1/5 Geschillenkamer Beslissing 43/2026 van 4 maart 2026 Dossiernummer : DOS-2022-03209 Betreft : Het verzenden van een basisakte door een syndicus De Geschillenkamer van de Gegevensbeschermingsautoriteit; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier met inbegrip van de conclusies van de klager en de verweerder; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Y, met maatschappelijke zetel te [...], met ondernemingsnummer [...], vertegenwoordigd door Mr. Filip Duwaerts, hierna “de verweerder” Beslissing ten gronde 43/2026 — 2/5 I. 1. Feiten en procedure De verweerder is de syndicus van het appartementsgebouw Residentie Z te (adres). De klager is bewoonster en eigenares van een appartement in dit appartementsgebouw. Op 1 augustus 2022 verzendt de verweerder een e-mail naar alle bewoners van het betreffende appartementsgebouw. Het document in bijlage van de litigieuze e-mail betreft een wijziging van de basisakte van het appartementsgebouw. Hierin worden de volledige naam, geboortedatum, geboorteplaats, rijksregisternummer, adres, burgerlijke staat, locatie en datum van huwelijk en huwelijksstelsel opgenomen. 2. Op 3 augustus 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. 3. Op 11 oktober 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 29 februari 2024 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 5. Op 29 februari 2024 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. II. Motivering II.1. Reikwijdte van de zaak 6. Op 29 februari 2024 werden de betrokken partijen geïnformeerd dat de reikwijdte van de zaak betrekking heeft op de volgende vermeende inbreuken door de verweerder: a. Inbreuk op artikel 5.1.
- c)AVG (het beginsel van minimale gegevensverwerking); b. Inbreuk op artikel 5.1.
- f)AVG (de beginselen van integriteit en vertrouwelijkheid); c. Inbreuk op artikel 5.1.
- a)en artikel 6.1 van de AVG (de verplichting om gegevens rechtmatig te verwerken); d. Inbreuk op artikel 24.1 AVG (de verplichting om passende technische en organisatorische maatregelen te nemen); e. Inbreuk op artikel 25 AVG (het principe van gegevensbescherming door ontwerp en door standaardinstellingen); f. Inbreuk op artikel 33 AVG (de verplichting om een inbreuk in verband met persoonsgegevens te melden aan de toezichthoudende autoriteit); g. Inbreuk op artikel 34 AVG (de verplichting om een inbreuk in verband met persoonsgegevens te melden aan de betrokkenen). Beslissing ten gronde 43/2026 — 3/5 II.2. Over de verwerkingsverantwoordelijkheid van de verweerder Standpunt van de verweerder 7. De verweerder stelt dat zij in dit dossier wordt aangesproken in haar hoedanigheid en in de uitvoering van haar taken als syndicus. De syndicus is volgens de verweerder slechts een uitvoerend orgaan van de (algemene vergadering) van de vereniging van mede-eigenaars, dat het beslissings- en controleorgaan is. Hierdoor zou de syndicus enkel optreden als verwerker en niet als verwerkingsverantwoordelijke. 8. De verweerder verwijst naar artikel 82.2 AVG, dat bepaalt dat zij als verwerker slechts aansprakelijk is voor “de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld”. Standpunt van de klager 9. De klager stelt dat zij als eigenaar haar vertrouwen kon stellen in de verweerder als syndicus. Zelfs indien de beslissing wordt genomen door de vereniging van medeeigenaars, is het aan de syndicus om ervoor te zorgen dat de wetten correct worden toegepast, en draagt de syndicus ook de eindverantwoordelijkheid voor het versturen van de litigieuze e-mail. Oordeel van de Geschillenkamer 10. De AVG definieert “verwerkingsverantwoordelijke” als “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”.1 Het EDPB heeft verduidelijkt dat het concept van verwerkingsverantwoordelijke betrekking heeft op de impact van de verwerkingsverantwoordelijke op de verwerking van gegevens, gebaseerd op een beslissingsbevoegdheid of controle over de verwerkingsactiviteiten. Zulke controle kan voortkomen uit wettelijke bepalingen, voortvloeien uit een impliciete bevoegdheid of gegrond zijn op de uitoefening van een feitelijke invloed2. Deze analyse vereist een feitelijke 1 2 Artikel 4.7 AVG EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer. 20 e.v Beslissing ten gronde 43/2026 — 4/5 beoordeling3, waarbij bestaande regelingen getoetst worden aan de feitelijke omstandigheden van de relatie tussen de partijen 4. 11. Overeenkomstig artikel 4.89, § 5, 1° van het Burgerlijk Wetboek heeft de syndicus tot opdracht de beslissingen die de algemene vergadering van de vereniging van medeeigenaars heeft genomen, uit te voeren en te laten uitvoeren. Dit werd ook opgenomen in de overeenkomst tussen de verweerder en de vereniging van mede-eigenaars, waarin uitdrukkelijk wordt verwezen naar de wettelijke opdracht van de verweerder die bestaat in het uitvoeren en laten uitvoeren van de beslissingen van de algemene vergadering. 12. Hieruit volgt dat de syndicus niet het doel en de middelen voor de verwerking bepaalt, maar optreedt als uitvoerend orgaan van de vereniging van mede-eigenaars. De beslissingsbevoegdheid over de doeleinden en middelen van verwerkingen die verband houden met dit beheer rust derhalve bij de vereniging van mede-eigenaars. Aldus dient niet de syndicus maar de vereniging van mede-eigenaars te worden beschouwd als de verwerkingsverantwoordelijke. 13. De Commissie voor de bescherming van de persoonlijke levenssfeer overwoog in Advies nr. 22/2008 van 11 juni 2008 dat “de vereniging van mede-eigenaars overduidelijk beschouwd worden als de verantwoordelijke voor deze verschillende verwerkingen van persoonsgegevens”. Dit advies had betrekking op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. 14. Betreffende de litigieuze gegevensverwerking, volgt duidelijk uit de stukken in het dossier dat niet de verweerder maar de algemene vergadering van de vereniging van medeeigenaars het doel en de middelen bepaalde van de gegevensverwerking. De verweerder verwijst in stuk 1 van haar conclusies naar de notulen van de algemene vergadering van de vereniging van mede-eigenaars van 29 april 2023 waarin de algemene vergadering besloot dat een nieuw ontwerp van de basisakte ter goedkeuring zou worden voorgelegd aan de eigenaars. De syndicus kon hierbij geen invloed uitoefenen op de bepaling van de doeleinden en de middelen van de verwerking. Bovendien blijkt niet uit de stukken in het dossier dat de verweerder buiten dan wel in strijd handelde met de instructies van de verwerkingsverantwoordelijke. Aldus dient de syndicus niet te worden beschouwd als verwerkingsverantwoordelijke voor de litigieuze verwerking. 3 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer 12. 4 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer 52.