijn raadsman zijn ingediend en op 21 februari 2020 zijn ontvangen; Gelet op het verzoek geformuleerd in de conclusies van de verweerder om overeenkomstig artikel 51 van het Reglement van Interne Orde van de GBA door de Geschillenkamer te worden gehoord; Gelet op de uitnodiging voor de hoorzitting die de Geschillenkamer op 21 april 2020 aan de partijen heeft gericht; Gelet op de hoorzitting van de Geschillenkamer van 13 mei 2020 in aanwezigheid van de raadslieden van de klager en de klager zelf, alsmede van de raadsman van de verweerder en de juridisch directeur van de verweerder; Gelet op de notulen van de hoorzitting; Gelet op de opmerkingen van de partijen met betrekking tot de notulen waarbij deze zijn gevoegd; Gelet op de beslissing van de Geschillenkamer van 18 juni 2020 om de debatten te heropenen in het licht van het enige nieuwe element dat door de verweerder is verstrekt gezien zijn informatieplicht, namelijk het AVG-informatiedocument van de verweerder. Gelet op de conclusies die op 25 juni 2020 voor de klager en op 2 juli 2020 voor de verweerder zijn ingediend door hun respectieve raadslieden. 2. De feiten en het voorwerp van de klacht 1. De klager werkte op zelfstandige basis als hoofdgeneesheer en radioloog op de afdeling medische beeldvorming van een ziekenhuis van de verweerder. 2. Verschillende disfuncties binnen deze dienst voor medische beeldvorming hebben de verweerder ertoe gebracht dokter Z als externe deskundige de opdracht te geven om een rapport op te stellen waarin de oorzaken van deze disfuncties worden toegelicht, en om mogelijke oplossingen voor te stellen. Een eerste 22 pagina's tellend verslag wordt door dokter Z op datum van 19 januari 2018 opgesteld. ... Beslissing met betrekking tot 41/2020- 4/32 Vervolgens wordt een tweede beoordelingsverslag over diezelfde afdeling radiologie (ditmaal 37 pagina's lang) opgesteld door dokter Z, opnieuw in opdracht van de verweerder (hierna "het verslag van dr. Z”). De klager werd, net als vele andere artsen en medewerkers van de afdeling, gehoord bij de voorbereiding van dit verslag. Dit verslag, gedateerd 3 juni 2018, werd op 4 juni 2018 voorgesteld tijdens een vergadering van het Permanente Overlegcomité (POC) van het ziekenhuis. 3. In de loop van de maand augustus 2018 neemt de verweerder de beslissing om de klager te ontslaan wegens een ernstige fout. De klager besluit de geldigheid van zijn ontslag aan te vechten voor de rechtbank. De gerechtelijke procedure is bij dagvaarding van 14 januari 2019 voor het gerecht ingeleid. 4. Op 2 januari 2019 neemt de klager contact op met de directeur-generaal van de verweerder met het volgende verzoek: "Mijnheer de directeur-generaal (...), Overeenkomstig de bepalingen van de Algemene verordening inzake gegevensbescherming zou ik graag kennisnemen van de mij betreffende persoonsgegevens en dus inzage willen krijgen van het rapport van dr. [Z] met het verslag van zijn opdracht en zijn oplossingen, dat waarschijnlijk op 5 juni 2018 (of rond die datum) aan het POC werd voorgelegd. Ik verzoek u om mij overeenkomstig artikel 15, lid 3, van de voornoemde verordening een kopie van het verslag of, in voorkomend geval, het gedeelte van het verslag dat mij betreft, te bezorgen. Helaas kon ik de DPO [van de verweerder] niet vinden aan wie ik dit verzoek moest richten, en daarom neem ik contact met u op. Ik hoop zo snel mogelijk en uiterlijk op 27 januari van u een antwoord te krijgen. ( …. )" 5. Op 25 januari 2019 weigert de verweerder het verzoek van de klager in te willigen met het volgende argument: "Beste […], Bij deze geef ik gevolg aan je brief van 2 januari 2019, die mijn volle aandacht trok. Op basis van Verordening 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, vraag je om "inzage (...) van het rapport van dr. [Z] met het verslag van zijn opdracht en zijn oplossingen, dat waarschijnlijk op 5 juni 2018 (of rond die datum) aan het POC werd voorgelegd. Ik moet je echter tot mijn spijt meedelen dat aan dit verzoek geen gevolg kan worden gegeven, aangezien je noch het bestaan van een verwerking van persoonsgegevens, noch ... Beslissing met betrekking tot 41/2020- 5/32 van een activiteit die binnen de werkingssfeer van het Unierecht valt in de zin van het materiële toepassingsgebied van artikel 2 van deze verordening, aantoont. (…)" In een e-mail van 25 januari reageert de klager dezelfde dag nog op deze weigering en betwist hij de aangevoerde uitzonderingen op het materiële toepassingsgebied van de AVG. 6. Op 20 februari 2019 dient de klager een verzoek tot bemiddeling in bij de GBA. In dit verzoek verduidelijkt de klager: "Ik vraag natuurlijk niet om het hele rapport, ik vraag alleen maar om kennis te kunnen nemen van de passage die mij, mijn vaardigheden en mijn beheer van de dienst evalueert, drie zaken die ter discussie werden gesteld naar aanleiding van dit rapport in juli" . Deze bemiddeling had geen succes en, zoals vermeld in de hiervoor genoemde historiek van de procedure, de klager stemde er op 3 september 2019 mee in dat zijn eerste verzoek om bemiddeling de vorm van een klacht zou aannemen, gezien de aanhoudende weigering van de verweerder om aan zijn verzoek van 2 januari 2019 te voldoen. 7. In het dispositief van zijn conclusies verzoekt de klager de Geschillenkamer voorts de verweerder te gelasten hem de notulen van de vergadering van het POC van 11 juli 2018 te verstrekken. De klager verklaart dat hij niet op de hoogte was van het bestaan van dit overleg en dat hij van het bestaan ervan kennis heeft genomen op basis van een document dat in de loop van de gerechtelijke procedure gelijktijdig met het verslag van dr. Z is opgesteld. Het blijkt echter dat dr. Z tijdens dit overleg van juli 2018 is benoemd tot medisch coördinator. Aangezien een audit van een ziekenhuisdienst bij wet moet worden uitgevoerd door een hoofdgeneesheer (Koninklijk Besluit van 15 december 1987 houdende uitvoering van de artikelen 13 tot en met 17 van de wet op de ziekenhuizen, zoals gecoördineerd door het Koninklijk Besluit van 7 augustus 1987), stelt de klager zich vragen bij de hoedanigheid van dr. Z ten tijde van de opstelling van het verslag en dus meer in het algemeen naar de rechtmatigheid van de gegevensverwerking die in dat kader zijn uitgevoerd. 3. Hoorzitting van 13 mei 2020 voor de Geschillenkamer 8. Tijdens de hoorzitting van 13 mei 2020 zijn, naast de feiten en argumenten die zijn ontwikkeld in de conclusies die eerder werden ingediend door de partijen, de volgende elementen onder de aandacht gebracht: - Wat betreft het door de klager aangevoerde Koninklijk Besluit van 15 december 1987 (zie punt 7 hierboven) stelt de verweerder dat artikel 6 daarvan verwijst naar een bevoegdheid van de hoofdgeneesheer. Als de hoofdgeneesheer vaststelt dat de goede werking van het risicobeheer en de patiëntveiligheid op de afdeling in het gedrang komt, kan hij besluiten om een medische audit aan te vragen. Volgens de verweerder was er in het onderhavige geval ... Beslissing met betrekking tot 41/2020- 6/32 geen sprake van een gebrek op het vlak van gezondheidszorg of een probleem met de kwaliteit van de zorg of de veiligheid van de patiënt, maar veeleer van een managementprobleem. Volgens hem moet een onderscheid worden gemaakt tussen enerzijds de bevoegdheid van het diensthoofd (artikel 6/1 van het Koninklijk Besluit van 1987) en anderzijds de eigen bevoegdheid van de ziekenhuisbeheerder, zoals beschreven in de wet op de ziekenhuizen, wanneer hij geconfronteerd wordt met een managementprobleem, zoals in de zaak die leidde tot zijn beslissing om dr. Z te belasten met de beoordeling van de afdeling radiologie die door de klager werd geleid. - Wat betreft de reden waarom hij het verzoek om overlegging van het betrokken rapport spontaan heeft ingewilligd op grond van artikel 877 van het Gerechtelijk Wetboek, hoewel hij op grond van artikel 15 van de AVG steeds de toegang tot de daarin opgenomen gegevens heeft geweigerd om redenen van vertrouwelijkheid en eerbiediging van het auteursrecht, heeft de verweerder verklaard dat hij ermee heeft ingestemd, aangezien het verzoek om mededeling op een andere rechtsgrondslag was gebaseerd. - Wat betreft de informatie die ten tijde van de feiten aan de klager werd verstrekt op basis van de artikelen 13 en 14 van de AVG en wat betreft het algemene beleid van de verweerder op het gebied van informatieverstrekking aan artsen zoals de klager tot op heden, stelde de verweerder dat er met betrekking tot contractueel en benoemd personeel een punt is opgenomen in het arbeidsreglement of in de statuten. De verweerder wees er anderzijds op dat, wat artsen betreft, dit soort mededeling van informatie, voor zover hij weet, nog niet bestond en dat er ten tijde van de feiten, eveneens voor zover hij weet, geen informatie aan de klager was verstrekt. - De verweerder heeft verklaard dat hij een externe functionaris voor gegevensbescherming (DPO) heeft. IN RECHTE 4. Wat betreft de bevoegdheid van de Gegevensbeschermingsautoriteit, in het bijzonder de Geschillenkamer 9. Artikel 4 § 1 van de WOG bepaalt dat de Gegevensbeschermingsautoriteit (GBA) verantwoordelijk is voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van de AVG en andere wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. ... Beslissing met betrekking tot 41/2020- 7/32 10. Overeenkomstig artikel 33 § 1 van de WOG is de Geschillenkamer het administratieve geschillenorgaan van de GBA.1 Zij buigt zich over de klachten die de ELD haar doorgeeft op grond van artikel 62 § 1 van de WOG, d.w.z. ontvankelijke klachten indien deze, overeenkomstig artikel 60 § 2 van de WOG, in een van de landstalen zijn opgesteld, een uiteenzetting van de feiten bevatten, alsook de nodige indicaties voor de identificatie van de verwerking van de persoonsgegevens waarop zij betrekking hebben en die tot de bevoegdheid van de Gegevensbeschermingsautoriteit horen. 11. In het kader van de bij de rechtbank lopende gerechtelijke procedure, die parallel loopt aan de procedure voor de GBA (zie punt 3 hierboven), heeft de klager op grond van artikel 877 van het Gerechtelijk Wetboek om overlegging van het rapport van dr. Z verzocht. In een brief die op 20 januari 2020 aan de Geschillenkamer is gericht, verklaart de verweerder dat hij op grond daarvan geen bezwaar maakt tegen de verstrekking van dat rapport. De verweerder stelt verder dat, aangezien het rapport in zijn geheel aan de klager is meegedeeld, het verzoek van de klager in het kader van de procedure bij de GBA als zonder voorwerp kan worden beschouwd. 12. Niettegenstaande de instemming van de klager om de klacht als zonder voorwerp te beschouwen, besloot de Geschillenkamer op haar zitting van 28 januari 2020 het onderzoek van de klacht voort te zetten. Zodra een zaak aan de Geschillenkamer is voorgelegd, is deze bevoegd om onafhankelijk, en ondanks de intrekking van de klacht door de klager of het verlies van het voorwerp van de klacht, toe te zien op de naleving van de AVG en ervoor te zorgen dat deze daadwerkelijk wordt toegepast. In het onderhavige geval blijft zij, ondanks de instemming van de partijen om de klacht als zonder voorwerp te beschouwen, bevoegd om de wettigheid te onderzoeken van de gronden voor de weigering van de verweerder om gevolg te geven aan de uitoefening van het recht van inzage door de klager ten tijde van de feiten. Het feit dat tijdens het onderzoek van de klacht door de GBA aan het verzoek van de klager is voldaan, neemt enerzijds eventuele eerdere tekortkomingen van de verweerder niet weg of betekent anderzijds niet dat de bevoegde instanties van de GBA, met inbegrip van de Geschillenkamer, hun respectieve bevoegdheden in beginsel niet kunnen uitoefenen. Omgekeerd zou het voor de verwerkingsverantwoordelijken voldoende zijn om in de loop van de procedure in te gaan op de verzoeken van de betrokkenen tot uitoefening van hun rechten, om als het ware immuun zijn voor de eerdere tekortkoming die is aangevoerd ter ondersteuning van de ingediende klacht. Het effectieve toezicht dat krachtens de artikelen 51 en volgende van de AVG, en artikel 4 § 1 van de WOG moet 1 De administratieve aard van het geschil voor de Geschillenkamer is bevestigd door het Marktenhof, het hof van beroep tegen de beslissingen van de Geschillenkamer. Zie met name het arrest van 12 juni 2019 van het Hof van Beroep van Brussel, 19e kamer, afdeling Marktenhof, gepubliceerd op de website van de GBA: https://www.gegevensbeschermingsautoriteit.be/burger/publicaties/beslissingen/marktenhof, alsmede beslissing 17/2020 van de Geschillenkamer. ... Beslissing met betrekking tot 41/2020- 8/32 worden uitgeoefend door elke toezichthoudende autoriteit, zoals de GBA en in het bijzonder de Geschillenkamer, staat dat overduidelijk niet toe. Zoals de Geschillenkamer al heeft kunnen vaststellen 2, worden er in verscheidene sectoren 13. gegevensverwerkingen uitgevoerd, met name in de professionele context, zoals in het onderhavige geval. Het blijft een feit dat de bevoegdheid van de GBA in het algemeen, en van de Geschillenkamer in het bijzonder, beperkt is tot de controle op de naleving van de regelgeving die van toepassing is op gegevensverwerkingen, ongeacht de sector waarin deze gegevensverwerkingen plaatsvinden. Het is niet haar taak om de rechtbanken te vervangen bij de uitoefening van hun bevoegdheden op het gebied van het arbeidsrecht of het ziekenhuisrecht in het bijzonder.  14. De uitbreiding van het verzoek van de klager door middel van conclusies en de heropening van de debatten Zoals hierboven onder punt 7 is vermeld, heeft de klager bij wijze van conclusies de Geschillenkamer verzocht te gelasten hem toegang te geven tot de notulen van de vergadering van het POC van 11 juli. De verweerder stelt dat een dergelijk verzoek niet bij wet is voorzien en niet ontvankelijk is, en dat het de klager echter vrijstaat om een nieuwe klacht in te dienen bij de GBA. Zo ook betwist de verweerder de bevoegdheid van de Geschillenkamer inzake de door de klager bij conclusie aangevoerde klacht met betrekking tot de naleving van de artikelen 12, 13 en 14 van de AVG. 15. In haar beslissing 17/2020 heeft de Geschillenkamer verklaard dat, gezien de actieve rol die zij kan spelen ten voordele van de bescherming die de betrokkenen moeten genieten, de Geschillenkamer ook rekening kan houden met de grieven die later door de klager bij conclusie worden geuit, op voorwaarde dat het gaat om feiten of juridische argumenten die verband houden met de vermeende schending die haar door middel van een klacht is voorgelegd, en met inachtneming van de rechten van de verdediging.3 Daarnaast wijst de Geschillenkamer er in het algemeen op dat de bevoegdheid van de Geschillenkamer niet beperkt is tot de door de klager aangevoerde grieven. In de onderhavige zaak is de uitbreiding van het verzoek van de klager gekoppeld aan grieven die verband houden met het oorspronkelijke verzoek en is de verweerder in de gelegenheid gesteld om hierop te reageren door middel van de conclusies van antwoord van 21 februari 2020 en door middel 2 Zie beslissing 03/2020 van de Geschillenkamer, gepubliceerd op de website van de GBA: https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-03-2020.pdf 3 Zie met name punt 28 van Beslissing 17/2020: https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten- gronde-nr.-17-2020.pdf ... Beslissing met betrekking tot 41/2020- 9/32 van de conclusies van 2 juli 2020. De Geschillenkamer is derhalve bevoegd om deze in het kader van de onderhavige beslissing te onderzoeken. Met name wat betreft het argument van de verweerder dat de oorspronkelijke klacht alleen betrekking had op het recht van inzage en dat de informatiekwestie pas bij de laatste conclusies van de verzoeker en tijdens de hoorzitting aan de orde is gesteld, merkt de Geschillenkamer op dat deze informatieplicht onlosmakelijk verbonden is met de uitoefening van hun rechten door de betrokken personen. Het valt dus te rechtvaardigen dat de Geschillenkamer zich over dit aspect, dat door de verweerder in de schriftelijke procedure aan de orde is gesteld, uitspreekt. Bovendien heeft de verweerder in elk geval na de hoorzitting de Geschillenkamer op de hoogte gesteld van zijn opmerkingen wat betreft zijn informatieplicht ten aanzien van de verweerder en de andere onafhankelijke zorgverleners. De Kamer heeft overigens kennisgenomen van alle argumenten van de partijen die na de hoorzitting en na de heropening van de debatten zijn aangevoerd. Het beginsel van hoor en wederhoor is derhalve in acht genomen. Ten slotte lijkt de verweerder te betwisten dat de Geschillenkamer zou kunnen besluiten de debatten af te sluiten. Het is echter duidelijk dat de uitwisseling van argumenten tussen de partijen met het oog op de efficiëntie en de werking van de gegevensbeschermingsautoriteiten moet worden stopgezet voordat de procedure tot een beslissing van de autoriteit kan leiden. 5. Wat betreft de motivering van de beslissing 5.1. Wat betreft de niet-nakoming door de verweerder van zijn verplichting om gevolg te geven aan de uitoefening van het recht van inzage door de klager (artikel 15 van de AVG) overeenkomstig de bepalingen van artikel 12 van de AVG 16. Als verwerkingsverantwoordelijke is de verweerder gehouden tot naleving van de beginselen inzake gegevensbescherming en moet hij deze kunnen aantonen (verantwoordingsplicht - artikel 5.2. van de AVG). Hij moet ook alle daartoe noodzakelijke maatregelen nemen (artikel 24 van de AVG). 17. Volgens artikel 15, lid 1, van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Wanneer dit het geval is, heeft de betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en een reeks in artikel 15, lid 1,

1. a)- h), genoemde gegevens, zoals het doeleinde van de verwerking van zijn gegevens, de mogelijke ontvangers van zijn gegevens en informatie over het bestaan van zijn rechten, met inbegrip van het recht om te verzoeken dat zijn ... Beslissing met betrekking tot 41/2020- 10/32 gegevens worden gerectificeerd of gewist, of om een klacht in te dienen bij de toezichthoudende autoriteit voor gegevensbescherming (GBA). Op grond van artikel 15, lid 3, van de AVG heeft de betrokkene bovendien het recht om een kopie te krijgen van de persoonsgegevens die worden verwerkt. Artikel 15, lid 4, van de AVG bepaalt dat dit recht om een kopie te verkrijgen geen afbreuk mag doen aan de rechten en vrijheden van anderen. 18. Artikel 12 van de AVG betreffende regels voor de uitoefening van de rechten van de betrokkene bepaalt met name dat de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene moet faciliteren (artikel 12, lid 2, van de AVG) en de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet verstrekken over het gevolg dat aan het verzoek is gegeven (artikel 12, lid 3, van de AVG). Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om in beroep te gaan bij een toezichthoudende autoriteit voor gegevensbescherming (artikel 12, lid 4, van de AVG). 19. De verweerder betwist niet dat hij op 25 januari 2019 heeft geweigerd in te gaan op het verzoek om inzage van de klager in zijn e-mail van 2 januari 2019 (zie de punten 4-5 hierboven). 20. De Geschillenkamer onderzoekt derhalve in de volgende paragrafen de gegrondheid van deze weigering van de verweerder. 5.1.1. Wat betreft het argument dat de AVG niet van toepassing is  Wat betreft de hoedanigheid van verwerkingsverantwoordelijke van de verweerder 21. De Geschillenkamer herinnert eraan dat de toepassing van artikel 15 van de AVG vereist dat het verzoek om inzage wordt gericht aan de verwerkingsverantwoordelijke. 22. In zijn conclusies stelt de verweerder dat hij "niet de opsteller is van dit rapport, dat naar zijn aard vertrouwelijk is en opgesteld door een externe onafhankelijke deskundige [dokter Z] (...) en "het niet vanzelfsprekend is dat [de verweerder] "verantwoordelijk" is voor een aan de AVG onderworpen gegevensverwerking" (p. 2-3 van de conclusies van de verweerder van 21 februari 2020). 23. De verwerkingsverantwoordelijke wordt in artikel 4.7. van de AVG gedefinieerd als "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt". ... Beslissing met betrekking tot 41/2020- 11/32 In het onderhavige geval heeft de verweerder, door dr. Z als onafhankelijk deskundige opdracht te geven de beoordeling van de afdeling radiologie van het ziekenhuis uit te voeren, het doeleinde en de middelen van de verwerking bepaald. In zijn brief aan de GBA van 29 juli 2019 stelt verweerder in dit verband zelf het volgende: "Op de vergadering van het Beheerscomité / de Medische Raad van 21 februari 2018 werd bij consensus beslist om de aanbevelingen van professor [A] betreffende het "samenleven" binnen de dienst (artsen, technologen en secretariaatsmedewerkers) op te volgen en om dokter [Z] te vragen een medische ondersteuningsopdracht uit te voeren om de dienst zo goed mogelijk te organiseren. Op de vergadering van het Overlegcomité van 18 april 2018 werd bij consensus beslist om de opdracht van dokter [Z] uit te breiden binnen de logica van aanwezigheid op de afdeling radiologie en de bevraging van verschillende protagonisten. Drokter [Z] heeft tijdens de vergadering van het Overlegcomité op 4 juni 2018 een aanvullend verslag over zijn opdracht voorgelegd en vervolgens is er bij consensus besloten verschillende maatregelen te nemen [...]". Het feit dat niet de verweerder maar dr. Z de opsteller van het verslag is, is irrelevant en niet van toepassing in het licht van de voorwaarde van het bepalen van het doeleinde en de middelen van de verwerking, op basis waarvan het begrip "verwerkingsverantwoordelijke" wordt gedefinieerd. 24. De Geschillenkamer concludeert dat de verweerder de verwerkingsverantwoordelijke is van de gegevens die in het beoordelingsverslag van dr. Z worden verwerkt en ten aanzien waarvan de klager zijn recht van inzage op grond van artikel 15 van de AVG heeft uitgeoefend. 25. De Geschillenkamer wijst er ook op dat de verwerkingsverantwoordelijke bij een verzoek om inzage zoals dat van de klager in eerste instantie moet nagaan of de persoonsgegevens van de verzoeker al dan niet zijn verwerkt (artikel 15, lid 1, van de AVG).  26. Wat betreft het bestaan van persoonsgegevens met betrekking tot de klager In zijn antwoord van 25 januari 2019 aan de klager verklaart de verweerder, zoals vermeld in de uiteenzetting van de feiten, dat aan zijn verzoek niet kan worden voldaan, aangezien de klager "noch het bestaan van een verwerking van persoonsgegevens noch van een activiteit die binnen de werkingssfeer van het Unierecht valt in de zin van het materiële toepassingsgebied van artikel 2 van die verordening" aantoont. ... Beslissing met betrekking tot 41/2020- 12/32 In zijn conclusies stelt de verweerder met betrekking tot de aanwezigheid van de persoonsgegevens van de klager dat "het niet ging om het verzamelen van informatie die specifiek betrekking had op [de klager], om het verzamelen van persoonsgegevens over hem of het beoordelen van persoonlijke aspecten met betrekking tot zijn persoon, maar om het beoordelen van de werking van de afdeling radiologie als geheel".4 De Geschillenkamer is van mening dat het doeleinde dat wordt nagestreefd met het verslag waartoe de verweerder opdracht had gegeven, irrelevant is. Het doeleinde van dit verslag is niet doorslaggevend. Aangezien het persoonsgegevens van de klager bevat - gegevens die via een geautomatiseerd proces zijn verwerkt (zie hieronder) - heeft de klager het recht zich te beroepen op het recht van inzage dat de AVG hem toekent. 27. De verweerder stelt nog steeds ten onrechte dat het verslag van dr. Z een analyse inhoudt die niet het voorwerp kan zijn van het recht van inzage dat bepaald wordt in de wetgeving inzake gegevensbescherming. Zich steunend op het arrest YS van het Hof van Justitie van de Europese Unie (HvJ-EU)5 voert de verweerder aan dat het HvJ-EU volgens dat arrest heeft geweigerd het recht van inzage tot de juridische analyse van een asielverzoek uit te breiden, aangezien een dergelijke interpretatie niet het doel van de regelgeving inzake gegevensbescherming zou dienen, maar een recht van inzage in administratieve documenten tot stand zou brengen. 28. De Geschillenkamer wijst erop dat het begrip "persoonsgegevens" allerlei soorten informatie omvat: privé-informatie (intieme), openbare, professionele of commerciële informatie, objectieve of subjectieve informatie. In het arrest Nowak6, na het door de verweerder aangehaalde arrest YS, stelt het Hof duidelijk dat het begrip persoonsgegevens zowel slaat op gegevens die voortvloeien uit objectieve, verifieerbare en betwisbare elementen als op subjectieve gegevens die een beoordeling of een oordeel over de betrokkene bevatten. Dit is bijvoorbeeld het geval bij aantekeningen bij een examen, die de mening van de examinator over of zijn beoordeling van de individuele prestaties van een kandidaat weergeven, of bij evaluatiegegevens van een werknemer, ongeacht of deze beoordeling wordt uitgedrukt in de vorm van punten, een waardeschaal of met andere evaluatieparameters. Naast het specifieke geval (d.w.z. toegang tot een examenwerk) heeft het arrest betrekking op elke mening of elke beoordeling betreffende de persoon in kwestie (punt 24 van het arrest); 4 Pagina 4 van de conclusies van antwoord van de verweerder van 21 februari 2020. 5 HvJ-EU, arrest YS van 17 juli 2014, gevoegde zaken C-141/12 en C-372/12. 6 Hof van Justitie van de Europese Unie, 20 december 2017, arrest Nowak, C-434/16 §§ 33, 34 en 49. ... Beslissing met betrekking tot 41/2020- 13/32 29. Bij wijze van voorbeeld haalt de Geschillenkamer de volgende passages in het verslag van dr. Z aan: - De klager is in 2013 benoemd zonder dat hij intern bij de dienst of de instelling bekend was, en zonder proeftijd. Hij stond binnen zijn oorspronkelijke radiologische kring evenwel bekend om zijn, laten we zeggen, sterke karakter (pagina 12 van het verslag van dr. Z). - Reeds in 2013 en zodra hij was aangenomen, wordt een poging tot verzoening ondernomen door dr. B en mevrouw C voor een probleem in verband met de weigering door de klager om de ROI te bekrachtigen en/of te ondertekenen, hoewel dat deel uitmaakte van zijn taakomschrijving bij zijn indiensttreding (pagina 12 van het verslag van dr. Z, vetgedrukt). - Dit leidde tot een opeenstapeling van moeilijkheden, waarbij de reactie van het afdelingshoofd niet de juiste was in termen van steun en empathie, noch voor het personeel, noch voor zijn medewerkers, noch voor de verwijzende huisartsen (pagina’s 14 en 15 van het verslag van dr. Z) - Er is ook een gebrek aan coördinatie en wederzijds overleg tussen het hoofd van de medische dienst en de hoofdtechnoloog, wat voldoende blijkt uit de briefwisseling (pagina 15 van het verslag van dr. Z) - De managementprincipes die de klager volgt, beantwoorden aan de normen en zijn correct wat betreft hetgeen verwacht wordt van het diensthoofd,. Maar vanaf het begin zijn ze ondeugdelijk wegens het ontbreken van een wettelijke basis (pagina 20 van het verslag van dr. Z) - De verslagen van de klager zijn uitstekend, gedetailleerd, uitgebreid en goed onderbouwd. Hij is duidelijk goed voorbereid voor een externe audit in het kader van de accreditatie van ziekenhuizen of de verplichte kwaliteitscontrole van de beeldvormingsdiensten in België (pagina 25 van het verslag van dr. Z) - Uit de analyse blijkt duidelijk dat de klager helaas een eigenschap mist die in zijn geval essentieel en onmisbaar is: kunnen zorgen voor eensgezindheid en empathie tonen voor zijn medewerkers en ondergeschikten, om zo hun volledige steun te genieten (pagina 29 van het verslag van dr. Z). Bij het lezen van het rapport merkt de Geschillenkamer op, zoals blijkt uit de hierboven aangehaalde passages, dat op verschillende pagina's beoordelingen of gerapporteerde feiten met betrekking tot de klager (genoemd of geïdentificeerd als diensthoofd) terug te vinden zijn. ... Beslissing met betrekking tot 41/2020- 14/32 30. De Geschillenkamer wijst overigens op een zekere kwade trouw van de verweerder, die zich verdedigt met het argument dat slechts enkele passages van dit verslag mogelijk persoonsgegevens over de klager zouden kunnen bevatten.7 31. De Geschillenkamer concludeert uit het voorgaande dat uit het onderzoek van het rapport van dr. Z blijkt dat er wel degelijk persoonsgegevens over de klager, die een beoordeling over hem inhielden - in de meer algemene context van de beoordeling van de afdeling waar hij werkte - zijn verwerkt, hetgeen de verweerder moest geweten hebben.  Wat betreft het bestaan van een verwerking van persoonsgegevens die onder de AVG valt 32. Ten slotte merkt de Geschillenkamer op dat de verweerder in zijn conclusies ook aanvoert dat het rapport van dr. Z geen geautomatiseerde verwerking in de zin van artikel 4.2. van de AVG vormt en evenmin een manuele verwerking van gegevens die zullen worden opgenomen in een bestand. De gegevensverwerkingen van de klager zouden daarom niet binnen het materiële toepassingsgebied van de AVG vallen (artikel 2 van de AVG). 33. Wat het bestaan van een geautomatiseerde verwerking betreft, herinnert de Geschillenkamer eraan dat elke verwerking waarbij informatietechnologie wordt gebruikt, zoals tekstverwerking met computers, als "geautomatiseerd" wordt gekwalificeerd.8 34. De Geschillenkamer concludeert dat de persoonsgegevens van de klager die in het beoordelingsverslag van dr. Z zijn verwerkt, wel degelijk automatisch zijn verwerkt. Bijgevolg onderzoekt de Geschillenkamer niet of deze verwerkingen manuele verwerkingen zijn van gegevens die worden opgenomen in een bestand. * 35. Tot besluit van dit punt 5.1.1. merkt de Geschillenkamer op dat de klager wel degelijk het recht had om zijn recht van inzage uit te oefenen bij de verweerder in diens hoedanigheid van verwerkingsverantwoordelijke van de op hem betrekking hebbende en in het verslag van dr. Z op automatische wijze verwerkte persoonsgegevens, en dit op grond van artikel 15 van de AVG. 7 Pagina 8 van de brief van 29 juli van de verweerder aan de FOD in het kader van diens bemiddeling, die is overgenomen in de vorm van conclusies op 20 januari 2020. 8 Zie F. Dumortier, note d’observations: la loi du 8 décembre 1992: un obstacle au métier de détective privé ?, RDTI, nr. 41/2010, pp. 45 e.v. Aangezien de definitie van verwerking niet is gewijzigd (behalve de toevoeging van "structureren") door de AVG (artikel 4.2 van de AVG), blijft deze jurisprudentie ook na de intrekking van de richtlijn 95/46/EG en de wet van 8 december 1992 toepasselijk. ... Beslissing met betrekking tot 41/2020- 15/32 5.1.2. Wat betreft de door de verweerder aangevoerde belemmeringen voor de uitoefening van het recht van inzage van de klager zoals het door de deze laatste is geformuleerd 36. Naast het argument gebaseerd op de materiële werkingssfeer van de AVG dat hierboven door de Geschillenkamer is verworpen (punt 35), beroept de verweerder zich op verschillende belemmeringen voor de uitoefening van het recht van inzage van de klager zoals het door die laatste zou zijn geformuleerd. 37. De verweerder beroept zich ook op het vertrouwelijke karakter van het rapport, dat uitsluitend bestemd is voor het Beheerscomité / de Medische Raad van het ziekenhuis. De verweerder stelt ook dat de klager geen aanspraak kan maken op de toestemming van de opsteller van het rapport, dat door het auteursrecht wordt beschermd. Ten slotte is de verweerder, aangezien het rapport gebaseerd is op een reeks individuele gesprekken met de artsen en andere personeelsleden van de afdeling radiologie van het ziekenhuis, van mening dat het verstrekken van dit verslag de afspraken met de ondervraagde personen zou ondermijnen en de bescherming van de persoonsgegevens van anderen in het gedrang kan brengen. 38. De Geschillenkamer herinnert eraan dat artikel 15, lid 4, van de AVG het recht om een kopie te verkrijgen beperkt in de volgende bewoordingen: "Het recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen". Overweging 63 van de AVG verduidelijkt in dit verband: "Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden." Met andere woorden, de afweging tussen het recht om een kopie te verkrijgen en de rechten en vrijheden van anderen kan niet leiden tot het niet verstrekken van informatie aan de betrokkene. 39. De Geschillenkamer voegt hieraan toe dat artikel 15, lid 3, niet vereist dat een kopie van het originele document aan de betrokkene wordt verstrekt. Artikel 15, lid 3, bepaalt dat de verwerkingsverantwoordelijke de betrokkene een kopie van de persoonsgegevens die worden verwerkt moet verstrekken. Dit recht om een kopie te verkrijgen van de gegevens houdt niet in dat de betrokkene het recht heeft om een kopie van het originele document met die gegevens te verkrijgen, aangezien de mededeling van dit document in bepaalde gevallen afbreuk zou kunnen doen aan de rechten en vrijheden van anderen (zie artikel 15, lid 4, hierboven). 40. De Geschillenkamer is van mening dat geen van de argumenten van de verweerder na analyse overeind blijft. ... Beslissing met betrekking tot 41/2020- 16/32  Wat het vermeende vertrouwelijke karakter van het verslag van dr. Z betreft , merkt de Geschillenkamer op dat artikel 14.5 (
2. d)van de AVG betrekking heeft op de verplichting tot het verstrekken van informatie en niet op het recht van inzage, waarin het beroepsgeheim in het kader van Unierecht of lidstatelijk recht als uitzondering wordt genoemd voor het rechtvaardigen van het gebrek aan informatie. Zelfs in de veronderstelling dat dit artikel hier naar analogie van toepassing zou kunnen zijn, quod non, voert de verweerder geen enkele rechtsgrond aan om te concluderen dat dit verslag daadwerkelijk vertrouwelijk is. 9 Daarom is het argument van de verweerder niet overtuigend en kan het niet worden gebruikt om het recht van inzage van de klager te weigeren.  Wat betreft de auteursrechtelijke bescherming van het rapport . Zelfs in de veronderstelling dat de verweerder het recht heeft om zich te beroepen op het auteursrecht van een derde op een door hem besteld document om het recht van inzage te weigeren, merkt de Geschillenkamer het volgende op: - De verweerder levert geen enkel bewijs dat de deskundige die het rapport heeft opgesteld, bezwaar zou maken tegen de mededeling van het verslag buiten de oorspronkelijke ontvangers. Sinds januari 2019 stond het hem vrij om de deskundige te vragen om diens standpunt in dezen. - Op grond van het verantwoordelijkheidsbeginsel (artikelen 5.2 en 24 van de AVG) is het aan de verwerkingsverantwoordelijke om interne procedures te ontwikkelen die de betrokkenen in staat stellen hun rechten daadwerkelijk uit te oefenen. Op grond van artikel 25 van de AVG moet de verwerkingsverantwoordelijke er ook voor zorgen dat de regels van de AVG in acht worden genomen voorafgaand aan zijn handelingen en procedures (bijvoorbeeld door er contractueel voor te zorgen dat een kopie van het rapport kan worden verstrekt als hij niet over de nodige rechten beschikt). Anders zou het voldoende zijn dat een verwerkingsverantwoordelijke zich zonder verdere overwegingen op het auteursrecht beroept, wat volgens artikel 15 van de AVG niet is toegestaan. - Ten slotte, in de veronderstelling dat de rechthebbende zich in concreto verzet tegen het verzoek om inzage van de klager en dat een afweging van de belangen het verstrekken van een kopie verhindert, was er niets dat de verweerder belette om een raadpleging ter plaatse van het document te regelen, waarbij geen sprake is van kopiëren en dus geen inbreuk op het auteursrecht wordt gemaakt. 9 Afgezien van de overweging van de verweerder dat het rapport "noodzakelijkerwijs vertrouwelijk" zou zijn. ... Beslissing met betrekking tot 41/2020- 17/32  Wat betreft de omstandigheid dat gegevens met betrekking tot andere artsen en personeelsleden van de afdeling radiologie daarin verwerkt zouden zijn (en dat met hen afspraken tot geheimhouding zouden zijn gemaakt), is de Geschillenkamer van mening dat dit niet relevant is, aangezien de verweerder, in antwoord op het verzoek van de klager, aan deze laatste enkel de verwerkte gegevens kan meedelen die op hem betrekking hebben, met uitsluiting van gegevens met betrekking tot andere artsen en personeelsleden die in het rapport worden genoemd. De Geschillenkamer merkt voorts op dat in het kader van de bestaande gerechtelijke procedure tussen de partijen het betrokken verslag in zijn geheel aan de raadsman van de tegenpartij is toegezonden, zonder dat de door de verweerder aangevoerde bezwaren die hierboven zijn genoemd, een reden lijken te zijn geweest om het verzoek om gerechtelijke overlegging op grond van artikel 877 van het Gerechtelijk Wetboek niet in te willigen. 41. Wat betreft het argument van de verweerder dat gebaseerd is op de bewoordingen van het verzoek van klager en het (
3. te)ruime karakter ervan, merkt de Geschillenkamer op dat de klager in zijn verzoek van 2 januari 2019 aangaf dat hij kennis wilde nemen van de persoonsgegevens die op hem betrekking hebben en dus inzage wilde krijgen van het rapport van dr. Z op grond van artikel 15, lid 3, van de AVG. 42. De bewoordingen van een verzoek om inzage of de uitoefening van enig ander recht - onvolledig of gebaseerd op een onjuiste bepaling of steunend op een verkeerd begrip of een verkeerde interpretatie van het ingeroepen recht - mag echter niet dienen als voorwendsel voor de verwerkingsverantwoordelijke om geen passend gevolg aan het verzoek te geven. Met andere woorden, de verweerder kan zich niet verschuilen achter de bewoordingen van het verzoek van de klager om er geen passend gevolg aan te geven en zo zijn verplichting niet na te komen om de uitoefening van de rechten van de betrokkenen, in dit geval het recht van inzage van de klager (artikel 12, lid 2, van de AVG), te faciliteren. Zelfs in de veronderstelling, quod non, dat hij zich op de beperking van artikel 15, lid 4, van de AVG had kunnen beroepen, had de verweerder op zijn minst kunnen voldoen aan het verzoek van de klager op grond van artikel 15, lid 1, van de AVG. 43. De Geschillenkamer wijst erop dat de verweerder zich er ook over beklaagt dat de klager zijn recht van inzage pas heeft uitgeoefend op het moment dat de rechtszaak tegen zijn ontslag als diensthoofd werd aangespannen, waardoor hij - opnieuw volgens de verweerder - de regelgeving inzake gegevensbescherming heeft gebruikt om via een achterdeur toegang te krijgen tot het verslag van dr. Z. Deze omstandigheid is in de ogen van de Geschillenkamer irrelevant, de klager is te allen tijde vrij om inzage te krijgen van de gegevens die op hem betrekking hebben. ... Beslissing met betrekking tot 41/2020- 18/32 44. De verweerder stelt verder in zijn conclusies dat de persoonsgegevens die op enkele pagina's van het verslag van dr. Z voorkomen, in ieder geval gekend zijn door de klager, in zijn hoedanigheid van diensthoofd. 45. De Geschillenkamer wenst erop te wijzen dat artikel 15 van de AVG geen uitzondering bevat die vergelijkbaar is met die van artikel 13, lid 4, van de AVG (geen verplichting om informatie te verstrekken wanneer en voor zover de betrokkene reeds over de informatie beschikt) of artikel 14, lid 5, a), van de AVG (er moet geen informatie worden verstrekt in het geval van onrechtstreekse verzameling wanneer de betrokkene reeds over de informatie beschikt). Het recht van inzage stelt de betrokkene in staat om na te gaan of er geen gegevens over hem worden verwerkt zonder dat hij daarvan op de hoogte is en is een eerste stap in de richting van de mogelijke uitoefening van zijn recht op rectificatie, verwijdering of bezwaar (zie de punten 46-47 hieronder). De bedoeling van het recht van inzage gaat dus veel verder dan alleen het kennisnemen van de verwerkte gegevens, en daarom maakt het niet uit hoe de betrokkene kennis heeft genomen van de verwerkte gegevens. Het argument van de verweerder getuigt van een verkeerd begrip van het recht van inzage. 46. Ten slotte stelt de verweerder, zich opnieuw beroepend op het arrest YS van het Hof van Justitie van de Europese Unie10, dat de analyse of beoordeling van een radiologieafdeling van een ziekenhuis door een deskundige arts op zich geen voorwerp kan uitmaken van een controle op juistheid door de betrokkene of van een rectificatie in overeenstemming met de regelgeving inzake gegevensbescherming. Daarom zou er geen reden zijn om de klager een recht van inzage tot het verslag van dr. Z te verlenen. 47. De Geschillenkamer is van mening dat de verweerder ten onrechte de uitoefening van het recht van inzage afhankelijk lijkt te stellen van de mogelijkheid of het voornemen om de geraadpleegde persoonsgegevens en/of een kopie daarvan te corrigeren. De verwerkte gegevens kunnen immers, zoals reeds vermeld, subjectieve gegevens zijn en lenen zich niet noodzakelijkerwijs voor de uitoefening van een recht op rectificatie. Meer fundamenteel is dat het recht van inzage, hoewel het, zoals reeds vermeld, zeker het "uitgangspunt" is voor de uitoefening van andere rechten die de AVG aan de betrokkene verleent, zoals het recht op rectificatie, niet afhankelijk is van de mogelijkheid of de wens van de betrokkene om die andere rechten uit te oefenen. 48. De klager verklaart in zijn conclusies dat niet alleen artikel 15 van de AVG ten aanzien van hem niet is nageleefd. Hij stelt ook dat artikel 12 van de AVG is geschonden, aangezien de verweerder 10 Zie voetnoot 5 hierboven. ... Beslissing met betrekking tot 41/2020- 19/32 de uitoefening van zijn recht van inzage niet heeft gefaciliteerd en na 25 januari 2019 heeft nagelaten hem van antwoord te dienen. 49. De Geschillenkamer merkt op dat de verweerder op het verzoek van 2 januari 2019 van de klager heeft gereageerd met een e-mail op 25 januari 2019, d.w.z. binnen de door artikel 12, lid 3, van de AVG voorgeschreven termijn van een maand. De verweerder heeft daarentegen niet opnieuw gereageerd op het antwoord dat de klager hem in reactie op zijn in die e-mail van 25 januari 2019 meegedeelde weigering had gestuurd. Dit uitblijven van een antwoord vormt geen inbreuk op artikel 12, lid 3, van de AVG. 50. Hoewel de Geschillenkamer opmerkt dat de verweerder binnen de in artikel 12, lid 3, van de AVG voorgeschreven termijn heeft gereageerd door op 25 januari 2019 voor het eerst te antwoorden, merkt zij niettemin op dat verweerder heeft nagelaten, aangezien hij niet van plan was aan het verzoek van de klager te voldoen, de klager op de hoogte te stellen van de mogelijkheid om een klacht in te dienen bij de GBA. De bepalingen van artikel 12, lid 4, van de AVG, die de uitoefening van het recht van inzage omkaderen, zijn dus niet nageleefd. * 51. Samengevat, gestaafd door de voorgaande paragrafen, concludeert de Geschillenkamer dat de verweerder de artikelen 15, lid 3, en 12, lid 4, van de AVG niet heeft nageleefd. 5.2. Wat betreft de niet-nakoming door de verweerder van zijn informatieplicht (artikelen 13 en 14 van de AVG, juncto artikel 12 van de AVG) 52. In zijn conclusies merkt de klager ook voor de eerste keer op dat hij geen informatie heeft gekregen over het verzamelen en verwerken van gegevens in het kader van de opstelling van het rapport van dr. Z. 53. Op grond van artikel 13 en 14 van de AVG moet elke persoon wiens persoonsgegevens worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij hem of bij derden worden verzameld, op de hoogte worden gesteld van de in die artikelen genoemde elementen (leden 1 en 2)11. Wanneer de gegevens rechtstreeks bij de betrokkene worden verzameld, wordt deze op de hoogte gebracht van zowel de in lid 1 als lid 2 van artikel 13 van de AVG genoemde elementen, met name: de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, de 11 In zijn richtsnoeren inzake het transparantiebeginsel (punt 13) stelt de Groep artikel 29 dat: "(…) het standpunt van de WP29 is dat er geen statusverschil bestaat tussen de informatie die op grond van de leden 1 en 2 van respectievelijk artikel 13 en artikel 14 moet worden verstrekt. Alle informatie uit hoofde van deze leden is even belangrijk en moet aan de betrokkene worden verstrekt". De Geschillenkamer onderschrijft dit standpunt. ... Beslissing met betrekking tot 41/2020- 20/32 contactgegevens van de functionaris voor gegevensbescherming; de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking (wanneer de verwerking is gebaseerd op de gerechtvaardigde belangen van de verwerkingsverantwoordelijke, moeten deze belangen verduidelijkt worden); de ontvangers of categorieën van ontvangers van de verwerking; het voornemen van de verwerkingsverantwoordelijke om de gegevens buiten de Europese Economische Ruimte door te geven; de periode gedurende welke de persoonsgegevens zullen worden opgeslagen; de rechten van de betrokkende uit hoofde van de AVG, waaronder het recht om de toestemming te allen tijde in te trekken en het recht om een klacht in te dienen bij een toezichthoudende autoriteit (in dit geval de GBA), of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt; en het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 van de AVG bedoelde profilering. De Geschillenkamer wijst er ook op dat in het geval van rechtstreekse verzameling (artikel 13 van de AVG) niet in een uitzondering is voorzien. 54. In artikel 14, leden 1 en 2, worden soortgelijke elementen opgesomd, waarbij echter in aanmerking moet worden genomen dat artikel 14 van de AVG verwijst naar gegevens die niet rechtstreeks bij de betrokkene worden verzameld, maar bij derden. 55. Deze informatie moet op grond van artikel 13 of artikel 14 van de AVG aan de betrokkene worden verstrekt overeenkomstig de bepalingen van artikel 12 van de AVG. 56. Tijdens de hoorzitting van 13 mei 2020 verklaarde de verweerder dat ten tijde van de feiten, voor zover hem bekend, geen informatie aan de klager was verstrekt over de gegevensverwerking die in het kader van zijn professionele relatie met de verweerder werd uitgevoerd. De verweerder heeft ook aangevoerd dat er met betrekking tot contractueel en benoemd personeel in die zin een punt is opgenomen in het arbeidsreglement of in de statuten. Anderzijds heeft de verweerder verklaard dat, wat artsen zoals de klager betreft, dit soort mededeling van informatie, voor zover hem bekend, nog niet bestond maar in ontwikkeling was. De verweerder verwees in dit verband naar het werk van zijn functionaris voor gegevensbescherming. 57. Na de hoorzitting van 13 mei 2020 heeft de verweerder een document opgesteld op datum van 6 juni 2018 gericht aan de onafhankelijke zorgverleners waarmee hij samenwerkt (het AVGinformatiedocument van de verweerder). In dit document wordt aangegeven dat het tot doel heeft om informatie te verstrekken over de wijze waarop de persoonsgegevens van de medewerkers van het ziekenhuis worden verwerkt in het kader van de organisatie van de zorgverlening en de activiteiten van de verweerder. Het vermeldt ook dat deze informatiemaatregel kadert binnen de AVG. Het was de verstrekking van dit document die de heropening van de reeds genoemde debatten rechtvaardigde. ... Beslissing met betrekking tot 41/2020- 21/32 58. De Geschillenkamer merkt op dat dit document per e-mail van 19 juni 2018 aan de onafhankelijke zorgverleners is verstrekt. Hoewel de klager wel degelijk op de lijst van ontvangers van deze e-mail moest staan, vond deze mededeling pas plaats na de verwerkingen die werden uitgevoerd in het kader van de opstelling van het rapport van dr. Z, aangezien diens rapport op 4 juni 2018 werd ingediend. 59. Artikel 13 van de AVG bepaalt echter dat wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de bovenstaande informatie verstrekt (artikel 13, lid 1, van de AVG). Volgens artikel 14 van de AVG moet de betrokkene binnen een redelijke termijn worden ingelicht, en wel uiterlijk op het moment dat de gegevens voor het eerst aan een andere ontvanger worden meegedeeld. Aangezien het rapport op 4 juni 2018 werd voorgesteld bij het POC, met leden van de Medische Raad en de ziekenhuisbeheerder, had de klager de informatie uiterlijk op die datum moeten ontvangen. 60. Zoals de klager heeft aangegeven, heeft dr. Z voor de opstelling van dit rapport, dat op 4 juni 2018 bij het POC is ingediend, gedeeltelijk rechtstreeks bij de klager en gedeeltelijk bij derden gegevens verzameld, zodat zowel artikel 13 als artikel 14 van de AVG van toepassing zijn. 61. Aangezien de AVG rechtstreeks van toepassing is, waren deze bepalingen van toepassing vanaf 25 mei 2018. 62. Daarom, en aangezien de verweerder op geen enkele wijze aantoont dat er vóór 19 juni 2018 informatie is verstrekt aan de klager, concludeert de Geschillenkamer dat de verweerder zijn informatieplicht aan de klager niet is nagekomen. 63. De Geschillenkamer herinnert eraan dat een essentieel aspect van het in de artikelen 12, 13 en 14 van de AVG genoemde transparantiebeginsel inhoudt dat de betrokkene van tevoren moet kunnen bepalen wat de omvang en de gevolgen van de verwerking zijn, zodat hij in een later stadium niet voor verrassingen komt te staan bij de manier waarop zijn persoonsgegevens zijn gebruikt. De informatie moet concreet en betrouwbaar zijn, mag niet in abstracte of dubbelzinnige bewoordingen worden geformuleerd en mag geen ruimte laten voor verschillende interpretaties. Met name moeten de doeleinden en de rechtsgrondslag voor de verwerking van persoonsgegevens duidelijk zijn. 64. De Geschillenkamer merkt op dat het AVG-informatiedocument van de verweerder over het algemeen onnauwkeurig en onvolledig is. ... Beslissing met betrekking tot 41/2020- 22/32 65. Naar het oordeel van de Geschillenkamer bevat dit document vage formuleringen - zonder voldoende granulariteit - die onafhankelijke zorgverleners, zoals de klager, die de ontvangers van de gegevens zijn of waren, niet in staat stellen om duidelijk te voorzien en te begrijpen welke gegevens worden verwerkt, welke verwerkingen worden uitgevoerd, wat de doeleinden ervan zijn en op welke basis de geplande verwerking wordt uitgevoerd. Algemeen genomen, en in tegenstelling tot wat de verweerder beweert, betekent het feit dat geen enkele zorgverlener om een toelichting op dit informatiedocument heeft gevraagd niet dat de verstrekte informatie voldoende is of in overeenstemming met de eisen van de AVG. 66. De Geschillenkamer heeft de hierna volgende opmerkingen over de conformiteit van dit document met de artikelen 12, 13 en 14 van de AVG en dus met het transparantiebeginsel (artikel 5, lid 1, onder a), van de AVG). 67. Wat betreft de informatie over de verwerkingsdoeleinden (artikel 13, lid 1, c), en artikel 14, lid 1, c), van de AVG) wijst de Kamer erop dat, zoals in overweging 60 van de AVG wordt gesteld, het beginsel van een eerlijke en transparante verwerking vereist dat de betrokkene op de hoogte wordt gebracht van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. 68. De Geschillenkamer is dan ook van mening dat de doeleinden die in de rubriek "Verwerkingsdoeleinden van persoonsgegevens" in het AVG-informatiedocument van de verweerder worden genoemd, nauwkeuriger moeten worden omschreven wat betreft de "andere doeleinden", zo nodig door het geven van enkele voorbeelden. De belangrijkste doeleinden die voortvloeien uit de wettelijke verplichtingen van de verweerder moeten ook worden verduidelijkt. De Geschillenkamer herinnert eraan dat niet alleen het doel van de beoogde verwerking moet worden vastgesteld, maar dat ook de relevante rechtsgrondslag die krachtens artikel 6 van de AVG wordt toegepast, moet worden meegedeeld. De tweede paragraaf van de rubriek "Verwerkingsdoeleinde van persoonsgegevens" van het AVG-informatiedocument van de verweerder is in dit opzicht niet nauwkeurig genoeg. Wat betreft de door de verweerder ingeroepen toestemming voor gegevensverwerking voor "andere doeleinden", herinnert de Geschillenkamer eraan dat deze toestemming moet worden verduidelijkt (artikel 4, punt 11, van de AVG). 69. Ten slotte sluit de verweerder onder de rubriek "Categorieën van verwerkte gegevens" de verwerking van gerechtelijke gegevens niet uit. De Geschillenkamer benadrukt in dit verband dat voor zover hetgeen de verweerder als "gerechtelijke gegevens" kwalificeert, overeenstemt met de definitie in artikel 10 van de AVG, dit artikel 10 en artikel 10 van de wet van 30 juli 2018 in al hun aspecten (legitimiteitsbeginselen en waarborgen) moeten worden nageleefd 12. 12 Art. 10. § 1. In uitvoering van artikel 10 van de Verordening wordt de verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafrechtelijke inbreuken of daarmee verband houdende veiligheidsmaatregelen uitgevoerd : ... Beslissing met betrekking tot 41/2020- 23/32 70. Wat betreft de informatie over de betrokken categorieën van persoonsgegevens (artikel 14, lid 1,
4. d)van de AVG), merkt de Geschillenkamer hier opnieuw een gebrek aan nauwkeurigheid op, in het bijzonder met betrekking tot de "andere gegevens die nodig zijn voor de uitvoering van de door [de verweerder] vastgestelde of door de wet opgelegde doeleinden, zoals gerechtelijke gegevens" in de rubriek " Categorieën van persoonsgegevens" van zijn informatiedocument. Er kunnen op zijn minst enkele voorbeelden worden gegeven. In combinatie met het gebrek aan nauwkeurigheid over deze "andere doeleinden" (zie punten 67-68 hierboven), wordt de betrokkene in het ongewisse gehouden, hetgeen des te ontoelaatbaarder, aangezien het mogelijkerwijs om gerechtelijke gegevens gaat. 71. Wat betreft de informatie over "gegevensoverdrachten" merkt de Geschillenkamer op dat deze rubriek van het AVG-informatiedocument van de verweerder zowel betrekking heeft op de categorieën van ontvangers van de verwerkte gegevens (artikel 13, lid 1, e), en artikel 14, lid 1, e), van de AVG) als op de mogelijke doorgiften in de zin van hoofdstuk V van de AVG (artikel 13, lid 1, f), en artikel 14, lid 1, f), van de AVG). Wat de opgesomde ontvangers betreft, zou ook hier beter aan het transparantiebeginsel worden voldaan als enkele voorbeelden aan de categorieën "overheidsinstanties" en "andere ontvangers" zouden worden toegevoegd 1° door natuurlijke personen of door privaatrechtelijke of publiekrechtelijke rechtspersonen voor zover dat noodzakelijk is voor het beheer van hun eigen geschillen; of 2° door advocaten of andere juridische raadgevers in zoverre de verdediging van de belangen van hun cliënten dit vereist; of 3° door andere personen, indien de verwerking noodzakelijk is voor redenen van zwaarwegend algemeen belang voor het vervullen van taken van algemeen belang die door of krachtens een wet, een decreet, een ordonnantie of het recht van de Europese Unie zijn vastgesteld; of 4° voor zover de verwerking noodzakelijk is voor wetenschappelijk, historisch of statistisch onderzoek of met het oog op archivering; of 5° indien de betrokkene uitdrukkelijke schriftelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden en de verwerking tot die doeleinden blijft beperkt; of 6° indien de verwerking betrekking heeft op de persoonsgegevens die kennelijk door de betrokkene op eigen initiatief openbaar zijn gemaakt voor een of meer welbepaalde doeleinden en de verwerking tot die doeleinden blijft beperkt. § 2. De verwerkingsverantwoordelijke en, in voorkomend geval, de verwerker stellen een lijst op van de categorieën van personen die toegang hebben tot de persoonsgegevens, met een beschrijving van hun hoedanigheid ten opzichte van de verwerking van de beoogde gegevens. Deze lijst wordt ter beschikking gehouden van de bevoegde toezichthoudende autoriteit. De verwerkingsverantwoordelijke en, in voorkomend geval, de verwerker zorgen dat de aangewezen personen door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling, ertoe gehouden zijn het vertrouwelijke karakter van de betrokken gegevens in acht te nemen. ... Beslissing met betrekking tot 41/2020- 24/32 72. Wat betreft de informatie over de bewaartermijn (artikel 13, lid 2, a), en artikel 14, lid 2, a), van de AVG) is de Geschillenkamer van mening dat deze zodanig moet worden geformuleerd dat de betrokkene op zijn minst kan beoordelen wat de bewaartermijn voor zijn gegevens zal zijn, afhankelijk van de situatie waarin hij zich bevindt. Het volstaat niet dat de verwerkingsverantwoordelijke in het algemeen verklaart dat de persoonsgegevens worden bewaard zolang het legitieme doeleinde van de verwerking dit vereist of in overeenstemming is met zijn wettelijke verplichtingen. Indien geen precieze termijn kan worden opgegeven, moeten criteria worden verstrekt die een dergelijke beoordeling door de betrokkene mogelijk maken. In voorkomend geval moeten verschillende opslagperiodes worden vermeld voor de verschillende categorieën van persoonsgegevens en/of de verschillende verwerkingsdoeleinden. 73. In het onderhavige geval merkt de Geschillenkamer op dat de door de verweerder meegedeelde informatie (rubriek "Bewaartermijnen") beperkt is tot de vermelding dat "de bewaartermijn van de persoonsgegevens van de zorgverleners in overeenstemming is met de wettelijke verplichtingen". Er wordt dus geen informatie verstrekt aan de hand waarvan de betrokkene kan beoordelen hoe lang zijn gegevens worden bewaard. 74. In een tweede paragraaf wordt toegevoegd dat aan het einde van de bewaartermijn "de persoonsgegevens binnen een jaar worden gewist, tenzij de bewaring belangrijk wordt geacht voor de verdediging van de legitieme belangen van de instelling of de dienstverlener of van zijn rechtsopvolgers, of indien er een overeenkomst over de bewaring bestaat tussen de dienstverlener en de instelling". 75. De Geschillenkamer is van mening dat deze paragraaf moet worden verduidelijkt. De verweerder kan bij wijze van voorzorgsmaatregel in geval van een geschil niet a priori alle gegevens die worden verwerkt, langer bewaren dan nodig is om de doeleinden waarvoor zij worden verwerkt te verwezenlijken, zonder daarbij het beginsel van minimale gegevensverwerking te schenden. Anderzijds is het bewaren van gegevens ten behoeve van verdediging in rechte een toelaatbaar doeleinde op zich, waarvan de duur bijvoorbeeld gebaseerd zal zijn op verjaringstermijnen. 76. Wat betreft de informatie over de uitoefening van hun rechten door de onafhankelijke zorgverleners (de rubriek "Rechten van de dienstverlener" van het AVG-informatiedocument van de verweerder), merkt de Geschillenkamer op dat de lijst van rechten die de betrokkenen op grond van de AVG genieten, niet volledig is opgenomen. Het recht op beperking van de verwerking (artikel 18 van de AVG) en het recht op overdraagbaarheid van gegevens (artikel 20 van de AVG) worden bijvoorbeeld niet vermeld. Aangezien de verweerder niet uitsluit dat bepaalde verwerkingen uitgaan van toestemming, kan het recht op overdraagbaarheid - dat van toepassing is wanneer de ... Beslissing met betrekking tot 41/2020- 25/32 gegevensverwerking op toestemming of op een contract berust - niet bij voorbaat worden uitgesloten. In dezelfde zin wordt het recht van de zorgverlener om zijn toestemming te allen tijde in te trekken niet vermeld (artikel 7.3 van de AVG). 77. Wat de bestanddelen van het recht op informatie betreft, moet de betrokkene, zoals reeds vermeld, alle in de leden 1 en 2 van de artikelen 13 en 14 van de AVG genoemde informatie ontvangen. Daarom volstaat het niet om hem - zoals thans in het document is bepaald - ervan in kennis te stellen dat hij informatie zal ontvangen die uitsluitend betrekking heeft op de doeleinden van de verwerking, de categorieën van verwerkte gegevens, de bewaartermijn en de categorieën van ontvangers en de bron van de gegevens. 78. Wat de ingestelde procedure betreft voor de uitoefening van de rechten van de betrokkenen, is de Geschillenkamer van mening dat deze niet voldoet aan de vereisten van artikel 12. 2 (het faciliteren van de uitoefening van de rechten) en 12.3. (antwoordtermijn) van de AVG. 79. Hoewel niet kan worden uitgesloten dat voor het antwoord op de uitoefening van zijn rechten door de betrokkene soms een gesprek met hem nodig is, is het feit dat hij hiervoor een door de verweerder systematisch voorziene afspraak moet maken buitensporig, en kan dit voor sommigen als intimiderend worden ervaren en een belemmering vormen voor de daadwerkelijke uitoefening van de door de AVG verleende rechten. Een verzoek om inzage moet bijvoorbeeld kunnen worden gedaan door rechtstreeks een e-mail te sturen naar de verwerkingsverantwoordelijke of naar de functionaris voor gegevensbescherming via een specifiek e-mailadres. 80. De Geschillenkamer verzoekt de verweerder overigens om na te gaan of het verstrekken van een kopie van de identiteitskaart van de zorgverleners, zoals vereist in het AVG-informatiedocument, systematisch noodzakelijk is voor hun identificatie, of dat andere, minder ingrijpende identificatiemiddelen kunnen worden gebruikt. 81. De Geschillenkamer is ook van mening dat het toekennen van een ontmoeting binnen de termijn van een maand niet gelijkstaat aan “het verstrekken van informatie over het gevolg dat aan het verzoek is gegeven” binnen een maand na ontvangst van het verzoek (artikel 12.3. van de AVG). In dit verband merkt de Geschillenkamer op dat onafhankelijke zorgverleners voor elke vraag met betrekking tot gegevensbescherming (inclusief klachten) worden gevraagd een e-mail te sturen naar het adres van een externe DPO, terwijl zij voor elke uitoefening van hun rechten worden gevraagd zich rechtstreeks tot de verwerkingsverantwoordelijke te richten via een ander e-mailadres. 82. Indien de verweerder, zoals de Geschillenkamer het begrijpt, ervoor kiest het beheer van de uitoefening van hun rechten door de zorgverleners in eigen beheer te houden, moet de functionaris ... Beslissing met betrekking tot 41/2020- 26/32 voor gegevensbescherming niettemin, volgens door de verweerder vast te stellen voorwaarden, daarvan op de hoogte worden gebracht om zijn taken zo goed mogelijk te kunnen uitvoeren. 83. De betrokkene mag in elk geval op geen enkele wijze worden gestraft voor het feit dat hij het verzoek niet aan het juiste adres heeft gericht. 84. Het contactadres van de Gegevensbeschermingsautoriteit of een link naar de website van de Autoriteit kan worden toegevoegd aan de laatste paragraaf van de rubriek over de rechten van de betrokkene, ook weer om de uitoefening van hun rechten door de betrokkenen te vergemakkelijken. Ten slotte merkt de Geschillenkamer op dat het informatiedocument niet de in artikel 13, lid 85. 2, e), van de AVG vereiste informatie bevat . Deze bepaling voorziet erin dat wanneer persoonsgegevens bij de betrokkene worden verzameld, het belangrijk is dat de betrokkene ook weet of hij verplicht is de persoonsgegevens te verstrekken, en dat hij op de hoogte wordt gebracht van de gevolgen indien hij die niet verstrekt. In het informatiedocument van de verweerder wordt hierover geen informatie verstrekt. 86. In het licht van het voorgaande concludeert de Geschillenkamer dat het AVG- informatiedocument van de verweerder de onafhankelijke zorgverleners niet informeert overeenkomstig de vereisten van de artikelen 13 en 14 van de AVG, in samenhang met artikel 12 van de AVG. 87. Wat de functionaris voor gegevensbescherming (hierna "DPO" genoemd) betreft, herinnert de Geschillenkamer eraan dat artikel 38, lid 2, van de AVG bepaalt dat de organisatie haar DPO moet ondersteunen door hem toegang te verschaffen tot persoonsgegevens en verwerkingsactiviteiten en door hem de benodigde middelen ter beschikking te stellen voor het vervullen van deze taken en het in stand houden van zijn deskundigheid. Wat dit betreft is de Geschillenkamer van mening dat met name de volgende aspecten in aanmerking moeten worden genomen: - Actieve ondersteuning van de functie van de DPO door het hoger management (bijvoorbeeld op het niveau van de raad van bestuur); - Voldoende tijd voor de DPO om zijn taken uit te voeren. Dit is met name van belang wanneer een DPO, intern of extern aan de organisatie, deeltijds wordt aangesteld om zijn taken uit te voeren. Bij gebrek aan voldoende tijd voor de DPO om zijn taken uit te voeren, kunnen prioriteitsconflicten ertoe leiden dat de taken van de DPO worden verwaarloosd. Het is essentieel dat de DPO voldoende tijd kan besteden aan zijn taken; - Adequate ondersteuning in termen van financiële middelen, infrastructuur (bedrijfsruimten, uitrustingen, apparatuur) en personeel, in voorkomend geval; ... Beslissing met betrekking tot 41/2020- 27/32 - Officiële bekendmaking van de aanwijzing van de DPO aan alle personeelsleden om ervoor te zorgen dat het bestaan en de functie van de DPO binnen de organisatie bekend is; - Noodzakelijke toegang tot andere diensten, zoals personeelszaken, de juridische dienst, IT, veiligheid, enz. zodat de DPO essentiële ondersteuning, input en informatie kan krijgen van deze andere diensten; - Voortgezette opleiding; - Gezien de omvang en de structuur van de organisatie kan het nodig zijn een DPO-team (een DPO met personeel) in te stellen. In dergelijke gevallen moeten de interne structuur van het team en de taken en verantwoordelijkheden van elk teamlid duidelijk worden vastgesteld. Ook wanneer de functie van de DPO wordt uitgevoerd door een externe dienstverlener, kan een team van personen die namens die entiteit werken, in feite de taken van de DPO als groep uitvoeren, onder de verantwoordelijkheid van een voor de cliënt aangewezen hoofdcontactpersoon. 88. Over het algemeen beklemtoont de Geschillenkamer dat hoe complexer of gevoeliger de verwerkingen zijn, zoals in het onderhavige geval, gezien de hoedanigheid van de verweerder en dus de zeer grote hoeveelheid gegevens (met name gezondheidsgerelateerde gegevens) die worden verwerkt, des te meer middelen aan de DPO zullen moeten worden toegewezen. De functionaris voor gegevensbescherming moet zijn taken doeltreffend kunnen uitvoeren en over voldoende middelen beschikken met betrekking tot de uitgevoerde gegevensverwerkingen en de risico's die deze met zich meebrengen. 89. Hoewel dit aspect niet het voorwerp uitmaakt van de klacht die tot deze beslissing heeft geleid, herinnert de Geschillenkamer eraan dat de verweerder uiteraard ook verplicht is om niet alleen al zijn personeelsleden, ongeacht hun statuut (arts, verplegend en administratief personeel, enz.), maar ook de patiënten te informeren over de verwerkingen van hen betreffende gegevens die worden uitgevoerd, overeenkomstig de AVG en de andere toepasselijke wettelijke bepalingen. 5.3. Wat betreft de niet-naleving van artikel 6 van de AVG 90. In zijn conclusies brengt de klager ten slotte aan dat een audit ter beoordeling van de kwaliteit van de zorg in een ziekenhuisomgeving - zoals het werk van dr. Z dat tot het betrokken rapport heeft geleid - door de medisch directeur moet worden uitgevoerd (zie punten 7-8 hierboven). Hij stelt dat deze eis is vastgelegd in artikel 6/1 van het Koninklijk besluit van 15 december 1987 houdende uitvoering van de artikels 13 tot en met 17 van de wet op de ziekenhuizen, zoals gecoördineerd door het koninklijk besluit van 7 augustus 1987. Hij hekelt het feit dat dr. Z op de datum van de audit die tot zijn rapport heeft geleid, geen medisch directeur was, maar een externe deskundige aan wie de verweerder de beoordeling van de radiologieafdeling van het ziekenhuis had toevertrouwd. ... Beslissing met betrekking tot 41/2020- 28/32 91. Het is niet aan de Geschillenkamer om het verslag van dr. Z met betrekking tot het ziekenhuisrecht te kwalificeren en te besluiten of het al dan niet daadwerkelijk voldoet aan de auditcriteria zoals gedefinieerd in het voormelde Koninklijk Besluit van 15 december 1987 (zie punt 13 hierboven). Dit onderzoek valt buiten de bevoegdheid van de Geschillenkamer. De Geschillenkamer herinnert er echter aan dat elke gegevensverwerking rechtmatig moet zijn, dat wil zeggen dat zij niet alleen gebaseerd moet zijn op een van de rechtsgrondslagen die exhaustief zijn opgesomd in artikel 6, lid 1, van de AVG - met uitzondering van artikel 6, lid 1, f), dat niet van toepassing is op de verwerking door de overheid in de zin van artikel 5 van de wet van 30 juli 2018 bij de uitvoering van haar taken -, maar ook moet voldoen aan alle wettelijke verplichtingen van de verwerkingsverantwoordelijke krachtens artikel 5, lid 1, a), van de AVG. Met andere woorden, de verwerking kan niet in strijd zijn met de wet. 5.4. Wat betreft het verzoek om de notulen te verstrekken van de vergadering van het POC van 11 juli 2018 op basis van artikel 15 van de AVG 92. Zoals reeds in de beschrijving van het voorwerp van de klacht wordt vermeld, verzoekt de klager in het dispositief van zijn conclusies om hem de notulen van het POC van 11 juli 2018 te verstrekken. De klager geeft aan dat het op deze datum was dat dr. Z zou zijn aangesteld als medisch coördinator (zie hierboven). 93. Subsidiair, mocht deze uitbreiding van het voorwerp van de klacht door de Geschillenkamer ontvankelijk worden geacht, is de verweerder van mening dat, bij gebrek aan vermelding van persoonsgegevens over hem door de klager, diens verzoek ongegrond is. 94. De Geschillenkamer heeft geoordeeld dat zij bevoegd is om deze uitbreiding van het verzoek te behandelen (zie punt 15 hierboven). 95. De Geschillenkamer verwijst naar de criteria voor de toepassing van artikel 15 die in deze beslissing in detail worden uiteengezet en concludeert dat, aangezien persoonsgegevens van de klager in de notulen worden vermeld, een kopie van deze gegevens aan de klager moet worden verstrekt. 6. 96. Corrigerende maatregelen en sancties Volgens artikel 100 van de WOG is de Geschillenkamer bevoegd om: 1° de klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; ... Beslissing met betrekking tot 41/2020- 29/32 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere staat of een internationale instelling te bevelen; 15° het dossier over te dragen naar het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 97. Het is belangrijk om de schending van artikel 15, lid 3, in combinatie met artikel 12, lid 4, enerzijds (recht van inzage), en de schending van de artikelen 12, 13 en 14 van de AVG anderzijds (recht op informatie), in de juiste context te plaatsen om de meest geschikte sancties en/of corrigerende maatregelen vast te stellen. 98. Met betrekking tot de schending van artikel 15, lid 3, in combinatie met artikel 12, lid 4, van de AVG, merkt de Geschillenkamer op dat het verkrijgen van een kopie van de gegevens de belangrijkste bijdrage is van de AVG op het gebied van het recht van inzage. Het moet de betrokkenen helpen om hun controle over de hen betreffende persoonsgegevens te versterken. De informatieve zelfbeschikking die de AVG kenmerkt, komt het sterkst tot uitdrukking in deze nieuwe versie van het recht van inzage (met inbegrip van het recht op het verkrijgen van een kopie). 99. Naar het oordeel van de Geschillenkamer is de verweerder in dit verband schuldig aan een ernstige schending. De schending is des te groter omdat het gaat om persoonsgegevens die betrekking hebben op de beoordeling van een ziekenhuisdienst die door de klager werd geleid (en die bovendien een beoordeling over hem inhield). 100. Door de klager te weigeren hem betreffende gegevens mee te delen, heeft de verweerder de klager niet alleen het recht ontnomen dat hem bij artikel 15 van de AVG is toegekend, maar heeft hij meer in het algemeen ook inbreuk gemaakt op de informationele autonomie van de klager door hem ... Beslissing met betrekking tot 41/2020- 30/32 niet toe te staan kennis te nemen van deze gegevens of, in voorkomend geval, zich erop te beroepen in het kader van de gerechtelijke procedure die hij had ingeleid en waarvan de verweerder op de hoogte was, of in enige andere context. 101. De verweerder heeft in strijd met de artikelen 13 en 14 van de AVG (zie hierboven) geen informatie aan de klager verstrekt, en heeft ook niet voldaan aan artikel 15 van de AVG ten tijde van het verzoek van de klager om zijn recht van inzage uit te oefenen. 102. Wat de schending van de artikelen 12, 13 en 14 van de AVG betreft, is de Geschillenkamer van oordeel dat het om een ernstige inbreuk gaat. Het gebrek aan transparantie en volledige en toereikende informatie over de in de artikelen 13 en 14 van de AVG genoemde elementen met betrekking tot de verwerking van hun gegevens, in combinatie met de schending van artikel 12, leden 2 en 3, van de AVG, ondermijnt de uitoefening van hun rechten door de betrokkenen (zoals het recht van inzage, het recht op rectificatie, het recht van bezwaar of het recht om een klacht in te dienen bij de gegevensbeschermingsautoriteit) en heeft zelfs tot gevolg dat hun deze rechten worden ontzegd. 103. Wat de duur van deze inbreuk betreft, moet de Geschillenkamer vaststellen dat deze bestaat sinds 25 mei 2018, de datum van toepassing van de AVG. De Geschillenkamer merkt hier op dat er twee jaar zat tussen de inwerkingtreding en de invoering van de AVG om de verwerkingsverantwoordelijken in staat te stellen aan hun verplichtingen te voldoen, en dit hoewel er reeds een vergelijkbare informatieverplichting bestond op grond van artikel 9 van de wet van 8 december 1992 voor de bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. 104. De Geschillenkamer wijst ook op het grote aantal personen waarvan de persoonsgegevens door de verweerder worden verwerkt in het kader van de professionele relatie - onder welke status dan ook (zeker niet allemaal als zelfstandige) - die zij met de verweerder onderhouden. Tijdens de hoorzitting op 13 mei 2020 werd het aantal van enkele duizenden mensen, ongeacht de status, genoemd. Het is belangrijk dat iedereen goed geïnformeerd is over de verwerking van zijn gegevens. 105. Gezien de hoedanigheid van de verweerder is de Geschillenkamer niet bevoegd om hem een administratieve boete op te leggen, zelfs in het geval van bovengenoemde schendingen. In het licht van de voorgaande overwegingen, die specifiek betrekking hebben op deze zaak, is de Geschillenkamer van oordeel dat de vastgestelde feiten en de schendingen van de artikelen 15, lid 3, en 12, lid 4, enerzijds, en de artikelen 12, leden 2 en 3, 13 en 14 van de AVG anderzijds, rechtvaardigen dat als doeltreffende, evenredige en afschrikkende sanctie zoals bepaald in artikel 83 van de AVG, een berisping (artikel 100 § 1, 5° WOG), vergezeld van het bevel tot naleving, tegen de verweerder moet worden uitgevaardigd (100 § 1, 6° WOG). ... Beslissing met betrekking tot 41/2020- 31/32 106. Gezien het belang van transparantie met betrekking tot het besluitvormingsproces en de beslissingen van de Geschillenkamer wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit met verwijdering van de directe identificatiegegevens van de genoemde partijen en personen, zowel natuurlijke als rechtspersonen. OM DEZE REDENEN, DE GESCHILLENKAMER, beslist, na beraadslaging, - de verweerder een berisping op te leggen op grond van artikel 100 § 1, 5° WOG; - deze berisping te koppelen aan: o een bevel om te voldoen aan de uitoefening van het recht van inzage van de klager van de notulen van de vergadering van het POC van 11 juli, voor zover deze persoonsgegevens met betrekking tot de klager bevatten, en dit op grond van artikel 100 § 1, 6° WOG; o een bevel om zijn gegevensverwerking met betrekking tot zelfstandige zorgverleners in overeenstemming te brengen met de artikelen 12, 13 en 14 van de AVG, binnen een termijn van 3 maanden na de datum van kennisgeving van deze beslissing, op basis van artikel 100 § 1, 9° WOG13. De verweerder zal de Geschillenkamer hiervan binnen dezelfde termijn van 3 maanden per e-mail op de hoogte brengen op het adres litigationchamber@apd-gba.be. Het niet verstrekken van de verplichte informatie of het gebrek aan overeenstemming ervan kan, in voorkomend geval, aanleiding geven tot het instellen van een onderzoek op eigen initiatief door de Gegevensbeschermingsautoriteit, wat kan leiden tot een nieuwe beslissing van de Geschillenkamer over de kwestie van de informatieplicht. * Op grond van artikel 108, § 1 WOG kan tegen deze beslissing beroep worden aangetekend bij het Marktenhof, binnen een termijn van 30 dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. 13 De verzenddatum van deze beslissing geldt als datum van kennisgeving. ... Beslissing met betrekking tot 41/2020- 32/32 (ondertekend) Hielke Hijmans Voorzitter van de Geschillenkamer