← België

Beslissing ten gronde nr. 42/2020

Geschillenkamer Beslissing ten gronde 42/2020 van 30 juli 2020 De administratieve geldsanctie in deze beslissing werd hervormd tot een berisping door het Marktenhof, gebruik makende van haar volle rechtsmacht, middels het arrest 2020/AR/1160 van dit hof dd. 6 september 2023 + Dossiernummer : DOS-2019-04309 Betreft : Klacht wegens de publicatie van persoonsgegevens in telefoongidsen en via telefooninlichtingendiensten, nadat een betrokkene verzocht zijn persoonsgegevens niet te publiceren, alsmede de doorgifte van persoonsgegevens aan andere aanbieders van telefoongidsen en –inlichtingendiensten. De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Frank De Smet en Yves Poullet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; . . . 2 heeft de volgende beslissing genomen inzake: - De klager, - Proximus NV, onderneming met zetel te Koning Albert II-laan 27, B-1030 Brussel, en met ondernemingsnummer 0202.239.951, hierna “de verweerster”, vertegenwoordigd door mr. Peter Craddock en mr. Eline Van Bogget.

  1. Omvang van het geding
  2. Dit dossier betreft een klacht tegen de verweerster. Dientengevolge zullen de verzoeken in de klacht die in wezen betrekking hebben op verwerkingen van andere verwerkingsverantwoordelijken niet worden behandeld in deze beslissing. Het gaat hierbij dan om de verzoeken van de klager ten aanzien van de Gegevensbeschermingsautoriteit, om de verweerster te bevelen: de persoonsgegevens “op het internet” te verwijderen; de persoonsgegevens in de papieren versie van de Witte Gids te verwijderen; de “complete overzichten’” te bezorgen van alle informatie over de klager bewaard bij derde verwerkingsverantwoordelijken; de lijst van IP-adressen te verkrijgen die behoren tot de personen die de webpagina’s met de persoonsgegevens van de klager hebben bezocht bij derde verwerkingsverantwoordelijken; de persoonsgegevens “bij de verantwoordelijke voor deze websites, papieren versies van de Witte Gids, …” te wissen of verwijderen; de verweerster te bevelen een nieuw telefoonnummer voor de klager te laten aanmaken bij de aanbieder van de openbare telefoondienst van de klager (Telenet).
  3. Feiten en procedure Feiten
  4. De verweerster is een aanbieder van elektronische telefoongidsen en telefooninlichtingendiensten in de zin van de wet van 13 juni 2005 betreffende de elektronische communicatie (hierna: WEC).1 Voor dit dossier zijn twee elektronische telefoongidsen van de verweerster relevant, namelijk www.1207.be en www.1307.be. De verweerster biedt ook de gelijknamige telefooninlichtingendiensten 1207 en 1307 aan. Het is daarnaast van belang te vermelden dat de verweerster ook een aanbieder is van een openbare telefoondienst in de zin van art. 2, 49° WEC (hierna: operator).
  5. De klager heeft een abonnement bij een derde operator, namelijk Telenet.
  6. Op 13 januari 2019 richt de klager een verzoek tot de verweerster, middels een contactformulier op de website van de elektronische telefoongids 1207 van verweerster. Het verzoek luidt als volgt: “Gelieve dit telefoonnr. niet op te nemen in de Witte Gids, op 1207.be, …. Graag uitsluitend contactname via e-mail […]” 1 B.S. 20 juni
  7. 3
  8. Op 28 januari 2019 beantwoordt een medewerker van de verweerster het verzoek van de klager, zoals beschreven in punt 4, als volgt: “Het nummer [X] is momenteel niet opgenomen in de editie van de Gids. De info is ook niet beschikbaar op de Inlichtingen

(1207)en op de website (1207.be). Op onze website www.1207.be vindt u de laatste update van alle gepubliceerde vermeldingen.” 6. Op 14 augustus 2019 contacteert de klager opnieuw de verweerster na te hebben vastgesteld dat zijn telefoonnummer niet alleen gepubliceerd is in de elektronische telefoongidsen www.1207.be en www.1307.be van de verweerster, maar ook in een aantal andere elektronische telefoongidsen van derde verwerkingsverantwoordelijken. Via het contactformulier van 1207, de elektronische telefoongids van de verweerster, verzoekt de klager om zijn telefoonnummer “niet te vermelden op uw website(
  1. s)http://www.1207.be.” 7. Een medewerker van de verweerster antwoordt diezelfde dag en schrijft het volgende: “[…] Zoals gevraagd hebben we uw vermelding geschrapt zodat uw gegevens (telefoonnummer, naam en adres) niet meer gebruikt zullen worden voor telefoongidsen of inlichtingendiensten. Binnen enkele dagen zijn uw gegevens niet meer beschikbaar op www.1207.be – www.1307.be en de inlichtingen (1207-1307). Wij nemen eveneens contact op met Google om de bijhorende links naar onze site te wissen. Conform de wettelijke bepalingen werden uw gegevens ook doorgestuurd naar andere telefoongidsen of inlichtingendiensten die aan [verweerster] de aanlevering van abonneegegevens gevraagd hebben, met name www.wittegids.be, www.infobel.com, www.de1212.be en www.opendi.be. Via de maandelijkse updates zullen zij eveneens op de hoogte gebracht worden van uw vraag om uw gegevens niet langer te gebruiken.” 8. Eveneens op 14 augustus 2019 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit.2 De klacht vermeldt onder meer het volgende: “ondanks mijn schriftelijke en uitdrukkelijke vraag (zie de Bewijzende e-mail en websitecontactformulier communicatie – dd. 14-8-2019.pdf) om mijn (splinternieuw) telefoonnummer […] en gegevens niet op te nemen in de Witte Gids, op 1207.be,… , op vandaag n.a.v. een telefoon van een firma die niet over mijn telefoonnummer beschikt, [werd opgemerkt] dat mijn telefoonnummer toch opgenomen is op al zeker www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, www.de1212.be en heel waarschijnlijk dus ook op de bijhorende inlichtingendiensten 1207, 1307 en in papieren versies van de Witte Gids(
  2. en)en www.opendi.be.” 9. De klager voegt bij de klacht aan de Gegevensbeschermingsautoriteit, ter staving van de aangedragen elementen, schermafbeeldingen van de websites van de elektronische telefoongidsen van: - www.1207.be (een uitgifte van de verweerster); - www.1307.be (een uitgifte van de verweerster); 2 Cfr. artikel 58 WOG. 4 - www.wittegids.be (een uitgifte van FCR Media); www.infobel.com (een uitgifte van Kapitol) www.de1212.be (een uitgifte van European Directory Assistance) De schermafbeeldingen geven het volgende weer: - voor elk van de voornoemde websites van elektronische telefoongidsen, behalve ‘Witte Gids’: de volledige voornaam en naam van de klager; - voor wat betreft de elektronische telefoongids ‘Witte Gids’: de naam en de initiaal van de voornaam van de klager; - voor elk van de voornoemde websites van elektronische telefoongidsen: het volledige postadres van de klager; - voor elk van de voornoemde websites van elektronische telefoongidsen, behalve ‘Witte Gids’ en ‘Infobel’: het telefoonnummer van de klager. Voor wat betreft de vermelding van het telefoonnummer van de klager in de elektronische telefoongidsen van ‘Witte Gids’ en ‘Infobel’ wordt er met andere woorden geen onmiddellijk bewijs voorgelegd wat betreft de publicatie van dit telefoonnummer. 10. Daarnaast draagt de klager aan dat het waarschijnlijk is dat er reeds links bestaan bij Google en andere zoekrobots, die bij deze verwerkingsverantwoordelijken worden bewaard. 11. Op 27 augustus 2019 verklaart de Eerstelijnsdienst van de Gegevensbeschermingsautoriteit de klacht ontvankelijk op grond van artikel 58 WOG en wordt de klacht op grond van artikel 62, §1 WOG overgemaakt aan de Geschillenkamer. 12. Op 5 september 2019 stuurt de klager een e-mail naar 1207_info_nl@proximus.com. De Eerstelijnsdienst van de Gegevensbeschermingsautoriteit ontvangt de e-mail in kopie. De e-mail leest als volgt: “Geachte […] Bijna een maand na datum worden mijn gegevens nog steeds vermeld op www.infobel.com (zie bijlage). Kan u dringend het nodige doen [?]” 13. Op 5 september 2019 verstuurt een medewerker van de verweerster het volgende antwoord per e-mail: “Geachte […] Uw gegevens werden ook doorgestuurd naar andere telefoongidsen of inlichtingendiensten die aan [de verweerster] de aanlevering van abonneegegevens gevraagd hebben. Zij werden eveneens op de hoogte gebracht worden [sic] van uw vraag om uw gegevens niet langer te gebruiken. [De verweerster] heeft evenwel geen zicht op de interne procedures van deze andere uitgevers. Voor een snellere behandeling van uw aanvraag neemt u best rechtstreeks met hen contact op: 5 • • Voor www.wittegids.be kan u mailen naar info@fcrmedia.be of hen contacteren op 078/151525 Voor www.infobel.com kan u mailen naar info@infobel.com of hen bellen op 02/3792940 […]” 14. De e-mail die de klager hierna – ook op 5 september 2019 – aan info@infobel.com verstuurt, is de volgende: “Geachte, Gebruik makend van het voorstel van [een medewerker van de verweerster], hieronder te vinden (en waarvoor mijn dank), verzoek ik u hierbij om mijn vermelding (telefoonnummer, naam en adres), uiteraard gratis, te schrappen op uw www.infobel.om […]” De procedure voor de Geschillenkamer 15. Op 12 september 2019 beslist de Geschillenkamer overeenkomstig artikel 95, §1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 16. Per aangetekende brief van 12 september 2019 worden de klager en de verweerster op de hoogte gesteld van de beslissing van de Geschillenkamer. In deze brief worden ook de conclusietermijnen meegedeeld aan de partijen overeenkomstig artikelen 98 en 99 WOG. De conclusie van de verweerster 17. Op 14 oktober 2019 legt de verweerster haar eerste conclusie neer. In de beschrijving van de feiten, licht verweerster één en ander nader toe, waaronder de technische werking van het ontvangen en doorgeven van persoonsgegevens in het licht van de telefoongidsen en telefooninlichtingendiensten: “In de databanken van de [telefoongidsen van verweerster] en [telefoongidsen van andere verwerkingsverantwoordelijken] wordt er een onderscheid gemaakt tussen Abonnees die in een telefoongids moeten verschijnen, en Abonnees die niet in een telefoongids wensen te verschijnen. Dit onderscheid wordt in de praktijk (door alle Operatoren) vertaald in één code in het record voor een Abonnee: ‘NNNNN’ voor de eerste categorie (Contactgegevens mogen verschijnen) en ‘XXXXX’ voor de tweede categorie (Contactgegevens blijven geheim).” 18. De verweerster geeft aan involgend het eerste verzoek van de klager ten aanzien van de verweerster op 13 januari 2019, de volgende actie te hebben ondernomen: “[…] Verweerster past derhalve het relevante record aan en markeerde het als “geheim” (“XXXXX”) overeenkomstig diens verplichtingen […] en het verzoek van de Klager, en bevestigde een correcte verwerking van het verzoek via e-mail op 28 januari 2019 aan de Klager […] Op 31 januari 2019 ontving [verweerster] van het bedrijf Telenet als Operator, in het 6 kader van een routine verstrekking van de Contactgegevens van zijn Abonnees, nieuwe Contactgegevens betreffende de Klager. In deze informatie van de Operator stond dat de Contactgegevens van de Klager niet als geheim moesten beschouwd worden (“NNNNN”). Deze informatie die van de Operator kwam, werd automatisch verwerkt in de [telefoongidsen van de verweerster]. Als gevolg, in het geval van de Klager, werden de Contactgegevens van de Klager (automatisch) opnieuw publiekelijk raadpleegbaar (met nu “NNNNN” ter vervanging van de vorige “XXXXX”).” 19. De verweerster wijst er daarnaast op dat zij op 14 augustus 2019 binnen de twee uur bevestigde aan de klager dat zijn persoonsgegevens niet langer beschikbaar zouden zijn via haar telefoongidsen of telefooninlichtingendiensten, ingevolge het verzoek van de klager op diezelfde dag hiertoe. 20. Met betrekking tot de verzoeken van de klager, draagt de verweerster vier middelen aan. 21. Als eerste middel verwijst de verweerster naar de bevoegdheid van de Geschillenkamer met betrekking tot het verzoek tot schadevergoeding. De verweerster haalt aan dat de Geschillenkamer conform de wettelijke bepalingen die haar bevoegdheid regelen, geen bevel tot schadeloosstelling kan opleggen. Zij meent dat het desbetreffende verzoek van de klager daarom moet worden afgewezen als onontvankelijk. 22. Ten tweede wenst de verweerder in te gaan op de ontvankelijkheid van verzoeken die derden betreffen, alsook het verstrekken van een lijst met IP-adressen van personen die de persoonsgegevens van de klager consulteerden. De volgende verzoeken van de klager acht de verweerster onontvankelijk: het verzoek van de klager in diens klacht om de persoonsgegevens weg te halen “op internet”, “in hun papieren versie(
  3. s)van de Witte Gids” en het verstrekken van “alle en complete overzichten” van de persoonsgegevens die verwerkt worden via de telefoongidsen en -inlichtingendiensten van derde actoren, alsook het verzoek om de klager een nieuw telefoonnummer te verschaffen via zijn huidige aanbieder van telefoondiensten. De verweerster stelt dat zij “geenszins” verantwoordelijk kan worden gesteld voor de verwerkingen die “overduidelijk door derden” worden uitgevoerd. 23. Voor wat betreft het verzoek van de klager tot het verstrekken van een lijst van IP-adressen, houdt de verweerster voor dat dit verzoek “uiterst disproportioneel en roekeloos” is. De verweerster meent dat het verstrekken van een dergelijke lijst een duidelijke schending van de privacy van de relevante betrokkenen zou vormen. 24. Ten derde wenst de verweerster in te gaan op de beweerde inbreuken op de AVG, en de naleving van de toepasselijke regelgeving. De verweerster verwijst voor dit middel naar de bepalingen van de WEC. De verwerking van de persoonsgegevens van de klager, ook na zijn verzoeken, is volgens de verweerster rechtmatig onder de AVG. De verweerster wijst op de wettelijke verplichtingen voor de operatoren in artikel 45, §2 juncto artikel 46, §2 WEC om de “noodzakelijke gegevens” ter beschikking te stellen van aanbieders van telefoongidsen en telefooninlichtingendiensten. 25. De verweerster verwijst ook naar de wettelijke verplichting in artikel 45, §3 juncto artikel 46, §3 WEC voor de operatoren om een onderscheid te maken tussen de persoonsgegevens waarvoor de betrokken abonnees van de operator gevraagd hebben om niet te worden opgenomen in 7 telefoongidsen of bij telefooninlichtingendiensten enerzijds, en de persoonsgegevens waarvoor geen dergelijke vraag is gesteld anderzijds. In casu is de vraag om niet te worden opgenomen in telefoongidsen of telefooninlichtingendiensten door de klager niet gericht tot zijn eigen operator. 26. De verweerster argumenteert dat de klager zich had moeten richten tot zijn eigen operator waar hij abonnee is, indien hij niet (meer) in een telefoongids of telefooninlichtingendienst wenste opgenomen worden. Dit had de technische code voor de wensen van de klager gewijzigd in ‘XXXXX’ in plaats van ‘NNNNN’ in alle systemen, waardoor de publicatie nergens zou plaatsvinden. 27. De verweerster bouwt hiernaast een argumentatie op steunende op de bepalingen in de AVG met betrekking tot het recht op verbetering of rectificatie in artikel 16 AVG. De verweerster argumenteert immers dat het verzoek van de klager tot wijzigen van de code van ‘NNNNN’ naar ‘XXXXX’ een verzoek tot rectificatie uitmaakt. 28. De verweerster stelt echter dat artikel 16 AVG ten opzichte van de operator van de klager geen toepassing vindt in onderhavig dossier, gezien “deze bepaling van de AVG niet [primeert] over de regeling onder de WEC” omdat de bepalingen van de WEC hun oorsprong vinden in de Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (hierna: e-Privacyrichtlijn).3 Artikel 16 AVG vindt volgens de verweerster wél toepassing op zichzelf door het verzoek van de klager, gezien de bepalingen in artikel 45 en 46 WEC geen uitwerking vinden op de verweerster in haar hoedanigheid van aanbieder van telefoongidsen en –inlichtingendiensten.4 29. De verweerster stelt het volgende “Als gevolg kan aan [de verweerster] niet verweten worden om de informatie van de [operator] automatisch in de 1207 databank te hebben geïntegreerd, zelfs wanneer dit tegenstrijdig was met een vroeger verzoek van de Klager.” 30. Tot slot gaat de verweerster in op het belang van de vertrouwelijkheid van de partijen in geval van publicatie van de beslissing door de Geschillenkamer. De verweerster vraagt de Geschillenkamer zin dat, indien de Geschillenkamer overgaat tot de publicatie van de beslissing, de beslissing wordt geanonimiseerd. De verweerster verwijst hiervoor naar de beslissing tot pseudonimiseren in het merendeel van de voorgaande beslissingen van de Geschillenkamer en de afwezigheid van “verregaande nalatigheid” in hoofde van verweerster. 31. De klager dient geen conclusie van repliek in. 32. Op 13 november 2019 bevestigt de verweerster de inhoud van haar eerste conclusie. 33. Op haar zitting van 3 maart 2020 beslist de Geschillenkamer dat het nuttig is de verweerster te horen en haar hiertoe uit te nodigen overeenkomstig artikel 52 van het Reglement van Interne Orde van de Gegevensbeschermingsautoriteit. In haar proces-verbaal van die zitting, specifieert de Geschillenkamer dat het toelichting wenst over de doorgifte van persoonsgegevens aan derde 3 P.b. EU nr. L 201 van 31 juli 2002, 37-47. Cfr. conclusie verweerster: “Het kon geen verzoek conform artikel 46 en 46 WEC zijn (om niet in de telefoongids/telefooninlichtingendienst te verschijnen), omdat dergelijke verzoeken aan de Operator gericht moeten worden.” 4 8 telefoongidsen en telefooninlichtingendiensten en op welke manier deze rechtmatig is overeenkomstig artikel 6 AVG. Daarnaast wenst de Geschillenkamer toelichting omtrent de rechtskundige kwalificatie van de klager aan de verweerster als ‘recht op rectificatie’ overeenkomstig artikel 16 AVG. 34. De partijen werden dientengevolge uitgenodigd op een hoorzitting op 23 maart 2020. Enkel de verwerende partij bevestigde zijn aanwezigheid. De Hoorzitting 35. Gezien de federale overheid op verschillende momenten in de aanloop naar de hoorzitting, onder meer bij Ministerieel Besluit van 13 maart 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken (B.S. 13 maart 2020) maatregelen uitvaardigde die het voor de Geschillenkamer onmogelijk maakten om een hoorzitting in de gebruikelijke opstelling te laten plaatsvinden, werd aan de verwerende partij voorgesteld om de hoorzitting met elektronische communicatiemiddelen te laten doorgaan. De verweerster stemde hiermee in. De hoorzitting werd dientengevolge verdaagd naar 1 april 2020. 36. Op de hoorzitting licht de verweerster haar verweermiddelen nader toe. Zij verwijst naar de eerder vermelde bepalingen van de WEC, waarin staat dat operatoren de persoonsgegevens van haar abonnees op een niet-discriminerende manier dienen te verstrekken aan alle aanbieders van telefoongidsen en telefooninlichtingendiensten. 37. De verweerster verwijst daarnaast naar een arrest5 van het Europees Hof van Justitie dat verduidelijkt dat de toestemming van de abonnee bij diens operator om persoonsgegevens door te geven met als doeleinde de publicatie in de telefoongidsen en –inlichtingendiensten, niet kan gedifferentieerd worden naargelang de identiteit van de uitgever of aanbieder van telefoongidsen en telefooninlichtingendiensten als ontvanger van zulke gegevens. 38. Daarnaast merkt de verweerster op dat het Belgisch Instituut voor de Postdiensten en Telecommunicatie (hierna: BIPT) in verschillende publiek beschikbare documenten had aangegeven dat de verweerster een centrale rol zou blijven spelen in het verzamelen en doorgeven van abonneegegevens, nadat de universele telefoondienst niet langer werd ingericht door de verweerster.6 Volgens de verweerster is het immers zo dat niet alle aanbieders van telefoongidsen en –inlichtingendiensten even eenvoudig de persoonsgegevens van de operatoren kunnen verkrijgen, en dat het doorgeven van de persoonsgegevens strookt met de verwachtingen van het BIPT. Dit zou volgens de verweerster in lijn liggen met het voornoemde arrest van het Hof. Formulier voor reactie tegen voorgenomen geldboete 39. Op 1 juli 2020 maakte de Geschillenkamer een formulier voor reactie tegen voorgenomen geldboete over aan de verweerster, waarin werd gemeld aan de verweerster dat de Geschillenkamer voornemens was een geldboete op te leggen van 20.000 EUR. De elementen die de verweerster vervolgens in haar reactie op dit formulier aandroeg, worden door de Geschillenkamer meegenomen in de beraadslaging. De verweerster bevestigt in haar reactie eveneens dat de bij de Geschillenkamer gekende jaarcijfers nog steeds actueel zijn. 5 HvJEU Arrest van 5 mei 2011, Deutsche Telekom AG v. Bundesrepublik Deutschland, C-543-09, ECLI:EU:C:2011:279. 6 In de positie van haar rechtsvoorganger Belgacom. 9 3. Motivering 3.1 Bevoegdheid van de Geschillenkamer (artikel 100 WOG) 40. De bevoegdheden van de Geschillenkamer staan limitatief opgesomd in artikel 100 WOG. De verweerster werpt op dat de Geschillenkamer niet bevoegd is met betrekking tot het verzoek van de klager tot schadevergoeding. Gezien de toekenning van een schadeloosstelling niet tot de bevoegdheden van de Geschillenkamer zoals opgesomd in artikel 100 WOG behoort, kan de Geschillenkamer geen gevolg geven aan het verzoek van de klager hieromtrent. 3.2 De verwerkingsverantwoordelijken (artikel 4, punt 7) AVG) 41. De definitie van “verwerkingsverantwoordelijke” in de AVG is de volgende: 7 “Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel en de middelen voor de verwerking van de persoonsgegevens vaststelt: wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze worden aangewezen” 42. De omschrijving van ‘verwerkingsverantwoordelijke’ in de AVG is nagenoeg dezelfde als deze in artikel 2,
  4. d)van de thans ingetrokken Richtlijn van de Europese Unie inzake persoonsgegevensbescherming.8 De rechtspraak van het Hof van Justitie van de Europese Unie (hierna: Hof van Justitie) en de opinies van de Werkgroep artikel 29 (hierna: Groep 29) met betrekking tot deze term kunnen dan ook op een gelijkaardige manier worden aangewend en mutatis mutandis worden toegepast.9 43. De verweerster stelt enerzijds dat de klager zich met het verzoek tot niet-publicatie van de persoonsgegevens in telefoongidsen en telefooninlichtingendiensten had moeten richten tot de operator van de klager. Een verzoek tot niet-publicatie van de persoonsgegevens bij de verweerster zou juridisch moeten gekwalificeerd worden als een recht op verbetering of rectificatie, aldus de verweerster. Daarnaast stelt de verweerster ook dat zij ten opzichte van de verwerkingen die bij derden plaatsvinden “geenszins verantwoordelijk kan zijn en ook niet als verwerkingsverantwoordelijke optreedt.” 44. Anderzijds geeft de verweerster op de hoorzitting te kennen dat haar standpunt is dat zowel de operatoren als uitgevers of aanbieders van telefoongidsen en telefooninlichtingendiensten afzonderlijke verwerkingsverantwoordelijken betreffen. 7 Art. 4
(7)AVG. 8 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, P.b. EU L. 281/
  1. Cfr. argumentatie Hof in HvJEU Arrest van 29 juli 2019, Fashion ID GmbH & Co KG t. Verbraucherzentrale NRW eV, C-40/17, ECLI:EU:C:2019:
  2. 9 10
  3. Om enige verwarring te vermijden, is het aan de orde toe te lichten waarom de verweerster door de Geschillenkamer gezien wordt als verwerkingsverantwoordelijke voor een aantal in het dossier vastgestelde verwerkingen. De verwerkingen die in die specifieke toelichting van belang zijn, betreffen: 10 het opvragen en raadplegen van de persoonsgegevens van de klager bij diens operator en vervolgens het opslaan van die persoonsgegevens; het beschikbaar stellen van die persoonsgegevens door de publicatie in de eigen telefoongidsen en via de eigen telefooninlichtingendiensten; het verstrekken van die persoonsgegevens door middel van doorzending aan aanbieders van telefoongidsen en telefooninlichtingendiensten van derden. De vraag is dan nog of de verweerster “het doel” en “de middelen” voor de bovengenoemde verwerkingen “vaststelt” zoals noodzakelijk om aan de vereisten van het begrip ‘verwerkingsverantwoordelijke’ in de AVG te voldoen. 3.2.
  4. Het begrip ‘vaststellen’
  5. Of de interpretatie van ‘vaststellen’ overeenkomstig het Unierecht verloopt, kan pas na de analyse van de feitelijke elementen of omstandigheden ter zake. 11
  6. Wat betreft de uitgifte van de telefoongidsen en het aanbieden van telefooninlichtingendiensten, kan worden vastgesteld dat het de verweerster is die de verwerking geïnitieerd heeft. De verweerster vraagt de persoonsgegevens van betrokkenen bij de operatoren op en publiceert op eigen initiatief de (elektronische) telefoongidsen en stelt op eigen initiatief de telefooninlichtingendiensten ter beschikking. De verweerster is door het BIPT erkend voor het aanbieden van de telefoongidsen en telefooninlichtingendiensten ingevolge respectievelijk artikel 45,§1 en artikel 46,§1 WEC.12 Het is de verweerster die besloot over te gaan tot het aanbieden van zulke gidsen en inlichtingendiensten en hiervoor een beroep doet op de persoonsgegevens van de klager die oorspronkelijk bij de operator worden verwerkt.
  7. Ook met betrekking tot de doorgifte van de persoonsgegevens aan derden is het de verweerster die overgaat tot het verstrekken van de persoonsgegevens door middel van doorgifte, volgens de verweerster “conform de wettelijke bepalingen”.
  8. De verweerster neemt voor de bovengenoemde verwerkingen met andere woorden het initiatief, en houdt dit initiatief verder aan, wat erop wijst dat zij het is die ‘vaststelt’. 3.2.
  9. De begrippen ‘het doel en de middelen’ 10 Definitie ‘verwerking’ in artikel 4, punt 2) AVG. Groep Gegevensbescherming artikel 29, Advies 1/2010 over de begrippen “voor de verwerking verantwoordelijke” en “verwerker”, 16 februari 2010, WP 169 (hierna: Opinie 1/2010 Groep 29),
  10. 11 12 De ondernemingen die hiertoe werden erkend door het BIPT, https://www.bipt.be/nl/operatoren/telecom/netwerken-diensten/telefoongidsen. kunnen geconsulteerd worden via: 11
  11. De concepten “het doel” en “de middelen” moeten onlosmakelijk samen behandeld worden. 13 Hierbij moet de mate van invloed op het bepalen van het ‘waarom’ (doel) en het ‘hoe’ (middelen) van de verwerking nader worden bekeken.
  12. Hoewel het aanbieden van telefoongidsen en telefooninlichtingendiensten doorgaans vrij gelijkaardig verloopt, is dit geen doorslaggevend element om te bepalen dat de aanbieder van die telefoongidsen en telefooninlichtingendiensten het ‘waarom’ en ‘hoe’ niet anders heeft ingevuld dan andere aanbieders van gelijkaardige diensten, en daarom geen onderscheiden verwerkingsverantwoordelijke zou zijn.
  13. De beslissing van de verweerster om het aanbieden van de genoemde gidsen en inlichtingendiensten te organiseren, om de website op een bepaalde technische manier op te bouwen, om de persoonsgegevens in die gidsen en inlichtingendiensten op een bepaalde manier weer te geven, om een bepaalde verantwoordelijkheid te nemen bij het uitoefenen van de rechten van betrokkenen bij het maken van een bezwaar tegen de verwerking, zijn allemaal elementen die er op wijzen dat de verweerster optreedt als verwerkingsverantwoordelijke voor de persoonsgegevensverwerking waartegen de klager zich verzet. Dit wordt ondersteund door de visie van het Hof van Justitie om via een ruime invulling van het begrip verwerkingsverantwoordelijke “doeltreffende en volledige bescherming” van de betrokkenen te verzekeren.14
  14. Bovendien is het niet onbelangrijk te beschouwen dat de klager als betrokkene zich tot de verweerster richtte, en niet tot zijn eigen operator, om de rechten zoals beschreven in de AVG uit te oefenen. Het Hof van Justitie bevestigde eerder dat voor de beoordeling van het begrip verwerkingsverantwoordelijke, de opvatting van de betrokkene over de verwerkingsverantwoordelijke van belang is. 15 In dezelfde lijn bevestigde het Hof dat een rechtspersoon die om hem moverende redenen invloed uitoefent op de verwerking van persoonsgegevens, als verwerkingsverantwoordelijke kan worden beschouwd.16
  15. Om al de bovenstaande redenen stelt de Geschillenkamer vast dat zowel “het doel” als “de middelen” op unieke wijze onder de (strategische) visie van de verweerster vallen. 3.2.
  16. Beschouwing in het aanhangige dossier
  17. De verweerster stelt in haar conclusie: “Er bestaan andere telefoongidsen, zoals de Witte Gids (wittegids.be), infobel.be, de1212.be, opendi.be enz. Deze gidsen […] worden door derden uitgegeven en [verweerster] is hier niet verantwoordelijk voor.” 13 Opinie 1/2010 Groep 29, 13 HvJEU Arrest van 13 mei 2014, Google Spain SL t. Agencia Española de proteccion de Datos (AEPD) e.a., C-131/12; ECLI: EU:C:2014:317, par. 34 ; zie ook de bespreking omtrent de reikwijdte van het begrip in C. DOCKSEY en H. HIJMANS, “The Court of Justice as a Key Player in Privacy and Data Protection”, European Data Protection Law Review, 2019, afl. 3,
(300)
  1. 14 HvJEU Arrest van 10 juli 2018, Tietosuojavaltuutettu t. Jehovan todistajat – uskonnollinen yhdyskunta, C-25/17, ECLI:EU:C:2018:551, par.
  2. 15 16 Ibid., par.
  3. 12 De Geschillenkamer leest hierin dat de verweerster aanhaalt dat zij niet de verwerkingsverantwoordelijke is voor de verwerkingen die plaatsvinden bij die derden. De Geschillenkamer treedt de verweerster bij in die redenering in die zin dat zij niet verantwoordelijk is voor de verwerkingen die louter betrekking hebben op het aanbieden van de telefoongidsen of telefooninlichtingendiensten van die derden.
  4. De aanbieders van openbare telefoongidsen en telefooninlichtingendiensten, de verweerster incluis, zijn zelf verwerkingsverantwoordelijke voor: het opvragen en raadplegen van de persoonsgegevens van de klager bij diens operator en vervolgens het opslaan van die persoonsgegevens; het beschikbaar stellen van die persoonsgegevens voor de publicatie in de eigen telefoongidsen en via de eigen telefooninlichtingendiensten; het desgevallend verstrekken van die persoonsgegevens door middel van doorzending aan aanbieders van telefoongidsen en telefooninlichtingendiensten van derden.
  5. Bij het doorgeven van de persoonsgegevens door de verweerster aan derde actoren die zelf het doel vaststellen voor de verwerking, zijn zowel de verweerster als die derde actoren verwerkingsverantwoordelijken voor de doorgifte. Overeenkomstig artikel 4, punt 2) AVG valt de doorgifte dan uiteen in het verstrekken door middel van doorzending door de verweerster enerzijds, en het ontvangen van de persoonsgegevens door de derde aanbieders van telefoongidsen of telefooninlichtingendiensten anderzijds.
  6. Het is namelijk zo dat meerdere verwerkingsverantwoordelijken kunnen interageren bij een verwerking, zonder dat zij daarom noodzakelijk het doel en de middelen samen vaststellen. 17 De verwerkingsverantwoordelijken hebben namelijk een eigen vastgesteld doel met betrekking tot deze doorgifte. Van gezamenlijke verwerkingsverantwoordelijken is te dezen geen sprake, wel van een situatie met onderscheiden verwerkingsverantwoordelijken.18
  7. De rol en de verantwoordelijkheden van de verwerkingsverantwoordelijke zijn onder meer van belang voor de betrokkenen in het uitoefenen van hun rechten, zoals uiteengezet in de AVG. 19 In casu zijn er meerdere verwerkingsverantwoordelijken die dezelfde persoonsgegevens van betrokkenen, zoals de klager, verwerken in het kader van het aanbieden van telefoongidsen en telefooninlichtingendiensten. Dat kan geïllustreerd worden middels de hiernavolgende tabel:
  8. Telenet als operator Telenet treedt op als verwerkingsverantwoordelijke. De persoonsgegevens die in dezen verwerkt worden zijn de naam, de voornaam, het postadres en het telefoonnummer van de klager. 17 Naar de analoge redenering aangaande gezamenlijke verwerkingsverantwoordelijken in Verordening EU 2018/1725: European Data Protection Supervisor, Guidelines on the concepts of controller, processor and joint controllership unde Regulation (EU) 2018/1725, 7 november 2019,
  9. 18 Omtrent het onderscheid van de verwerkingen en gezamenlijke verwerkingsverantwoordelijken, zie HvJEU Arrest van 5 juni 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH, C210/16, ECLI:EU:C:
  10. 19 Zie ook: Opinie 1/2010 Groep 29,
  11. 13
  12. De verweerster als aanbieder van telefoongidsen en telefooninlichtingendiensten
  13. Kapitol, FCR Media en European Directory Assistance als aanbieders van telefoongidsen en telefooninlichtingendiensten De verweerster treedt op als verwerkingsverantwoordelijke. De persoonsgegevens die in dezen verwerkt worden zijn de naam, de voornaam, het postadres en het telefoonnummer van de klager. Alle in de linker tabel benoemde rechtspersonen treden op als onderscheiden verwerkingsverantwoordelijken. De persoonsgegevens die in dezen verwerkt worden zijn de naam, de voornaam, het postadres en het telefoonnummer van de klager. 14 3.
  14. Toestemming en de rechtmatigheid van de verwerking (artikel 12 ePrivacyrichtlijn en artikel 133 WEC; artikel 6 juncto artikel 7 AVG) 3.3.
  15. De impact van de e-Privacyrichtlijn en de nationale uitvoeringsbepalingen als lex specialis op de Algemene Verordening Gegevensbescherming als lex generalis
  16. De verweerster argumenteert dat het publiek beschikbaar stellen van de persoonsgegevens opnieuw kon, omdat de klager zich overeenkomstig artikelen 45 en 46 WEC had moeten richten tot zijn eigen operator. Deze bepalingen, aldus de verweerster, vinden immers hun oorsprong in de e-Privacyrichtlijn en dit vormt volgens de verweerster dan ook lex specialis op de lex generalis van de AVG. Het verzoek van de klager aan de verweerster om diens gegevens niet langer te publiceren of ter beschikking te stellen in de telefoongidsen, resp. telefooninlichtingendiensten, diende volgens de verweerster als een verzoek overeenkomstig artikel 16 AVG te worden beschouwd.
  17. De verweerster verwijst in dit kader naar een opinie van het Europees Comité voor gegevensbescherming over de wisselwerking tussen de e-Privacyrichtlijn en de AVG, een opinie die in het bijzonder ingaat op de bevoegdheden, taken en rechtsmacht voor de gegevensbeschermingsautoriteiten. De verweerster acht een passage uit deze opinie in dezen relevant en deelt in haar conclusie volgende vrije vertaling van die passage: 20 “Waar er bijzondere bepalingen bestaan die een bepaalde verwerkingsactiviteit of groep van verwerkingsactiviteiten regelen, dienen de bijzondere bepalingen te worden toegepast (lex specialis), in alle andere gevallen (i.e. waar er geen bijzondere bepalingen een bepaalde verwerkingsactiviteit of groep van verwerkingsactiviteiten regelen), wordt de algemene regel toegepast (lex generalis).” 21
  18. In dit kader wenst de Geschillenkamer te wijzen op artikel 95 AVG dat als volgt luidt: “Deze verordening legt natuurlijke personen of rechtspersonen geen aanvullende verplichtingen op met betrekking tot verwerking[en] in verband met het verstrekken openbare elektronische-communicatiediensten in openbare communicatienetwerken in de Unie, voor zover zij op grond van [de e-Privacyrichtlijn] onderworpen zijn aan specifieke verplichtingen met dezelfde doelstelling.”
  19. In de parlementaire voorbereiding van de WEC wordt aangegeven dat de bepalingen omtrent het verlenen van toestemming om abonneegegevens op te nemen in telefoongidsen en telefooninlichtingendiensten, uitvoering geven aan artikel 12 e-Privacyrichtlijn.22 Naar Opinie 5/2019 on the interplay between the ePrivacy Directive and the GDPR, in particular regarding the competence, tasks and powers of data protection authorities, 12 maart 2019, opinie van het Europees Comité voor gegevensbescherming, 20 par. 45, beschikbaar via: https://edpb.europa.eu/our-work-tools/our-documents/stanovisko-vyboru-cl-64/opinion-52019interplay-between-eprivacy_en. 21 Ibid, par.
  20. Parl. St. De Kamer DOC 51 1425/001, 83: “Artikel 142 stelt, overeenkomstig artikel 12 van de Privacyrichtlijn, een gewijzigd regime in dat van toepassing is op de aanbieders van telefoongidsen […] Zodra de abonnee ingelicht is over alle relevante aspecten van de opname, kunnen enkel die gegevens, waarvan de abonnee heeft aangegeven dat zij opgenomen mogen worden in de betrokken telefoongids of telefooninlichtingendienst, ook effectief opgenomen worden […]” 22 15
  21. De Geschillenkamer wijst in deze context op artikel 12, §2 van de e-Privacyrichtlijn. Dit artikel luidt: “abonnees [moeten] de gelegenheid krijgen zelf te bepalen of, en zo ja welke, persoonsgegevens in een openbare abonneelijst worden opgenomen, voor zover die gegevens relevant zijn voor de doeleinden van de abonneelijst zoals bepaald door de aanbieder ervan, en om de gegevens daarin te verifiëren, te corrigeren, of te laten verwijderen.”
  22. In de Belgische rechtsorde wordt de verplichting van de toestemming in artikel 12 ePrivacyrichtlijn omgezet in het huidig artikel 133, §1 WEC. De toestemming met betrekking tot de publicatie van de persoonsgegevens van de abonnee worden gepreciseerd in twee door de nationale wetgever geformuleerde vragen. Met betrekking tot de verwijdering van de persoonsgegevens door de abonnee, stelt art. 133, §2, tweede lid WEC dat dit gebeurt “volgens de procedures en onder de voorwaarden bepaald door de Koning ”. Er werden tot op heden geen zulke voorwaarden vastgelegd door de Koning.
  23. In elk geval stipt de Geschillenkamer aan dat de vereisten voor toestemming krachtens de AVG niet worden beschouwd als een “aanvullende verplichting”, maar als randvoorwaarde voor rechtmatige verwerking. De Groep Gegevensbescherming Artikel 29 (‘Groep 29’), als rechtsvoorganger van het Europees Comité voor Gegevensbescherming, heeft dit bevestigd en stelt daarenboven: “Daarom zijn de vereisten van de AVG voor het verkrijgen van geldige toestemming van toepassing in situaties die vallen binnen de werkingssfeer van de e-Privacyrichtlijn.” 23
  24. Dit betekent dat de rechtmatigheid van de verwerking op basis van de toestemming, zoals vooropgesteld in de bepalingen van de e-Privacyrichtlijn, steeds moet worden beoordeeld in het licht van artikel 6, lid 1 juncto artikel 7 AVG, dus ook wanneer deze toestemming overeenkomstig artikel 133, § 1 WEC geschiedt.
  25. De vereiste van de toestemming van de betrokkene, alsook de mogelijkheid voor de betrokkene om diens persoonsgegevens te laten verwijderen, worden inderdaad algemeen geregeld in de ePrivacyrichtlijn. Gezien de WEC als nationale implementatie van die Richtlijn echter niet regelt hoe de toestemming in concreto moet worden ingetrokken, moet hiervoor gekeken worden naar de bepalingen van de AVG. Er bestaan immers geen “specifieke verplichtingen” voor de verwerkingen die betrekking hebben op het verwijderen van de persoonsgegevens uit telefoongidsen na het intrekken van de toestemming. Zulke “specifieke verplichtingen” zijn overeenkomstig artikel 95 AVG nochtans vereist om de lex specialis te laten primeren op de bepalingen van de AVG. Dit wil zeggen dat – voor zover er geen specifieke regeling bestaat, zoals het geval is voor het verlenen van de toestemming in artikel 133 WEC – de bepalingen van de AVG onverkort toepassing vinden op de verwerkingen in het onderhavige dossier. 3.3.
  26. De litigieuze verwerking op basis van toestemming en het intrekken van die toestemming
  27. Naar het oordeel van de Geschillenkamer is het verzoek van de klager van 13 januari 2019 via het webformulier van de elektronische telefoongids van de verweerster, met de vraag een 23 Groep 29, Richtsnoeren inzake toestemming overeenkomstig verordening 2016/679, WP 259 Rev01, 10 april 2018,
  28. 16 telefoonnummer “niet op te nemen in de Witte Gids, op 1207.be, …” voldoende duidelijk om begrepen te worden als zodanig dat de klager niet wenst dat zijn telefoonnummer in enige telefoongids of telefooninlichtingendienst wordt gepubliceerd. De klager trekt met andere woorden de toestemming in die hij bij zijn operator overeenkomstig artikel 133, §1 WEC en artikel 6, lid 1 j° artikel 7 AVG had gegeven, en uit deze wens tegenover de verweerster, die in dezen de verwerkingsverantwoordelijke is die gevolg dient te geven aan de verzoeken van de klager. Dit is evenzeer het geval wanneer de klager de toestemming enkel had geuit tegenover de operator en de verweerster de eigen verwerkingen van de persoonsgegevens van de klager, op basis van die toestemming bij de operator, rechtmatig uitvoerde.
  29. In het formulier voor de reactie op de voorgenomen geldboete, stelt de verweerster: “Zoals uitvoerig uiteengezet in de conclusie van [de verweerster] en tijdens de hoorzitting voor de Geschillenkamer, begon de relevante verwerking opnieuw enkel na communicatie van een “te publiceren”-code door de operator van de klager. Met andere woorden, publiceerde [de verweerster] het nummer van de klager opnieuw enkel omdat er nieuwe informatie van de operator (niet [de verweerster]) kwam die aangaf dat het nummer publiekelijk toegankelijk moest gemaakt worden.”
  30. De “nieuwe informatie” waarnaar de verweerster verwijst, betreft het nieuwe telefoonnummer van de klager, dat hij bij zijn eerste verzoek dd. 13 januari 2019 aan de verweerster duidelijk kenbaar maakte. Dat het verzoek tot niet-publicatie op het nieuwe telefoonnummer sloeg, was dus duidelijk voor de verweerster vanaf 13 januari
  31. De verweerster beschikte over voldoende informatie om te besluiten dat de klager zijn toestemming voor het publiceren van dit nieuw telefoonnummer (als “nieuwe informatie”) had ingetrokken, gezien de verweerster zich net baseert op die toestemming voor het publiceren van die nieuwe informatie.
  32. In tegenstelling tot wat de verweerster argumenteert, was het verzoek van de klager aan de verweerster geen uitoefening van het recht op verbetering of rectificatie zoals in artikel 16 AVG, maar wel het intrekken van de toestemming overeenkomstig artikel 6, lid 1 j° artikel 7, lid 3 AVG.24 Nog los van de juridisch inaccurate weergave, betekent het aanhouden van de redenering van de verweerster vanuit praktisch oogpunt immers dat de klager, telkens zijn operator een update van de abonneegegevens aan de verweerster doorgeeft, een nieuw verzoek tot rectificatie of verbetering moet richten tot de verweerster. Dit strookt niet met de verwachtingen van de klager in het kader van het beheer van en de controle over zijn persoonsgegevens. Bovendien wees de Geschillenkamer hiervoor reeds op het belang van de perceptie van de klager met betrekking tot de verwerkingsverantwoordelijken.
  33. Het publiceren of beschikbaar stellen van de persoonsgegevens in telefoongidsen of via – inlichtingendiensten, is niet rechtmatig overeenkomstig artikel 6, lid 1 j° artikel 7 AVG, wanneer de toestemming ten opzichte van de verwerkingsverantwoordelijke reeds was ingetrokken. Artikel 7, lid 3 AVG verduidelijkt immers dat elke betrokkene te allen tijde zijn toestemming kan intrekken, iets wat in casu gebeurde door de e-mail van de klager aan de verweerster dd. 13 24 Dat de verweerster met de code ‘XXXXX’ een vertaalslag geeft aan het verzoek van de klager om persoonsgegevens niet te publiceren, is een technische maatregel. Dit is geen aangelegenheid die de betrokkene betreft, temeer omdat dit niet van belang is bij de uitoefening van diens recht op bezwaar tegenover de verweerster. Het verzoek ging namelijk niet om de al dan niet correcte inhoud van de persoonsgegevens – de juistheid van de inhoud wordt overigens op geen enkel moment door geen van de partijen betwist – wel om de verwerking ervan. 17 januari
  34. Dit laat de rechtmatigheid van de verwerking die plaatsvond vóór de intrekking van de toestemming, op basis van die toestemming, onverlet. 25
  35. De kwalificatie van het verzoek van de klager als de intrekking van de toestemming lijkt de verweerster overigens zelf te bevestigen wanneer zij op 14 augustus 2019 middels een e-mail van een medewerker verklaart: “[…] zoals gevraagd hebben we uw vermelding geschrapt zodat uw gegevens (telefoonnummer, naam en adres) niet meer gebruikt zullen worden voor telefoongidsen of inlichtingendiensten […]” Dit bericht maakt geen enkel voorbehoud tegen het verzoek tot verwijdering in elke telefoongids of -inlichtingendienst26 van de klager dat hij eerder die dag had geuit en is tegenstrijdig met de conclusie van de verweerster, waar zij stelt dat het opnieuw publiek beschikbaar maken van de persoonsgegevens op 31 januari 2019 niet aan de verweerster kan worden verweten, “ zelfs wanneer dit tegenstrijdig zou zijn met een vroeger verzoek van de klager”. Om die reden kan dus geenszins over een verzoek tot uitoefenen van het recht overeenkomstig artikel 16 AVG worden gesproken.
  36. Voor wat betreft de periode die volgt op het intrekken van de toestemming, haalt de verweerster in haar conclusies aan: “Op 31 januari 2019 ontving [verweerster] van [Y] als Operator, in het kader van een routine verstrekking van de Contactgegevens van zijn Abonnees nieuwe Contactgegevens betreffende de Klager. In deze informatie van de Operator stond dat de Contactgegevens van de Klager niet als geheim moesten worden beschouwd (‘NNNNN’).” Gezien de informatie van de operator van de klager automatisch werd verwerkt, werden de persoonsgegevens van de klager opnieuw publiekelijk raadpleegbaar, stelt de verweerster.
  37. De persoonsgegevens van de klager werden opnieuw gepubliceerd en ter beschikking gesteld in telefoongidsen, resp. – inlichtingendiensten door de verweerster, na het intrekken van de toestemming door de klager tegenover de verweerster overeenkomstig artikel 7, lid 3 AVG. Gezien de oorspronkelijke verwerking op basis van toestemming geschiedde overeenkomstig artikel 133 WEC en artikel 6, lid 1 j° artikel 7 AVG, betekent het intrekken van die toestemming ipso facto dat een verdere verwerking – tegenstrijdig met het intrekken van de toestemming – onrechtmatig is en dus een inbreuk vormt op artikel 6, lid 1 j° artikel 7 AVG. 25 Artikel 17, lid 3 AVG. 26 Hetgeen de intrekking van de toestemming impliceert. 18 3.
  38. Het intrekken van de toestemming en de verantwoordelijkheid van de verweerster voor verdere verwerkingen op basis van de oorspronkelijke toestemming bij andere verwerkingsverantwoordelijken (artikel 7, resp. artikel 24 en artikel 5, lid 2 AVG)
  39. De e-Privacyrichtlijn en de bepalingen tot omzetting in het nationaal recht stellen geenszins dat het intrekken van de toestemming enkel kan ten aanzien van de operator waar de toestemming gegeven werd. In die zin dient de verweerster zich dus aan haar wettelijke verplichtingen als verwerkingsverantwoordelijke overeenkomstig de bepalingen van de AVG te houden.
  40. Tegenover de klager stelt de verweerster in een e-mail dd. 28 januari 2019: “[…] Het nummer […] is momenteel niet opgenomen in de editie van de Gids. De info is ook niet beschikbaar op de Inlichtingen
(1207)en op de website (www.1207.
  1. be)[…]” De vaststelling dat de verweerster ook ‘de Gids’, te verstaan de Witte Gids van FCR Media, vermeldt, toont aan dat de verweerster ook initiatieven ondernam om de publicatie van de persoonsgegevens bij die elektronische telefoongids te verhinderen. 79. De vereiste van toestemming voor de rechtmatigheid van de verwerkingen is op wettelijke, dus onlosmakelijke, wijze verankerd met die verwerkingen. Dit impliceert dat de wens van de klager tegenover de verweerster om niet meer in telefoongidsen of telefooninlichtingendiensten te worden opgenomen, een verplichting voor de verweerster meebrengt, na het verzoek overeenkomstig artikel 7, lid 3 AVG door de klager om zijn toestemming in te trekken. 80. Die verplichting houdt in dat de verweerster passende organisatorische en technische maatregelen dient te treffen om de intrekking van de toestemming van de klager eveneens kenbaar te maken aan, enerzijds, de operator van de klager, zodat die operator de nodige maatregelen kan treffen opdat het intrekken van de toestemming uitwerking vindt voor alle publicaties in telefoongidsen en beschikbaarstellingen via telefooninlichtingendiensten, en anderzijds, aan derde verwerkingsverantwoordelijken die als aanbieders van telefoongidsen en telefooninlichtingendiensten de persoonsgegevens van de verweerster hebben ontvangen. Dit is a fortiori het geval wanneer de verweerster zelf bevestigt aan de klager dat zijn persoonsgegevens niet meer gepubliceerd zullen worden zulke derde aanbieders, gezien de verweerster er zich op die manier expliciet toe verbindt die verantwoordelijkheid te zullen opvolgen. 81. Wanneer er meerdere onderscheiden verwerkingsverantwoordelijken zijn, die elk op zich verwerkingen uitvoeren die dezelfde toestemming als grondslag hebben, een toestemming die de betrokkene bij één of meerdere van die verwerkingsverantwoordelijke(
  2. n)heeft gegeven, is het voldoende dat de betrokkene zich voor het intrekken van die toestemming richt tot één van de verwerkingsverantwoordelijken die verwerkingen op basis van de door de betrokkene gegeven toestemming uitvoert. In die zin kan in artikel 24 ( in casu samen beschouwd met artikel 6 en artikel 7) AVG een principe van een enkel loket worden gelezen, waarbij de betrokkene zich enkel tot één verwerkingsverantwoordelijke dient te richten, waarna voor de verwerkingsverantwoordelijke in kwestie de verplichting ontstaat te zorgen dat het verzoek van de betrokkene in de zin van de AVG uitwerking krijgt. 19 82. De verantwoordingsplicht ingevolge de artikelen 5, lid 2 en artikel 24 AVG brengt naar het oordeel van de Geschillenkamer mee dat de verwerkingsverantwoordelijke de nodige technische en organisatorische maatregelen neemt, teneinde ervoor zorg te dragen dat de betrokkene zich niet behoeft te richten tot iedere afzonderlijke verwerkingsverantwoordelijke. 83. De voorgaande verplichting behoort tot het degelijk invullen van de verantwoordelijkheid van de verweerster ingevolge artikel 5, lid 2 en artikel 24 AVG. Dit ontneemt de verantwoordelijkheid van derde telefoongidsen en telefooninlichtingendiensten niet voor wat betreft de verwerkingen die onder hun verantwoordelijkheid plaatsvinden, maar geeft louter een passende en adequate invulling van de verwerkingsverantwoordelijkheid van de verweerster, zoals dit door de klager kan verwacht worden. 84. Dit kadert in de brede invulling van het begrip verwerkingsverantwoordelijkheid (artikel 4, punt 7) AVG) door het Hof van Justitie. Zo is het niet noodzakelijk dat elk van de gezamenlijke verwerkingsverantwoordelijken betrokken zijn bij elke latere bewerking van persoonsgegevens om als verwerkingsverantwoordelijke voor de initiële verwerking te worden aanzien.27 A fortiori is de verweerster als verwerkingsverantwoordelijke wel verantwoordelijk voor de verwerkingen die zij onderscheiden uitvoert, en waarbij het gevolg van de gebrekkige reactie of het uitblijven van reactie op een verzoek van een betrokkene leidt tot onrechtmatige verwerkingen van de persoonsgegevens van die betrokkene bij derde verwerkingsverantwoordelijken. 85. Dit alles impliceert dat de verweerster een inbreuk pleegt op artikel 24 en artikel 5, lid 2 AVG, wanneer zij niet de passende technische en organisatorische maatregelen neemt om over te gaan tot het informeren van derde verwerkingsverantwoordelijken omtrent het intrekken van de toestemming door de klager overeenkomstig artikel 6 juncto artikel 7 AVG, met als gevolg dat de latere verwerkingen bij die derde verwerkingsverantwoordelijken onrechtmatig worden. 3.5. Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene (artikel 12, juncto artikel 13 AVG) 86. Artikel 12, lid 1 AVG stelt: “De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in artikel 13 en 14 bedoelde informatie […] in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt […]” 87. Artikel 13, lid 1 AVG stelt: “Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie: […]
  3. c)de verwerkingsdoeleinde waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking […]” (benadrukking van de Geschillenkamer) HvJEU Arrest van 29 juli 2019, Fashion ID GmbH & Co KG t. Verbraucherzentrale NRW eV, C-40/17, ECLI:EU:C:2019:629, par. 76. 27 20 88. Wanneer de verweerster in haar conclusie voor de Geschillenkamer stelt dat de klager zich, als abonnee van een openbare telefoondienst, moet richten tot de operator indien hij niet (meer) in een telefoongids wenst opgenomen te worden, zou de verweerster niet alleen haar verplichtingen als verwerkingsverantwoordelijke verzaken, maar zou hieruit ook blijken dat de eerdere informatie van de verweerster jegens de klager foutief – of op zijn minst als niet transparant – dient te worden beschouwd. 89. De rechtsgrond voor de verwerking betreft immers de toestemming die overeenkomstig artikel 133, §1 WEC aan de operator van de klager werd gegeven. Zoals eerder gesteld, is het intrekken van die toestemming niet in concreto geregeld door de nationale wetgever, en moet hiervoor worden gekeken naar de bepalingen van de AVG. 90. De Geschillenkamer oordeelt dat de verweerster enkel transparant tegenover de klager informatie verschaft over de rechtsgrondslag van de verwerkingen, wanneer zij op duidelijke wijze stelt dat de toestemming voor de verwerking door het verzoek van de klager werd ingetrokken, en dat dientengevolge ook de persoonsgegevens in de telefoongidsen en telefooninlichtingendiensten van derde verwerkingsverantwoordelijken zullen worden verwijderd. 91. Uit het dossier blijkt inderdaad dat medewerkers van de verweerster aangeven dat de verweerster de persoonsgegevens niet alleen niet zou publiceren of opnemen in haar telefoongids en telefooninlichtingendienst, maar ook dat zij zou doorgeven aan andere aanbieders van telefoongidsen en telefooninlichtingendiensten om de persoonsgegevens niet te publiceren in hun telefoongids(
  4. en)en/of telefooninlichtingendienst(en). 92. Op 14 augustus 2019 bijvoorbeeld schrijft een medewerker van de verweerster: “Via de maandelijkse updates zullen zij [de derde telefoongidsen en telefooninlichtingendiensten] eveneens op de hoogte gebracht worden van uw vraag om uw gegevens niet langer te gebruiken.” 93. Deze informatie strookt niet met de juridische zienswijze van de verweerster die zij in haar conclusie uiteenzet. 94. De verweerster creëerde ten aanzien van de klager de indruk dat zij elke publicatie, ook in derde telefoongidsen en telefooninlichtingendiensten, kon tegenhouden. Hoewel de verweerster dus, ten aanzien van de Geschillenkamer in haar conclusies, opwerpt dat zij niet verantwoordelijk is voor de andere aanbieders van telefoongidsen en telefooninlichtingendiensten, verschaft zij ten aanzien van de klager andere informatie en stelt zij wél stappen te zullen ondernemen om persoonsgegevens bij derde verwerkingsverantwoordelijken te zullen (laten) schrappen. Er worden bovendien geen bijkomende vragen gesteld aan de klager door de verweerster in haar e-mail van 28 januari 2019. 95. Dit wijst erop dat de informatie met betrekking tot de rechtmatigheidsgrondslag voor enerzijds het publiceren van de persoonsgegevens, en anderzijds het signaleren aan derde telefoongidsen en –inlichtingendiensten dat de persoonsgegevens niet mochten worden gepubliceerd, niet transparant was in de zin van artikel 12, lid 1 AVG. 96. Op geen enkel moment wordt de klager er op gewezen dat hij zich zou moeten richten tot zijn eigen operator opdat het best gevolg kan gegeven worden aan zijn behoeften, zoals de verweerster vooropstelt in haar conclusie. De verweerster stelt daarenboven in haar eigen 21 conclusie dat zij het verzoek van de klager tot niet-publicatie van diens persoonsgegevens in haar eigen gidsen en via haar eigen inlichtingendiensten kwalificeert als het recht op rectificatie (artikel 16 AVG). 97. Wanneer het recht op rectificatie inderdaad van toepassing zou zijn die context, quod non, had de verweerster de klager moeten informeren over het feit dat de technische organisatie binnen de sector tot gevolg zou hebben dat de persoonsgegevens tóch zouden worden gepubliceerd, indien de verweerster van de operator een nieuw signaal (‘NNNNN’) voor het publiceren van persoonsgegevens in telefoongidsen en telefooninlichtingendiensten zou ontvangen. Dit wijst erop dat de uitoefening van de rechten van de klager onvoldoende gefaciliteerd worden in de zin van artikel 12, lid 2 AVG, hoewel de Geschillenkamer reeds stelde dat het recht op rectificatie in casu geen uitwerking vindt, gezien het om het intrekken van de toestemming gaat (supra, onderdeel 3.3.). 3.6. Het recht op gegevenswissing (artikel 17 AVG) 98. In de klacht die neergelegd is bij de Gegevensbeschermingsautoriteit, formuleert de klager het verzoek dat zijn persoonsgegevens moeten “verwijderd” worden, niet alleen in de elektronische telefoongidsen en telefoonlichtingendiensten van de verweerster, maar ook “op Facebook, bij Google, bij alle mogelijke andere zoekrobots en zoekmachines”. 99. Het moet voor de volledigheid worden vermeld dat dit uitgebreide verzoek door de klager niet eerder als dusdanig tegenover de verweerster werd geformuleerd. Enkel tegen de publicatie en de doorgifte van de persoonsgegevens werd bezwaar gemaakt, er werd niet verzocht om de persoonsgegevens volledig te wissen bij de verweerster. 100. Artikel 133 WEC, dat artikel 12 e-Privacyrichtlijn in het Belgisch nationaal recht implementeert, bepaalt in de tweede paragraaf in algemene termen dat iedere abonnee gerechtigd is om kosteloos “de persoonsgegevens die op hem betrekking hebben te laten verbeteren of te laten verwijderen uit de telefoongids of de telefooninlichtingendienst.” 101. Gezien deze bepaling de verwijdering van de persoonsgegevens enkel in algemene termen regelt, dient te worden gekeken naar artikel 17, lid 1 AVG, hetgeen stelt: “De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is: […]
  5. b)de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt
  6. a)[…] rust in, en er is geen andere rechtsgrond voor de verwerking” 102. Zoals de Geschillenkamer eerder al vaststelde, heeft de klager diens toestemming ingetrokken, en dientengevolge vindt artikel 17, lid 1 AVG uitwerking door het verzoek van de klager. 103. Artikel 17, lid 2 AVG stelt dat als de verwerkingsverantwoordelijke de persoonsgegevens heeft openbaar gemaakt, en overeenkomstig het verzoek van de betrokkene die gegevens dient te wissen, de verwerkingsverantwoordelijke redelijke maatregelen, waaronder technische 22 maatregelen dient te nemen om “verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijke heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.” 104. Het publiceren van persoonsgegevens op de webpagina’s van de verweerster kan leiden tot het aanmaken van weblinks voor zoekrobots met verwijzingen naar of zelfs volledige overname van persoonsgegevens die op de webpagina’s van de verweerster gepubliceerd staan. De verweerster draagt hier een verantwoordelijkheid om de links te laten verwijderen, zodat er toereikend gevolg wordt gegeven aan het verzoek van de klager28. 105. De verweerster geeft in haar communicatie van 14 augustus 2019 tegenover de klager zelf aan dat zij maatregelen zal treffen om de links via Google te verwijderen. Het is aan de verweerster om dit op te volgen zodat afdoend gevolg kan worden gegeven aan het verzoek van de klager. Wanneer de verweerster er niet in slaagt een andere verwerkingsverantwoordelijke te contacteren, of wanneer de andere verwerkingsverantwoordelijke geen afdoend gevolg geeft aan het verzoek, dient zij hierover op transparante wijze naar de betrokkene te communiceren, opdat deze zich vervolgens kan richten tot die andere verwerkingsverantwoordelijke om daar zijn verzoek kenbaar te maken. 3.7. De rechtmatigheid van de doorgifte van persoonsgegevens aan derde aanbieders van telefoongidsen en telefooninlichtingendiensten (artikel 6 AVG) 106. De Geschillenkamer wenst zich uit te spreken over de rechtmatigheid van de doorgifte van de persoonsgegevens van de klager door de verweerster aan derde telefoongidsen en telefooninlichtingendiensten, gezien de verweerster niet de operator van de klager betreft. Op 14 augustus 2019 schrijft een medewerker van de verweerster immers: “[…] Conform de wettelijke bepalingen werden uw gegevens ook doorgestuurd naar andere telefoongidsen en telefooninlichtingendiensten die aan [verweerster] de aanlevering van abonneegegevens gevraagd hebben, met name www.wittegids.be, www.infobel.com, www.de1212.be en www.opendi.be . Via de maandelijkse updates zullen zij eveneens op de hoogte gebracht worden van uw vraag om uw gegevens niet langer te gebruiken […]” 107. Artikel 6, lid 1 AVG geeft een overzicht van de mogelijke verwerkingsgrondslagen op basis waarvan verwerkingen rechtmatig plaatsvinden. 108. Voor het opnemen van de persoonsgegevens van betrokkenen, zoals de klager, in een telefoongids of telefooninlichtingendienst, wordt de toestemming door de operator gevraagd, zoals uiteengezet in artikel 133, §1 WEC. De hierop volgende doorgifte van persoonsgegevens is gebaseerd op die toestemming aan de operator. 109. Overeenkomstig artikel 45, §2 en artikel 46, §2 WEC is het aan de operator om de ‘abonneegegevens’ te verstrekken aan telefoongidsen, respectievelijk telefooninlichtingendiensten. In het voorliggende dossier is het dus enkel Telenet als operator 28 Zie ook hier de problematiek van de gezamenlijke verwerkingsverantwoordelijken. 23 van de klager die verplicht was overeenkomstig artikel 45,§2 en artikel 46, §2 WEC de persoonsgegevens door te geven aan de verweerster en andere aanbieders van telefoongidsen of telefooninlichtingendiensten. 110. De doorgifte van persoonsgegevens door de operator aan aanbieders van telefoongidsen en –inlichtingendiensten wordt dus in concreto geregeld in de WEC als uitvoering van de ePrivacyrichtlijn (lex specialis). De doorgifte van de persoonsgegevens door aanbieders van zulke gidsen en inlichtingendiensten aan aanbieders van gelijkaardige gidsen en inlichtingendiensten is niet geregeld in de WEC, en voor de rechtmatigheid van die verwerking moet dus worden gekeken naar de AVG als lex generalis. Meer bepaald moet worden onderzocht of die doorgiften rechtmatig zijn overeenkomstig artikel 6, lid 1 AVG. 111. In het voorliggend dossier ging de verweerster over tot de doorgifte van de persoonsgegevens van de klager aan derde aanbieders van telefoongidsen en telefooninlichtingendiensten, hoewel zij niet de operator betreft van de betrokkene wiens persoonsgegevens worden doorgegeven. De verweerster verwijst op de hoorzitting naar de taak die het BIPT haar dienaangaande zou hebben toebedeeld, namelijk de taak van commerciële centrale beheerder van de abonneegegevens. Dit zou volgens de verweerster kunnen gezien worden als een bindende interpretatie van de WEC door het BIPT of een erkenning van de taak van de verweerster om de abonneegegevens door te geven in het kader van het algemeen belang. 112. De Geschillenkamer stelt in het bijzonder vast dat een document van het BIPT, dat op de hoorzitting door de verweerster werd voorgelegd, vermeldt dat er geen nood is aan een centrale “database van abonneegegevens” gezien “Belgacom deze prestaties reeds verricht op commerciële basis”.29 In een ander document van het BIPT wordt gesteld dat “indien de [operatoren] ook beschikken over de gegevens van abonnees van derde ondernemingen, worden deze eveneens overgedragen […]” zolang er een initiële toestemming is door de betrokkene voor de opname van diens persoonsgegevens in een telefoongids of telefooninlichtingendienst, en zolang dit gebruik beperkt blijft tot het op aanbieden van gelijkaardige gidsen en diensten.30 113. De Geschillenkamer stelt echter vast dat er geen basis is in de wetgeving waarbij de verweerster, louter als aanbieder van de telefoongidsen en telefooninlichtingendiensten, persoonsgegevens mag doorgeven aan andere aanbieders van telefoongidsen en telefooninlichtingendiensten. Het aanwijzen van de verweerster als een centrale beheerder van de abonneegegevens kent geen rechtmatige basis in de bepalingen van de WEC. Die bepalingen gaan immers uit van de informatie die door de operatoren wordt verstrekt. 114. Het feit dat de e-Privacyrichtlijn en haar nationale uitvoerende bepalingen vooropstellen dat de operatoren een expliciete toestemming van de betrokkenen dienen te verkrijgen voor een publicatie van hun ‘abonneegegevens’ in telefoongidsen en telefooninlichtingendiensten, wijst erop dat verdere doorgiften ná het verlenen van de toestemming bij de operator a fortiori niet kunnen zonder expliciete toestemming van de betrokkene, of bijkomende wettelijke basis. BIPT, Advies van de Raad van het BIPT betreffende de opheffing van de Universeledienstverplichtingen inzake de verstrekking va de universele inlichtingendienst en de beschikbaarstelling van de universele telefoongids, 24 mei 2013, rn. 86; Belgacom als 29 rechtsvoorganger van Proximus. BIPT, Update van het advies van het BIPT van 18 februari 2009 betreffende de bepaling en de voorwaarden voor het beschikbaar stellen van de basisidentificatiegegevens door de aanbieders van telefoniediensten aan de uitgevers van telefoongidsen en de aanbieders van inlichtingendiensten, 11 september 2017, 8. 30 24 115. Dit kan ook gelezen worden in artikel 45, §4 en 46, §4 WEC, respectievelijk voor de telefoongidsen en telefooninlichtingendiensten. Aanbieders van zulke diensten “mogen de gegevens die [door de operatoren] zijn meegedeeld, slechts gebruiken met het oog op de levering van een [telefoongids][telefooninlichtingendienst]”. Aanbieders van telefoongidsen en – inlichtingendiensten kunnen de persoonsgegevens met andere woorden niet gebruiken voor een ander doeleinde, namelijk het doorgeven van die persoonsgegevens aan derde aanbieders van gelijkaardige gidsen en diensten. 116. De doorgifte van de persoonsgegevens met als doel het publiceren in telefoongidsen en telefooninlichtingendiensten is immers voorbehouden aan de operatoren overeenkomstig respectievelijk artikel 45, §2 en artikel 46, §2 WEC: “De personen die openbare telefoondiensten aanbieden aan abonnees stellen de noodzakelijke abonneegegevens ter beschikking van de personen die een aangifte hebben gedaan in de zin van §1, onder billijke, redelijke en niet-discriminerende, technische, financiële en commerciële voorwaarden.” 117. In casu treedt verweerster niet op als operator, doch louter als aanbieder van telefoongidsen en telefooninlichtingendiensten. Zij kan geen persoonsgegevens doorgeven aan derde telefoongidsen en telefooninlichtingendiensten op dezelfde manier als operatoren, gezien die doorgifte enkel aan de operatoren als taak is toebedeeld door de nationale wetgever. 118. Het klopt dat de in artikel 12, lid 2 e-Privacyrichtlijn bedoelde toestemming voor doorgifte door de operator betrekking heeft op het doel van de publicatie van de persoonsgegevens, en niet op de identiteit van een telefoongidsaanbieder in het bijzonder. 31 In die zin kan de betrokkene niet diversifiëren in de toestemming die zij of hij geeft bij zijn operator. De loutere vaststelling dat persoonsgegevens al dan niet mogen worden doorgegeven door de operator zijn in deze context overigens niet relevant, gezien de Geschillenkamer in dit onderdeel de doorgifte van persoonsgegevens van betrokkenen onderzoekt die géén abonnee zijn bij de verweerster. 119. Het voorgaande in acht genomen, stelt de Geschillenkamer vast dat de verweerster persoonsgegevens niet rechtmatig verwerkt, wanneer zij in haar hoedanigheid als aanbieder van telefoongidsen en telefooninlichtingendiensten, zonder tegelijk de operator van de betrokkenen te zijn, persoonsgegevens doorgeeft aan andere aanbieders van telefoongidsen en telefooninlichtingendiensten, die derde verwerkingsverantwoordelijken betreffen. Dit vormt een inbreuk op artikel 6, lid 1 AVG. 31 Deutsche Telekom, rn. 61. 25 4. Inbreuken op de AVG en de verzoeken van de klager 120. De Geschillenkamer acht inbreuken op de volgende bepalingen door de verweerster bewezen: a. artikel 6 AVG, j° artikel 7 AVG, gezien de verweerster doorging met de publicatie en het beschikbaar stellen van de persoonsgegevens van de klager in telefoongidsen, resp. telefooninlichtingendiensten, na het intrekken van diens toestemming, wat maakt dat de verdere verwerking door de verweerster onrechtmatig werd; b. artikel 6 AVG, gezien de verweerster op onrechtmatige wijze persoonsgegevens doorgeeft aan andere aanbieders van telefoongidsen en telefooninlichtingendiensten, zonder dat zij een geldige rechtsgrondslag kan aanwijzen voor de rechtmatigheid van die doorgifte als verwerking van persoonsgegevens; c. artikel 12 j° artikel 13 AVG, gezien er ten aanzien van de klager geen transparante informatie is verschaft door de verweerster, en gezien de verweerster de uitoefening van de rechten van de betrokkene onvoldoende faciliteert; d. artikel 24 en artikel 5, lid 2 AVG, gezien de verweerster haar verplichtingen en verantwoordelijkheden als verwerkingsverantwoordelijke niet nakomt door passende technische en organisatorische maatregelen te nemen opdat de verwerking in overeenstemming met de bepalingen van de AVG geschiedt, waarbij de operator van de klager wordt ingelicht over het intrekken van de toestemming, alsook waarbij de derde aanbieders van telefoongidsen en –inlichtingendiensten waaraan de verweerster de persoonsgegevens heeft doorgegeven, worden ingelicht omtrent het intrekken van de toestemming. 121. De Geschillenkamer acht het passend te bevelen dat de verwerking in overeenstemming wordt gebracht met de bepalingen van de AVG cfr. artikel 58, lid 2, punt
  7. d)AVG en artikel 100, §1, 9° WOG, alsook om naast deze corrigerende maatregel een administratieve geldboete op te leggen (artikel 83, lid 2 AVG; artikel 100, §1, 13° WOG en artikel 101 WOG). 122. Rekening houdend met artikel 83 AVG en de rechtspraak32 van het Marktenhof, motiveert de Geschillenkamer het opleggen van een administratieve sanctie in concreto: a. De ernst van de inbreuk: 123. Uit de voorgaande motivering blijkt de ernst van de inbreuk. Verweerster heeft als belangrijke speler in de telecomsector een voorbeeldfunctie, en dient haar technische en organisatorische maatregelen zodanig te organiseren dat de bepalingen van de AVG en de nationale uitvoeringsbepalingen terdege kunnen worden nageleefd. Het bezwaar van de klager kreeg niet alleen een gebrekkige opvolging, maar de communicatie en informatie van verweerster ten aanzien van de klager was ook niet transparant, of zelfs fout. 124. Het concrete negatieve gevolg (‘risico’) voor de klager was de beschikbaarheid van zijn persoonsgegevens op een manier die hij niet wenst en die aanleiding kan geven tot verdere verwerkingen (bijvoorbeeld in het kader van direct marketing) die de klager niet wenselijk acht, waardoor dit een voor de klager noemenswaardig nadeel veroorzaakt. Het feit dat de verweerster haar verantwoordelijkheid als verwerkingsverantwoordelijke in haar verdediging afschuift op de operator van de klager, zonder relevante rechtsgrond, is hier 32 Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2020/1471 van 19 februari 2020. 26 bijkomend betreurenswaardig. 125. Wat betreft de onrechtmatige doorgifte van de persoonsgegevens aan andere aanbieders van telefoongidsen en telefooninlichtingendiensten, houdt de Geschillenkamer er uiteraard rekening mee dat het BIPT in haar publieke adviezen en mededelingen de doorgifte niet aanmerkte als tegenstrijdig met de wetgeving op de persoonsgegevensbescherming. In die zin wordt het gerechtvaardigd vertrouwen van de verweerster in de adviezen, communicatie en documenten van een overheidsinstelling meegenomen in de beraadslaging en het bepalen van de sanctie. De Geschillenkamer benadrukt weliswaar dat de opvolging van de bepalingen van de AVG, een verantwoordelijkheid van de verwerkingsverantwoordelijke betreft, in casu de verweerster. b. De duur van de inbreuk: 126. Zoals blijkt uit de conclusie van de verweerster, is het door een (technische) actie op 31 januari 2019 dat de persoonsgegevens beschikbaar werden in de elektronische telefoongidsen en via de inlichtingendiensten van de verweerster. Dit duurde tot het nieuwe bezwarend verzoek van de klager op 14 augustus 2019, waaraan de verweerster diezelfde dag nog gevolg gaf. 127. De verweerster stelt echter dat de klager zich aan diens operator dient te richten indien hij niet (meer) in een telefoongids wenst opgenomen te worden. Bij een nieuw signaal van de operator aan de verweerster, tegenstrijdig met de eerdere bezwarende verzoeken van de klager, betekent dit dat er opnieuw een publicatie kan plaatsvinden, gezien de verweerster het verzoek van de klager in haar conclusie als de uitoefening van het recht op verbetering of rectificatie blijft zien. De inbreuk kan dus mogelijk opnieuw plaatsvinden op elk tijdstip in de toekomst wanneer een dergelijke update wordt overgemaakt aan de verweerster, mocht de Geschillenkamer niet overgaan tot het sanctioneren van de inbreuken. 128. Met betrekking tot de doorgifte van de persoonsgegevens door de verweerster aan derde aanbieders van telefoongidsen en telefooninlichtingendiensten, neemt de Geschillenkamer akte van de relevante elementen die de verweerster aanhaalt in het formulier met haar reactie tegen de voorgenomen geldboete. Hierin stelt de verweerster met name dat het systeem over de jaren op sectoraal niveau is ontwikkeld en in samenspraak met actoren binnen de overheid. De verweerster wijst met name op de moeilijkheid van het veranderen van het technisch proces dat achter de doorgifte schuilt. 129. De Geschillenkamer erkent het maatschappelijk belang van telefoongidsen en – inlichtingendiensten, doch elke verwerking in die context dient in overeenstemming met de vigerende wetgeving te gebeuren. De Geschillenkamer acht het dan ook aan de orde een termijn toe te kennen waarbinnen de verweerster, en door associatie alle betrokken actoren binnen de sector, de noodzakelijke maatregelen kan, resp. kunnen treffen om de doorgifte als verwerking van persoonsgegevens in overeenstemming met de bepalingen van de AVG te brengen, opdat elke verwerking in die context op rechtmatige wijze kan plaatsvinden. Gelet op de complexiteit van de te nemen maatregelen, inclusief de betrokkenheid van meerdere actoren, waaronder het BIPT, acht de Geschillenkamer het redelijk een gedoogperiode van één jaar toe te staan. 27 c. De nodige afschrikwekkende werking om verdere inbreuken te voorkomen: 130. Gezien de omvang van het aantal persoonsgegevens waarmee de verweerster omgaat, en de mogelijk lage prioriteit die de verweerster aan de opvolging en de maatregelen ten gevolge van de vaststelling van een inbreuk zou geven, acht de Geschillenkamer het noodzakelijk een voldoende hoge administratieve geldboete en andere sancties en maatregelen te bevelen en te formuleren. 131. Gezien de te nemen technische en organisatorische maatregelen de nodige investeringen vergen, acht de Geschillenkamer het mogelijk dat de verweerster bij een te lichte sanctionering, het risico aanvaardt om in de toekomst onderworpen te worden aan beslissingen waarbij inbreuken worden vastgesteld met een beperkte sanctionering. Dit zou betekenen dat niet enkel in deze, maar ook in andere zaken met betrekking tot de naleving van de bepalingen van de AVG, inbreuken zouden kunnen blijven plaatsvinden. Hierom is een zekere zwaarwichtigheid van de sanctie aan de orde, temeer gezien de grootte van de onderneming. 132. Een administratieve geldboete van 20.000 EUR is voor de Geschillenkamer een voldoende afschrikwekkend bedrag om verdere inbreuken te voorkomen, gezien de relatieve hoogte in verhouding met de omzet van de onderneming. 133. De Geschillenkamer wijst erop dat de andere criteria van art. 83.2. AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld. 28 5. Het pseudonomiseren van de onderhavige beslissing 134. De Geschillenkamer stelt vast de verweerder nalatig heeft gehandeld, doch heeft in casu geen verregaande nalatigheid vastgesteld met betrekking tot de doorgifte van persoonsgegevens aan derde aanbieders van telefoongidsen en –inlichtingendiensten. 33 Ook kan bezwaarlijk van een verregaande nalatigheid worden gesproken bij het verder verwerken van persoonsgegevens en het gebrekkig informeren van de klager, gezien de aard van de verwerking niet in het bijzonder gevoelig is, en gezien het beperkt aantal betrokkenen. Derhalve is de nalatigheid zijdens verweerder op zichzelf geen reden voor het bekendmaken van identificatiegegevens van verweerder. 135. Toch is het in het algemeen belang de voorliggende beslissing kenbaar te maken aan het publiek, gezien de concrete inbreuken die louter betrekking hebben op de klager kaderen in en een gevolg zijn van een groter geheel van structurele inbreuken die in dit dossier naar boven kwamen. Wanneer een wettelijke basis voor de doorgifte van persoonsgegevens immers ontbreekt, en deze verwerking structureel blijkt plaats te vinden, is het van algemeen belang deze praktijken en inbreuken aan de buitenwereld kenbaar te maken, gezien het per definitie groot aantal betrokkenen in deze context. 136. Gezien de verweerster een centrale rol speelt in de verwerkingen in het kader van het doorgeven van persoonsgegevens met als doel de publicatie ervan in telefoongidsen en telefooninlichtingendiensten in België, is het dan ook onwenselijk en onmogelijk haar identificatoren weg te laten. Dit zou een te verreikend ingrijpen in de feitenweergave en motivering betekenen, tot het punt waar het voor een externe lezer onmogelijk wordt om de motivering achter deze beslissing te begrijpen. Gezien de specificiteit van de feiten, is de heridentificatie immers zeer waarschijnlijk. 137. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing overeenkomstig artikel 100, §1, 16° WOG gepubliceerd op de website van de Gegevensbeschermingsautoriteit met vermelding van de identificatiegegevens van de verweerder, en dit omwille van de specificiteit en het algemeen belang van onderhavige beslissing, maar met weglating van de identificatiegegevens van de klager, gezien die identificatiegegevens niet noodzakelijk en relevant zijn bij de publicatie van de beslissing. 33 Eerder besloot de Geschillenkamer tot publicatie van de beslissing zonder weglaten van de identificatiegegevens van de verwerende partij in een geval van ‘verregaande nalatigheid’, cfr. Beslissing van 9 juli 2019 van de Geschillenkamer (Gegevensbeschermingsautoriteit), 05/2019; meer recent ging de Geschillenkamer over tot het publiceren van een beslissing zonder weglaten van de identificatiegegevens van de verwerende partij, omwille van het algemeen belang van de beslissing, alsmede om als voldoende afschrikwekkend voor te komen, cfr. Beslissing van 14 juli van de Geschillenkamer (Gegevensbeschermingsautoriteit), 37/2020. 29 OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om de verweerster: a. op grond van artikel 58, lid 2, punt
  8. d)AVG en artikel 100, §1, 9° WOG te gelasten terdege en onverwijld gevolg te geven aan de intrekking van de toestemming door de klager en als zodanig de verwerkingen van de persoonsgegevens van de klager in overeenstemming met artikel 6 j° artikel 7 AVG te brengen; b. op grond van artikel 58, lid 2, punt
  9. b)AVG en artikel 100, §1, 5° WOG te berispen omwille van het gebrek aan transparante informatie die zij aan de klager verschaft heeft, alsook omwille van het onvoldoende faciliteren van het uitoefenen van de rechten van de klager overeenkomstig respectievelijk artikel 12, leden 1 en 2 AVG; c. op grond van artikel 58, lid 2, punt
  10. b)AVG en artikel 100, §1, 5° WOG te berispen omwille van het verzaken aan haar verplichtingen en verantwoordelijkheden als verwerkingsverantwoordelijke overeenkomstig artikel 24 AVG om passende technische en organisatorische maatregelen te treffen teneinde te waarborgen dat de verwerkingen die zij uitvoert in overeenstemming met de AVG gebeuren; d. op grond van artikel 58, lid 2, punt
  11. c)AVG en artikel 100, §1, 6° WOG te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om diens recht op gegevenswissing uit te oefenen, en dit binnen een maand na de kennisgeving van deze beslissing; e. op grond van artikel 58, lid 2, punt
  12. f)AVG en artikel 100, §1, 8° WOG de verweerster te verbieden door te gaan met de verwerking waar zij op onrechtmatige wijze (artikel 6 AVG) persoonsgegevens doorgeeft aan derde aanbieders van telefoongidsen en telefooninlichtingendiensten, wanneer zij deze persoonsgegevens louter verkregen heeft als aanbieder van telefoongidsen en telefooninlichtingendiensten, met een gedoogperiode van een jaar na de kennisgeving van de beslissing, een gedoogperiode waarbinnen de doorgifte als verwerking kan blijven plaatsvinden, teneinde de verweerster, en door associatie de sector, de kans te geven een nieuw wetsconform systeem te ontwikkelen om de doorgifte te faciliteren; de verweerster dient de Geschillenkamer binnen het jaar na de kennisgeving van deze beslissing te informeren over de wijzigingen dienaangaande; f. op grond van artikel 83 AVG en artikelen 100, 13° en 101 WOG een administratieve geldboete van 20.000 EUR op te leggen aan verweerder wegens schending van artikelen 6, 7 en 12 AVG. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de Gegevensbeschermingsautoriteit als verweerder. (get.) Hielke Hijmans Voorzitter van de Geschillenkamer

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.