Beslissing ten gronde nr. 41/2022

1/6 Geschillenkamer Beslissing ten gronde 41/2022 van 18 maart 2022 Dossiernummer : DOS-2020-03145 / DOS-2020-3155 / DOS-2020-03156 Betreft : Oneigenlijk gebruik van e-mailadressen De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: . De klagers: Mevr. X1, hierna “klager 1”; . De heer X2, hierna “klager 2”; . De heer X3, hierna “klager 3”; De verweerder: Mevr. Y, hierna “de verweerder” Beslissing ten gronde 41/2022 - 2/6 I. Feiten en procedure 1. Op 29 juni 2020 dienden de klagers elk afzonderlijk een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. Het voorwerp van de klacht betreft het gebruik door de verweerder, schepen van de gemeente (…), van e-mailadressen verkregen via het algemeen mailadres van de gemeente (…) in het kader van een oproep naar vrijwilligers voor de bedeling van mondmaskers, om de vrijwilligers persoonlijk te contacteren via haar eigen professionele e-mailadres (…). 2. Op 6 juli 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, §1 WOG overgemaakt aan de Geschillenkamer. 3. Op 23 september 2020 beslist de Geschillenkamer om de drie klachten te voegen, aangezien het voorwerp van de klacht hetzelfde is. Op grond van artikel 95, §1, 1° en artikel 98 WOG wordt eveneens beslist dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 3 november 2020, deze voor de conclusie van repliek van de klagers op 24 november 2020 en deze voor de conclusie van repliek van de verweerder op 15 december 2020. 4. Op 23 september 2020 vraagt klager 3 een kopie van het dossier (art. 95, §2, 3° WOG), dewelke hem werd overgemaakt op 21 oktober 2020. 5. Op 29 oktober 2020 stelt de verweerder dat verweermiddelen zullen worden ingediend en geeft te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 6. Op 2 november 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. Zij stelt dat zij als schepen van communicatie op 19 mei 2020 de toestemming kreeg van het College van Burgemeester en Schepenen om de coördinatie en communicatie te doen van de bedeling van de mondmaskers in samenspraak met een ambtenaar. De gegevens die de vrijwilligers hebben opgegeven, werden volgens de verweerder enkel gebruikt voor het doel waarvoor ze bestemd waren, namelijk de organisatie van de bedeling van mondmaskers. Zij heeft zich gericht tot de vrijwilligers als schepen van communicatie via haar gemeentelijk e-mailadres en uitsluitend voor het beoogde doel. De bestemmelingen van de e-mail werden in “bcc” geplaatst en de e-mailadressen werden na de verzending van de uitnodiging gewist. Beslissing ten gronde 41/2022 - 3/6 7. Op 23 november 2020 ontvangt de Geschillenkamer de conclusie van repliek van klagers 1 en 2 waarin wordt gesteld dat vooralsnog bewijs ontbreekt dat de verweerder de toestemming had verkregen van het College van Burgemeester en Schepenen en de algemeen directeur. Klagers 1 en 2 voegen toe dat een beslissing van het College van Burgemeester en Schepenen niet strijdig mag zijn met de geldende wetgeving. Diezelfde dag ontvangt de Geschillenkamer eveneens de conclusie van repliek van klager 3. Deze bevat, in hoofdlijnen, de stelling dat de mondmaskerbedeling ambtelijk werd toegewezen en niet aan een mandataris. De verweerder is geen verwerker of verwerkingsverantwoordelijke. Er zou volgens klager 3 een onverenigbare verdere verwerking hebben plaatsgevonden en hij verwijst daartoe naar artikel 75, 2° van de wet van 30 juli 20181. Ook voor wat betreft de rechtsgrond baseert klager 3 zich op de wet van 30 juli 2018, inzonderheid artikel 74, 4°. 8. De verweerder heeft geen gebruik gemaakt van de mogelijkheid om nog een conclusie van repliek in te dienen. 9. Op 13 januari 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 10 maart 2022. 10. Op 10 maart 2022 worden klager 3 en de verweerder gehoord door de Geschillenkamer. Klagers 1 en 2 zijn niet verschenen. 11. Op 11 maart 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 12. Op 11 maart 2022 ontvangt de Geschillenkamer de reactie van de verweerder dat deze geen opmerkingen heeft met betrekking tot de samenvatting van hetgeen op de hoorzitting is naar voor gebracht. 13. Op 17 maart 2022 ontvangt de Geschillenkamer vanwege de klager de mededeling dat hij geen opmerkingen heeft met betrekking tot het proces-verbaal. Wel brengt hij een precisering aan, dewelke de Geschillenkamer beslist mee op te nemen in haar beraad. II. Motivering 14. De klagers werpen op dat hun e-mailadressen aan de hand waarvan zij zich hadden gericht tot het algemeen mailadres van de gemeente (…) teneinde zich op te geven als kandidaat-vrijwilliger voor de bedeling van mondmaskers, werden aangewend door de verweerder om hen persoonlijk te contacteren. De klagers voeren aan dat de verweerder geen toegang tot de betreffende emailadressen mocht krijgen en deze persoonsgegevens aldus niet mocht verwerken, aangezien de verweerder deze gegevens niet nodig had voor het uitvoeren van haar functie. De klagers steunen 1 Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens Beslissing ten gronde 41/2022 - 4/6 hun argument op de afwezigheid van enige beslissing van het schepencollege waarin de verweerder een taak zou zijn toegewezen in het kader van de organisatie van de vrijwilligerswerking bij de bedeling van mondmaskers. 15. De Geschillenkamer stelt vast dat de e-mailadressen van de klagers door henzelf uit eigen beweging werden verstrekt als vrijwilligers binnen het kader van de door de gemeente georganiseerde bedeling van mondmaskers. De gemeente moet worden aangemerkt als de verwerkingsverantwoordelijke in de zin van artikel 4. 7) AVG 2, aangezien zij de instantie is die het doel en de middelen voor de verwerking van de persoonsgegevens, in casu de betreffende emailadressen, bepaalt. De rechtsgrond3 voor de gemeente om de persoonsgegevens van de vrijwilligers – waaronder dus hun e-mailadressen – te verwerken, is de noodzaak om een taak van algemeen belang te vervullen (artikel 6.1

1. e)AVG4), met name de noodzaak om maatregelen te nemen met het oog op het voorkomen van de verdere verspreiding onder de burgers van besmetting met het coronavirus. De feitelijke elementen van het dossier tonen niet aan dat de verweerder de e-mailadressen van de vrijwilligers voor enig ander doeleinde dan hetwelk waarvoor de gegevens werden ingezameld, heeft gebruikt. Er is geen enkele indicatie dat de verweerder zich de persoonsgegevens van de vrijwilligers die zich per mail hebben aangemeld, heeft toegeëigend voor enig ander doeleinde dan waarvoor deze werden ingezameld, met name de organisatie van de mondmaskerbedeling. De verweerder heeft de vrijwilligers, waaronder dus ook de klagers, binnen dit kader en dus met respect voor het doelbindingsbeginsel (artikel 5.1
2. b)AVG 5) gecontacteerd in verband met de praktische organisatie van de mondmaskerbedeling. Zij deed dit bovendien vanop 2 Artikel 4. Voor de toepassing van deze verordening wordt verstaan onder: […] 7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; 33 In dit verband baseert klager 3 zich voor de rechtsgrond op artikel 74 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. De Geschillenkamer wijst erop dat deze bepaling enkel van toepassing is op de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door de inlichtingen- en veiligheidsdiensten (zie Ondertitel I van Titel 3 van de wet van 30 juli 2018). Voorliggend dossier heeft echter geen betrekking op de gegevensverwerking door inlichtingen- en veiligheidsdiensten. Dit geldt evenzeer voor de artikelen 75, 2° en 84 van de wet van 30 juli 2018 waarop klager 3 zich beroept, zodat de bepalingen die klager 3 aanhaalt niet van toepassing zijn. 4 Artikel 6. 1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: […]
3. e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; […] 5 Artikel 5 1. Persoonsgegevens moeten: […]
4. b)voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”); Beslissing ten gronde 41/2022 - 5/6 haar professionele mailadres in haar hoedanigheid van schepen, dus geenszins vanop haar persoonlijk privé-mailadres. 16. De verweerder heeft volledig gehandeld binnen het oorspronkelijke doeleinde waarvoor de gegevens door de gemeente als verwerkingsverantwoordelijke werden verkregen en de betrokken vrijwilligers gecontacteerd vanuit haar functie als schepen in opdracht van de gemeente, zoals ook blijkt uit het zittingsverslag van het College van Burgemeester en Schepenen d.d. 19 mei 2020 waarin uitdrukkelijk is opgenomen dat de coördinatie van de mondmaskerbedeling wordt toevertrouwd aan één ambtenaar “in samenwerking met schepen Y” (zijnde de verweerder). 17. Bovendien heeft de verweerder bij de verzending van de e-mail die het voorwerp vormt van de klacht gebruik gemaakt van de functie “bcc” waardoor de beoogde bestemmelingen van de e-mail in één enkele beweging worden bereikt zonder dat de mailadressen van eenieder zichtbaar zijn. De gegevensverwerking was dus geenszins overmatig en gebeurde volledig in overeenstemming met het beginsel van minimale gegevensverwerking (artikel 5.1
5. c)AVG 6). 18. Ook het beginsel van opslagbeperking (artikel 5.1
6. e)AVG 7) werd nageleefd. Immers, zodra het doeleinde – de bedeling van mondmaskers – was bereikt, werden de e-mailadressen vernietigd. De verweerder heeft verklaard dat deze vernietiging plaatsvond, hetwelk door de klager niet als dusdanig wordt betwist. Daarenboven blijkt uit geen enkel stuk dat de verweerder de emailadressen nog zou hebben gebruikt na de mondmaskerbedeling, zodat er geen twijfel is omtrent het feit dat de gegevens wel degelijk werden vernietigd nadat het doel werd gerealiseerd. 19. Aldus besluit de Geschillenkamer dat de verweerder geen enkele inbreuk heeft gepleegd op deAVG. 6 Artikel 5 1. Persoonsgegevens moeten: […]
7. c)toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”); 7 Artikel 5 1. Persoonsgegevens moeten:
8. e)worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen („opslagbeperking”); Beslissing ten gronde 41/2022 - 6/6 III. Publicatie van de beslissing 20. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om op grond van artikel 100, §1, 1° WOG, de klacht te seponeren gelet op het feit dat er dienaangaande geen inbreuk op de AVG kan worden vastgesteld. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, Gegevensbeschermingsautoriteit als verweerder. (Sé). Hielke Hijmans Voorzitter van de Geschillenkamer bij het Marktenhof, met de