Beslissing ten gronde nr. 44/2022

1/34 Geschillenkamer Beslissing ten gronde 44/2022 van 28 maart 2022 Dossiernummer : DOS-2019-03592 Betreft : Klacht wegens onrechtmatige verwerking na een verzoek tot inzage op grond van artikel 15 AVG De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Dirk Van Der Kelen, dienstdoend voorzitter, en de heren Frank De Smet en Yves Poullet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit; hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De klager: de heer X, hierna “de klager”; en De verweerder: Y, vertegenwoordigd door Mr. Erik Valgaeren en Mr. Jan Joos, advocaten . . aan de balie te Brussel met kantoor te Loksumstraat 25 - 1000 Brussel, hierna “de verweerder”. . Beslissing ten gronde 44/2022 - 2/34 I. Feiten en procedure 1. Op 26 juni 2019 dient de klager bij de Gegevensbeschermingsautoriteit (hierna: "GBA") een klacht in tegen de verweerder. De klager preciseert in zijn klacht dat deze op 29 maart 2019 zijn recht van inzage heeft uitgeoefend ten aanzien van de verweerder. Hij stelt dat het verzoek tot inzage betrekking had op de verwerking van zijn persoonsgegevens in het kader van de benoemingsprocedure georganiseerd door de verweerder met oog op de aanduiding van de (directie)leden van de GBA. De klager preciseert dat zijn verzoek algemeen van aard was, doch dat dit in het bijzonder betrekking had op het verslag dat namens de Commissie voor de Justitie van de verweerder werd uitgebracht bij de Conferentie van Voorzitters in het kader van voormelde procedure. De klager preciseert per e-mail van 1 april 2019 een ontvangstbevestiging te hebben ontvangen en op 25 april 2019 een tweede e-mail te hebben ontvangen van de verweerder waarbij de hem betreffende persoonsgegevens werden meegedeeld. De klager stelt per email van 7 mei 2019 een aantal bijkomende vragen te hebben gesteld aan de verweerder, meer bepaald met betrekking tot de ontvangers van zijn persoonsgegevens alsook het vermeende ontoereikende karakter van deze gegevens. De klager stelt per e-mail van 27 mei 2019 een antwoord te hebben ontvangen vanwege de verweerder op voormelde vragen en opmerkingen. De klager voegt voormelde e-mailuitwisseling met de verweerder bij zijn klacht bij wijze van stavingstukken. 2. In zijn klacht werpt de klager de volgende vermeende schendingen van de AVG in hoofde van de verweerder op: i. het niet verstrekken van de informatie overeenkomstig artikel 13 AVG: de klager meent dat onvoldoende werd aangegeven wat er met de betrokken gegevens is gebeurd en, in het bijzonder, met wie deze werd gedeeld; ii. het niet vooraf informeren van de betrokkene overeenkomstig artikel 13 AVG in verband met de opname van de toelichting van zijn kandidatuur; iii. het ontbreken van een geldige verwerkingsgrondslag voor de opname overeenkomstig artikel 6.1 AVG. De betrokkene stelt dat dit in beginsel de toestemming vereist; iv. het niet meedelen van alle persoonsgegevens die zijn verwerkt. De betrokkene stelt dat de beraadslagingen van de Commissie voor de Justitie alsook het verslag aan de Conferentie van voorzitters niet werd overgemaakt en dat het onwaarschijnlijk is dat hiervan geen schriftelijke neerslag zou bestaan; v. het niet meedelen van de informatie waarvan sprake in artikel 15.1 AVG. De betrokkene preciseert wat dit betreft dat de informatie met betrekking tot wat de verweerder globaal met persoonsgegevens doet, niet werd meegedeeld; en Beslissing ten gronde 44/2022 - 3/34 vi. het niet beantwoorden van de verwerking aan de voorwaarde van artikel 5.1

1. c)AVG, met name het verwerken van onvoldoende of ontoereikende persoonsgegevens om het doeleinde van de verwerking (de geheime stemming omtrent de kandidatuur van de klager) te kunnen verwezenlijken. 3. Op 1 juli 2019 wordt de hierboven vermelde klacht op grond van artikel 58 juncto artikel 60 WOG door de Eerstelijnsdienst ontvankelijk verklaard en wordt deze overeenkomstig artikel 62, §1 WOG overgemaakt aan de Geschillenkamer. 4. Op 23 juli 2019 beslist de Geschillenkamer de behandeling van de klacht op te schorten in afwachting van de uitspraak van het arrest van het Hof van Justitie van de Europese Unie in het kader van de prejudiciële vraag gericht aan het Hof door het Verwaltungsgericht Wiesbaden (Duitsland) in de zaak VQ t/Land Hessen (C-272/19), die luidt als volgt: “Is Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming – AVG) – in casu artikel 15 AVG, betreffende het recht van inzage van de betrokkene – van toepassing op de commissie van een parlement van een deelstaat van een lidstaat, indien deze commissie verantwoordelijk is voor de behandeling van verzoekschriften van burgers – in casu de commissie verzoekschriften van de Hessische Landtag -, en moet deze commissie in dat opzicht worden behandeld als een overheidsinstantie in de zin van artikel 4, punt 7, AVG?” De Geschillenkamer is namelijk van oordeel dat het antwoord op voormelde prejudiciële vraag relevant is voor de verdere behandeling van onderhavige zaak, gelet op het feit dat deze eveneens betrekking heeft op de verwerking van persoonsgegevens in het kader van de werkzaamheden van een parlementaire commissie. 5. Per brief en e-mail van 23 juli 2019 stelt de Geschillenkamer de partijen in kennis van deze opschorting van de behandeling van het dossier en preciseert deze in dit schrijven dat het de meest gerede partij vrij staat om het antwoord van het Hof, ten gepasten tijde, neer te leggen in het dossier. 6. Op 9 juli 2020 spreekt het Hof van Justitie zijn arrest uit in de bovenvermelde zaak C-272/19. In dit arrest bevestigt het Hof de toepasselijkheid van artikel 15 AVG op een parlementaire commissie Verzoekschriften indien en voor zover deze (alleen of samen met anderen) het Beslissing ten gronde 44/2022 - 4/34 doel en de middelen voor de verwerking van persoonsgegevens vaststelt, als “verwerkingsverantwoordelijke” in de zin van artikel 4.7 AVG moet worden beschouwd, zodat de verwerking van persoonsgegevens door deze commissie valt binnen de werkingssfeer van de AVG en meer bepaald artikel 15 AVG. 7. Op 11 maart 2021 maakt de Geschillenkamer de klacht op grond van artikelen 63, 2° en 94, 1° WOG over aan de Inspectiedienst voor verder onderzoek daar zij van oordeel is dat op basis van de voorgelegde stukken nog geen beslissing kan worden genomen bij toepassing van artikel 95 WOG. 8. Op 18 augustus 2021 maakt de Inspecteur-Generaal overeenkomstig artikel 91, §2 WOG het verslag van het onderzoek over aan de voorzitter van de Geschillenkamer. 9. Op 27 augustus 2021 beslist de Geschillenkamer op grond van artikelen 95, §1, 1° en 98 WOG dat het dossier gereed is voor behandeling ten gronde. 10. Op 27 augustus 2021 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. 11. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 22 oktober 2021, deze voor de conclusie van repliek van de klager op 12 november 2021 en deze voor de conclusie van repliek van de verweerder op 3 december 2021. 12. Op 15 september 2021 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 9 december 2021. 13. Op 22 oktober 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. 14. Op 12 november 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager. 15. Op 2 december 2021 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. 16. Op 9 december 2021 worden de partijen gehoord door de Geschillenkamer. 17. Op 15 december 2021 wordt het proces-verbaal van de hoorzitting aan de partijen overgemaakt. 18. Op 20 december 2021 ontvangt de Geschillenkamer de opmerkingen van de verweerder met betrekking tot het proces-verbaal, dewelke als bijlage worden gevoegd bij het procesverbaal van voormelde hoorzitting en door de Geschillenkamer mee worden opgenomen in haar beraad. Beslissing ten gronde 44/2022 - 5/34 19. Op 20 december 2021 ontvangt de Geschillenkamer de opmerkingen van de klager met betrekking tot het proces-verbaal, dewelke als bijlage worden gevoegd bij het procesverbaal van voormelde hoorzitting en door de Geschillenkamer mee worden opgenomen in haar beraad. II. Motivering II.1. II.1 De identificatie van de verwerkingsverantwoordelijke (artikel 4.7 AVG) 20. De Geschillenkamer gaat over tot het aanduiden van de verwerkingsverantwoordelijke voor de verwerking die het voorwerp uitmaakt van de klacht. Overeenkomstig artikel 4.7 AVG dient als verwerkingsverantwoordelijke te worden beschouwd: “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, allee of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstelling van en de middelen voor deze verwerking in het Unierecht of het lidstatelijk recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen”. 21. Er dient in dit verband op te worden gewezen dat het Hof van Justitie in zijn rechtspraak het begrip “verwerkingsverantwoordelijke” meermaals ruim heeft uitgelegd teneinde een doeltreffende en volledige bescherming van de betrokkenen te verzekeren. Het Hof heeft bovendien meermaals bevestigd dat voor de identificatie van de verwerkingsverantwoordelijke(
2. n)er een feitelijke beoordeling moet zijn welke natuurlijke persoon of rechtspersoon, resp. natuurlijke personen of rechtspersonen, “het doel” en “de middelen” van de verwerking vaststellen, waarbij ter bescherming van betrokkenen een ruime definitie aan het begrip wordt gegeven. 22. De klacht ingediend door de klager kadert binnen de procedure tot benoeming van de leden (van het Directiecomité) van de Gegevensbeschermingsautoriteit. Overeenkomstig artikel 39 en volgende WOG is het Y die bevoegd is voor de benoeming van voormelde leden. 23. In zijn verslag stelt de Inspectiedienst in dit verband vooreerst dat op 12 februari 2018 in het Belgisch Staatsblad door Y een oproep tot kandidaten werd gepubliceerd voor de mandaten van lid van het Directiecomité van de Gegevensbeschermingsautoriteit, waarin werd gepreciseerd dat kandidaten uiterlijk dertig dagen na de bekendmaking van dit oproepingsbericht hun kandidatuur konden indienen bij de Voorzitter van Y. De Inspectiedienst preciseert dat na het verstrijken van de uiterste datum voor het indienen van de kandidaturen door het Secretariaat-Generaal van Y een nota werd opgesteld ten behoeve Beslissing ten gronde 44/2022 - 6/34 van de Conferentie van Voorzitters met een overzicht van de ingediende kandidaturen doch zonder de curricula vitae van de kandidaten. Na akkoord van de Conferentie van Voorzitters bezorgden de diensten van Y een kopie van de curricula vitae van de kandidaten aan de voorzitters of de secretarissen van de politieke fracties. 24. Uit de stukken van het dossier en het verslag van het onderzoek opgesteld door de Inspectiedienst blijkt dat de kandidaten vervolgens op 30 januari 2019 en 13 februari 2019 werden gehoord in de Commissie Justitie en dat hierbij elk lid van deze commissie een papieren versie ontving van de kandidaturen, inclusief de curricula vitae en motivatiebrieven. De hoorzitting vond plaats achter gesloten deuren, waarna mondeling werd beraadslaagd en geen verslag werd opgesteld. 25. Het verslag van het onderzoek van de Inspectiedienst stelt in dit verband dat de gebruikelijke praktijk bij benoemingen door Y de volgende is: “- de documentatie van de kandidaten (motiveringsbrief en CV’
3. s)wordt gedurende de volledige tijd van de overwegingen en de beraadslaging bijgehouden door de voorzitters of de secretarissen van de politieke fracties; - de documentatie van de kandidaten (motiveringsbrief en CV’
4. s)wordt niet verspreid onder de fractie, maar enkel voor inzage ter beschikking gesteld in het kader van de benoeming; - de documentatie van de kandidaten (motiveringsbrief en CV’
5. s)wordt na de stemming vernietigd”.1 Voormelde procedure werd ook in casu aldus toegepast. 26. Uit de stukken van het dossier en het verslag van het onderzoek van de Inspectiedienst blijkt dat de verweerder het initiatief nam voor de betrokken verwerkingen, met name het verzamelen en de verwerking van de persoonsgegevens in het kader van de benoemingsprocedure van de (directie)leden van de Gegevensbeschermingsautoriteit. De verweerder bepaalde het doel en de middelen voor de betrokken verwerkingen (oproep in het Belgisch Staatsblad, organisatie van de stemming, verzamelen en verwerken van de persoonsgegevens, opstellen van de privacyverklaring in het kader van de benoemingen, etc.) in de zin van artikel 4.7 AVG. 27. Op basis van bovenstaande dient te worden besloten dat de verweerder als verwerkingsverantwoordelijke voor de betrokken verwerkingen in het kader van de selectieprocedure dient te worden beschouwd en bijgevolg op de verweerder de verplichting 1 Verslag van het onderzoek, p. 7-8. Beslissing ten gronde 44/2022 - 7/34 rust vervat in artikel 5.2 juncto artikel 24 AVG om de naleving van de beginselen van de AVG te verzekeren en dit aan te tonen. II.2. De beginselen inzake de verwerking van persoonsgegevens en de rechtmatigheid van de verwerking (art. 5 en 6 AVG) Vaststellingen Inspectiedienst 28. In zijn verslag van het onderzoek stelt de Inspectiedienst vast dat de verweerder een inbreuk zou hebben gepleegd op de artikelen 5.1
6. a)en 6.1 AVG. 29. Meer bepaald komt de Inspectiedienst ten eerste tot het besluit dat het uitvoeren van audioopnames door de verweerder tijdens de hoorzittingen van de Commissie Justitie in het kader van de verwerkingsactiviteit “Benoemingen en voordrachten door Y” niet voldoet aan de noodzakelijkheidsvereiste vervat in de voormelde bepalingen en zoals uitgelegd door het Hof van Justitie van de Europese Unie. De Inspectiedienst stelt dat de ingeroepen rechtsgrond (art. 6.1
7. c)AVG) op zich niet ter discussie staat voor voormelde verwerkingsactiviteit doch dat het gebruik van de audio-opname niet strookt met het concept “noodzakelijk” waardoor eveneens de rechtmatigheid van de verwerking zou zijn aangetast. De Inspectiedienst oordeelt dat de audio-opname slechts als “nuttig” doch niet als “noodzakelijk” kan worden beschouwd en enkel bijdraagt tot de kwaliteit van de sneuveltekst. 30. Ten tweede komt de Inspectiedienst in zijn verslag van het onderzoek tot het besluit dat het gebruik van de voormelde audio-opnames niet transparant zou zijn (en deze verwijst hierbij naar vaststelling 3).2 Klacht en conclusie klager 31. De klager stelt in zijn klacht alsook zijn conclusie van repliek dat artikel 6.1 AVG geen grondslag kan bieden voor de audio-opname gemaakt van zijn toelichting tijdens de hoorzitting in de Commissie Justitie. 32. De klager stelt dat het ontbreken van een geldige rechtmatigheidsgrond volgt uit het ontbreken van elke informatie over de wettelijke grondslag overeenkomstig artikel 13 AVG, aangezien deze informatie het bewijs zou leveren van de wettelijke grondslag die de verweerder heeft bepaald. 2 Verslag van het onderzoek van de Inspectiedienst, p. 17. Beslissing ten gronde 44/2022 - 8/34 Conclusies verweerder 33. In zijn conclusies stelt de verweerder met betrekking tot deze vaststelling dat: 1. de audio-opnames die plaatsvinden tijdens de hoorzittingen van de Commissie Justitie wel een noodzakelijk instrument zijn voor het opstellen van de sneuvelteksten van deze hoorzittingen en dat deze enkel daarvoor worden gebruikt. De verweerder wijst erop dat een sneuveltekst een ontwerptekst is die nog geamendeerd of gewijzigd kan worden. De verweerder wijst erop dat, zonder het gebruik aan audioopnames, bepaalde aspecten van de hoorzitting verkeerdelijk of onvolledig gerapporteerd zouden kunnen worden, hetgeen een onmiskenbare en onherroepelijke invloed zou hebben op het verzekeren van de kwaliteit van de parlementaire werkzaamheden, waardoor de verweerder zou tekortschieten in zijn taak van algemeen belang. Hij preciseert dat de rapporteur van de hoorzitting een verslag dient op te stellen van de hoorzitting, welk uitgebracht wordt in de Conferentie van voorzitters. De verweerder stelt dat, voor de redactie van dergelijk verslag, de rapporteurs ervoor kunnen opteren om beroep te doen op de sneuveltekst. Hij preciseert dat het beroep doen op dergelijke sneuveltekst door de rapporteurs een optioneel karakter heeft doch dat, indien de rapporteur een sneuveltekst opvraagt, deze wel voorhanden moet zijn. De verweerder benadrukt dat het bijgevolg noodzakelijk is om van elke hoorzitting een audio-opname te maken, teneinde dergelijke sneuveltekst te kunnen voorleggen indien de rapporteur daarom verzoekt. De verweerder voegt hieraan toe dat de audio-opnames enkel ter beschikking worden gesteld van de diensten van Y die belast zijn met het opstellen van de sneuveltekst. Deze stelt dat ze slechts toegankelijk zijn gedurende de periode van de redactie van de sneuveltekst door deze diensten en de tijd die nodig is om vragen van de rapporteur te ontvangen en te beantwoorden en dat deze na afloop worden verwijderd. 2. de verwerking die het voorwerp uitmaakt van de eerste vaststelling (enkel) het maken van de audio-opname tijdens hoorzittingen van de Commissie Justitie betreft. De verweerder is van oordeel dat de Inspectiedienst onterecht stelt dat het maken van de audio-opname enkel als zelfstandige verwerking of als deelverwerking beschouwd zou kunnen worden “indien hierover duidelijk wordt gecommuniceerd naar de betrokkene toe” (pag. 17 Inspectieverslag). De verweerder stelt dat dergelijke vaststelling foutief is en in strijd met de AVG. Beslissing ten gronde 44/2022 - 9/34 De verweerder stelt dat de AVG verwerkingsverantwoordelijken inderdaad verplicht tot het informeren over hun verwerkingsactiviteiten naar de betrokkenen toe (art. 12 t.e.m. 14 AVG), maar dat het verstrekken van dergelijke informatie geenszins constitutief is voor de totstandkoming of kwalificatie van een bepaalde activiteit als een afzonderlijke “verwerking” in de zin van de AVG. De verweerder voegt hieraan toe dat de Inspectiedienst zelf met betrekking tot Vaststelling 5 van oordeel lijkt te zijn dat het maken van een audio-opname een afzonderlijke verwerkingsactiviteit uitmaakt: “De Inspectiedienst stelt vast dat het register van de verwerkingsactiviteiten op zichzelf onvolledig is gezien de verwerkingsactiviteit m.b.t. de audio-opnames niet voorzien was.” (pag. 28 Inspectieverslag). 3. het correct naleven van de informatieverplichtingen onder artikel 13 en 14 AVG evenmin een constitutieve voorwaarde vormt voor het voorhanden zijn van een wettelijke grondslag voor de verwerking op basis van artikel 6.1 AVG. Hij stelt dat het niet naleven van de informatieverplichtingen als dusdanig enkel een inbreuk op artikel 13 en 14 AVG en in principe geen weerslag heeft op de rechtmatigheid van de verwerking op basis van artikel 6.1 AVG. 4. wat betreft de doeleinde van de verwerking, het maken van de audio-opname een essentiële randvoorwaarde is voor de daaropvolgende verwerkingsactiviteit, nl. het opstellen van een sneuveltekst van de hoorzitting aan de hand van de audio-opname. De verweerder stelt dat beide verwerkingsactiviteiten samen als doeleinden hebben: (
8. i)de kwaliteit en integriteit van de verslagen van de hoorzittingen te allen tijde te verzekeren en (
9. ii)de kwaliteit en correctheid van de parlementaire werkzaamheden in het kader van benoemingen te allen tijde verzekeren. De audio-opnames en sneuvelteksten zorgen immers voor een grotere neutraliteit in de verslagen van de rapporteur en het verbeteren van de volledigheid van de verslagen, ter vrijwaring van de kwaliteit van de parlementaire werkzaamheden. 5. het verzekeren van de kwaliteit en de integriteit van verslagen van de hoorzittingen en de parlementaire werkzaamheden in het kader van benoemingen, ontegensprekelijk onderdeel vormen van de taak van algemeen belang die aan de verweerder is opgedragen. De verweerder preciseert dat deze zich om bovenvermelde reden in eerdere brieven dan ook niet enkel beriep op rechtsgrond artikel 6.1
10. c)AVG (zoals de Inspectiedienst zou doen uitschijnen), maar ook op rechtsgrond artikel 6.1
11. e)AVG. De verweerder stelt dat het uitvoeren van benoemingen en voordrachten tevens een wettelijke Beslissing ten gronde 44/2022 - 10/34 verplichting is die rust op de verweerder, hetgeen niet betwist wordt door de Inspectiedienst (pag. 17 Inspectieverslag). Deze voegt hieraan toe dat, vermits het uitvoeren van benoemingen en voordrachten een wettelijke verplichting uitmaakt, het correct uitvoeren daarvan en dus het verzekeren van de kwaliteit van dergelijke werkzaamheden, een intrinsiek onderdeel is van diezelfde wettelijke verplichting. 6. het vaststaande cassatierechtspraak is dat het opnemen van een gesprek waaraan men zelf deelneemt, niet ongeoorloofd is ook al geschiedt dit zonder medeweten van de andere deelnemers. De verweerder verwijst in dit verband onder meer naar: ▪ Cass. 9 september 2008, AR P.08.0276.N: “Niettegenstaande de verdragsrechtelijke bescherming van privécommunicaties, is het louter opnemen van een dergelijk gesprek waaraan men zelf deelneemt, niet ongeoorloofd ook al geschiedt dit zonder medeweten van de andere deelnemers.” ▪ Cass. (2e k.) 17 november 2015, AR P.15.0880.N: “Noch artikel 8.1 EVRM noch artikel 314bis Strafwetboek beletten het louter opnemen van een gesprek door een deelnemer aan dit gesprek zonder medeweten van de andere deelnemers.” 34. Tot slot stelt de verweerder dat ook de Geschillenkamer van de Gegevensbeschermingsautoriteit audio-opnames maakt van haar hoorzittingen, die toelaten om een proces-verbaal van de hoorzitting op te stellen en dat geen specifieke wettelijke bepaling bestaat omtrent het maken van dergelijke audio-opnames. De verweerder stelt te veronderstellen dat deze verwerking evenzeer berust op de rechtsgrond van noodzakelijkheid voor een taak van algemeen belang en/of de rechtsgrond van de noodzakelijkheid voor het uitvoeren van een wettelijke verplichting (hoewel er geen specifieke wettelijke verplichting voorligt voor het maken van de audio-opname zelf). Beoordeling Geschillenkamer 35. Overeenkomstig het rechtmatigheidsbeginsel vervat in artikel 5.1
12. a)AVG in samenhang gelezen met artikel 6.1 AVG, is een verwerking van persoonsgegevens enkel rechtmatig indien en voor zover aan ten minste één van de volgende voorwaarden is voldaan:
13. a)“de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; Beslissing ten gronde 44/2022 - 11/34
14. b)de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
15. c)de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
16. d)de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
17. e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
18. f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.” 36. De Geschillenkamer stelt vast dat de verweerder zich in casu voor de litigieuze verwerking van persoonsgegevens beroept op zowel artikel 6.1
19. c)AVG als artikel 6.1
20. e)AVG. De verweerder stelt in zijn conclusie van antwoord immers: “De verwerkingsverantwoordelijke beriep zich in haar eerdere brieven dan ook niet enkel op rechtsgrond artikel 6.1,
21. c)AVG (zoals de Inspectiedienst doet uitschijnen), maar ook op rechtsgrond artikel 6.1,
22. e)AVG: “Het doeleinde van deze gegevensverwerking is de benoeming van de leden van de organen van de Gegevensbeschermingsautoriteit, overeenkomstig de [WOG]. Deze gegevensverwerking is derhalve noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (artikel 6.1.c van de GDPR) of tenminste noodzakelijk voor de vervulling van een taak van algemeen belang dat aan de verwerkingsverantwoordelijke is opgedragen (artikel 6.1.e van de GDPR).” (Stuk 1) (onze nadruk). Daarnaast is het uitvoeren van benoemingen en voordrachten door Y een wettelijke verplichting, hetgeen niet betwist wordt door de Inspectiedienst (pag. 17 Inspectieverslag). Vermits het uitvoeren van benoemingen en voordrachten een wettelijke verplichting uitmaakt, is het correct uitvoeren daarvan en dus het verzekeren van de kwaliteit van dergelijke werkzaamheden, uiteraard ook een intrinsiek onderdeel van diezelfde wettelijke verplichting.” 3 3 Conclusie verweerder, p. 7. Beslissing ten gronde 44/2022 - 12/34 37. De Geschillenkamer oordeelt dat op de verweerder als dusdanig geen wettelijke verplichting in de zin van artikel 6.1
23. c)AVG rustte voor de litigieuze verwerking, i.e. de audio-opnames van de hoorzittingen. De Geschillenkamer is evenwel van oordeel zich in casu rechtsgeldig kan beroepen op de rechtsgrond vervat artikel 6.1
24. e)AVG, met name de noodzakelijkheid van de verwerking “voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen”. Wat voorgaande betreft, preciseren overweging 45 AVG en artikel 6.3 AVG dat een verwerking gesteund op artikel 6.1
25. e)AVG “een grondslag dient te hebben in het Unierecht of het lidstatelijke recht”. Hiermee sluit de AVG uit dat een “een taak in het kader van de uitoefening van het openbaar gezag” of “van algemeen belang” aan de verwerkingsverantwoordelijke zou worden opgedragen uit kracht van een overeenkomst of contract, zelfs indien dit in het algemeen belang werd afgesloten. De Geschillenkamer stelt in dit verband vast dat de verweerder overeenkomstig artikel 39 e.v. WOG belast is met voormelde taak van algemeen belang. 38. De Geschillenkamer oordeelt dat kan worden aanvaard dat de litigieuze verwerking noodzakelijk is met oog op het verzekeren van de kwaliteit en de integriteit van verslagen van de hoorzittingen en het verzekeren van de kwaliteit en correctheid van de parlementaire werkzaamheden in het kader van de benoemingen van de leden van het Directiecomité, het Kenniscentrum en de Geschillenkamer van de Gegevensbeschermingsautoriteit. 39. De Geschillenkamer wijst er in dit verband op dat taken van algemeen belang of openbaar gezag waarmee verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig omschreven verplichtingen of wetgevende normen. Veeleer vinden verwerkingen plaats op basis van een meer algemene machtiging om te handelen, zoals voor de vervulling van de taak noodzakelijk is. Verwerkingsverantwoordelijken die op basis van dergelijke wettelijke grondslag willen beroep doen op artikel 6.1
26. e)AVG moeten dan zelf een afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen belang en de belangen van de betrokkenen. 40. In dit verband wees het Hof van Justitie van de Europese Unie er in zijn rechtspraak - onder meer in het arrest Huber - op dat het concept van ‘noodzakelijkheid’ in de zin van artikel 6.1
27. e)AVG dient te worden beoordeeld in het licht van de evenredigheid en dat, met andere woorden, indien verschillende alternatieven voorhanden zijn om het nagestreefde doel te bereiken, voor het minst ingrijpende alternatief dient te worden geopteerd. 4 41. Het noodzakelijke en evenredige karakter van de maatregel dient bijgevolg meer bepaald te worden aangetoond met betrekking tot het gebrek aan minder ingrijpende middelen voor de 4 HvJEU, Huber, C-524/06, ECLI:EU:C:2008:724, par. 59-61. Beslissing ten gronde 44/2022 - 13/34 rechten en vrijheden van de betrokkenen via dewelke de beoogde doeleinden eveneens zouden kunnen worden bereikt. 42. In dit verband argumenteert de verweerder dat “het maken van de audio-opname wel degelijk noodzakelijk [is] om, via de opeenvolgende verwerking van de redactie van de sneuveltekst, de kwaliteit en integriteit van de verslagen ten allen tijde te verzekeren. Bij gebrek aan audio-opname (en dus bij gebrek aan een sneuveltekst indien de rapporteur daarom verzoekt), kunnen bepaalde aspecten van de hoorzitting immers verkeerdelijk of onvolledig gerapporteerd worden. Dit zou een onmiskenbare en onherroepelijke invloed hebben op het verzekeren van de kwaliteit van de parlementaire werkzaamheden, waardoor zij zou tekortschieten aan haar taak van algemeen belang” 5. De verweerder stelt dat geen andere middelen voorhanden zijn om op correcte wijze deze taak van algemeen belang te vervullen. 43. De Geschillenkamer oordeelt dat voormelde in casu is aangetoond en stelt bijgevolg geen inbreuk vast op de artikelen 5.1
28. a)en 6.1 AVG wat betreft de rechtmatigheid van de litigieuze verwerking. 44. De Geschillenkamer wijst er evenwel op dat de verwerking voorzienbaar dient te zijn voor de betrokkene en benadrukt in dit verband het belang van het naleven van het transparantiebeginsel en het beginsel van opslagbeperking in geval van audio-opnames (cf. infra titel II.4). II.3. Minimale gegevensverwerking en toereikend karakter van de persoonsgegevens (art. 5.1
29. c)AVG) Klacht en conclusie klager 45. Volgens de klager werd door de verweerder bij de verwerking van zijn persoonsgegevens in het kader van de benoemingsprocedure een inbreuk gepleegd op de artikelen 5.1
30. a)en 5.1
31. c)AVG. 46. Wat deze laatste bepaling betreft, voert de klager een schending aan van het principe van toereikendheid in artikel 5.1
32. c)AVG aangezien de verwerkte persoonsgegevens ontoereikend zouden zijn geweest om op gepaste wijze de geheime stemming over de kandidaten toe te laten. Vaststellingen Inspectiedienst 47. In zijn verslag van het onderzoek stelt de Inspectiedienst dat geen inbreuk op de artikelen 5.1
33. a)en
34. c)AVG kan worden vastgesteld. 5 Conclusie verweerder, p. 7. Beslissing ten gronde 44/2022 - 14/34 Conclusies verweerder 48. Wat betreft de grieven van de klager betreffende de vermeende schending door de verweerder van de artikelen 5.1
35. a)en
36. c)AVG argumenteert de verweerder dat: 1. de GBA onbevoegd is om een inhoudelijke evaluatie te verrichten van de minimale gegevensverwerking in het kader van een benoemingsprocedure uitgevoerd door de verweerder. De verweerder stelt zich op dit punt aan te sluiten bij het standpunt van de Inspectiedienst in het verslag van het onderzoek, waarin voornoemde stelt: “de klager, wat dit specifieke punt betreft, [stelt] eerder vragen omtrent de precieze (“kwaliteits”)-eisen van een (inhoudelijke) evaluatie in het kader van een benoemingsprocedure waaraan ze moet voldoen dan een AVG (non-)conformiteit wenst aan te kaarten. Aangezien dit concrete aspect niet tot de bevoegdheid van de autoriteit behoort, gaat de Inspectiedienst niet dieper op dit aangehaalde punt in.” (Inspectieverslag pag. 20)”. De verweerder stelt in dit verband verder meer bepaald het volgende in zijn conclusie van repliek: (
37. i)Bij wet omschreven bevoegdheid Overeenkomstig artikel 4§1 Wet GBA is de Gegevensbeschermingsautoriteit verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van de Wet GBA en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. Deze bepaling weerspiegelt artikel 57 AVG waarin de taken van de toezichthouders zijn opgenomen, en waarbij het monitoren en handhaven van de AVG centraal staat. In de schoot van de Gegevensbeschermingsautoriteit vormt de Geschillenkamer het administratief rechtsorgaan (artikel 32 Wet GBA). De Geschillenkamer heeft op grond van artikel 4§1 Wet GBA enkel de bevoegdheid om zich uit te spreken over geschillen die ontstaan uit de toepassing van de wetgeving inzake de bescherming van persoonsgegevens. Bijgevolg is de Geschillenkamer niet bevoegd om de correcte toepassing van een benoemingsprocedure na te gaan die bij wet is geregeld. Y merkt in dit verband op dat de Raad van State bevoegd is op grond van artikel 14 van de wet van 12 januari 1973 om zich uit te spreken over beroepen tot nietigverklaringen van benoemingen door de wetgevende vergaderingen. Beslissing ten gronde 44/2022 - 15/34 Als administratief rechtsorgaan is de Geschillenkamer daarnaast gebonden door de wet en kan zij deze niet naast zich neerleggen, noch hierover prejudiciële vragen stellen aan het Grondwettelijk Hof in verband met de wettigheid of interpretatie van de respectievelijke wetgeving. (
38. ii)Beweringen van de klager inzake bevoegdheid Y merkt vooreerst op dat de klager – terecht – het volgende stelt: “Concluant is zich er van bewust dat het niet aan de Geschillenkamer toekomt om de rechtmatigheid of conformiteit van de benoemingsprocedure met de bepalingen van de AVG te beoordelen. Dat oordeel behoort toe aan de rechterlijke macht.” (pag. 7 conclusie klager) Het is dan ook opmerkelijk dat de klager vervolgens verschillende punten m.b.t. het verloop van de benoemingsprocedure hekelt die (
39. i)in directe tegenspraak zijn met de stelling hierboven en (
40. ii)volledig losstaan van enige vermeende tekortkomingen onder de wetgeving inzake persoonsgegevens, en waarvoor de Geschillenkamer als dusdanig onbevoegd is. Zo gaat het onder meer om volgende beweringen: - “Het voorgaande doet de vraag rijzen of en in welke mate de leden van de diverse fracties kennis hebben of krijgen van deze gegevens. De verantwoordelijkheid om ervoor te zorgen dat dit het geval is, komt toe aan de diensten van Y…”. (pag. 11); - “Concluant heeft bij dit onderdeel van de gegevensverwerking geen juridische bemerkingen, maar verwijst naar de chaotische en weinig efficiënte organisatie van de betreffende taaltesten…” (pag. 12); - “Behoudens vergissing is er geen officieel spoor gepubliceerd van de leden die aanwezig waren op deze zitting, maar een dergelijk document moet zonder meer kunnen voorgelegd worden door de diensten van Y.” (pag. 14); - “Op de hoorzitting van 13 februari 2019 waren niet alle politieke fracties vertegenwoordigd.” (pag. 15); - “Als er over de kandidaturen is beraadslaagd door de Commissie voor de Justitie, moet worden vastgesteld dat de Commissie voor de Justitie zelf de beslissing neemt en dus stemming uitvoert of beïnvloedt die volgens het reglement van Y is voorbehouden aan het geheel van de individuele leden van Y.” (pag. 15); - “Concluant merkt daarbij op dat de benoemingsprocedure niet alleen transparant moet zijn ten aanzien van hem als betrokkene, maar dat het de bedoeling is dat deze procedure transparant is voor alle burgers, in het kader van de vereiste dat de procedure moet zorgen voor het waarborgen van de onafhankelijkheid van de leden.” (pag. 17); - “Opmerkelijk is dat er in de plenaire vergadering op geen enkele manier of ogenblik is verwezen naar de bijzondere vereisten op het vlak van taal,…”. (pag. 17); Beslissing ten gronde 44/2022 - 16/34 Het is duidelijk dat dergelijke stellingen er louter op gericht zijn om de geldigheid en de correcte toepassing van de benoemingsprocedure in artikel 39 Wet GBA, en de toetsing daarvan aan de bepalingen van de artikelen 51 en 53 AVG, te betwisten. Zoals hoger meermaals omschreven, en overigens erkend door de klager zelf, behoort dergelijke toetsing niet tot de bevoegdheid van de Gegevensbeschermingsautoriteit. 2. het principe van minimale gegevensverwerking verwijst naar de verplichting om enkel die persoonsgegevens te verwerken die toereikend zijn, ter zake dienend zijn en beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. De verweerder verwijst naar de richtsnoeren van het Europees Comité voor gegevensbescherming in dit verband en stelt dat hieruit blijkt dat het concept van minimale gegevensverwerking enkel een beperkende functie heeft. Het beperkt de mogelijkheid van een verwerkingsverantwoordelijke om persoonsgegevens te verwerken tot die gegevens die noodzakelijk zijn voor de nagestreefde doeleinden. De verweerder stelt dat noch de bepalingen van de AVG, noch de beschikbare richtsnoeren een interpretatie ondersteunen van het beginsel van minimale gegevensverwerking die een verplichting oplegt om een minimum aantal persoonsgegevens te verwerken om het nagestreefde doel te bereiken. De verweerder stelt dat deze interpretatie immers een inhoudelijke opportuniteitsbeoordeling vereist, waarvoor de GBA niet bevoegd is. De verweerder concludeert dat de klager op geen enkele manier beroep kan doen op het principe van minimale gegevensverwerking om te beweren dat de leden van Y over onvoldoende persoonsgegevens beschikten teneinde een geïnformeerde beslissing te kunnen maken in het kader van de stemming. Beoordeling Geschillenkamer 49. Artikel 5.1
41. c)AVG bepaalt dat verwerkte persoonsgegevens moeten “toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”). 50. De Geschillenkamer stelt vooreerst vast op basis van de stukken van het dossier dat er geen aanwijzingen bestaan dat de door de verweerder verwerkte persoonsgegevens van de klager overmatig zouden zijn of niet ter zake dienend in het licht van de doeleinden van de verwerking (i.e. de benoeming van de (directie)leden van de GBA). 51. Wat betreft de grief van de klager volgens dewelke de verwerkte persoonsgegevens ontoereikend zouden zijn geweest, oordeelt de Geschillenkamer - net zoals de Beslissing ten gronde 44/2022 - 17/34 Inspectiedienst in zijn verslag van het onderzoek6 - dat het haar niet toekomt een inhoudelijke evaluatie uit te voeren betreffende de gegevens die al dan niet door de verweerder in rekening werden genomen bij de selectie en benoeming. De Geschillenkamer wijst er in dit verband op dat de uiteindelijke selectie gebeurt via stemming door de parlementsleden. 52. De Geschillenkamer oordeelt dat deze grief van de klager veeleer betrekking heeft op de wijze waarop de benoemingsprocedure werd gevoerd en niet de (non-)conformiteit van de hiermee gepaard gaande verwerking van persoonsgegevens met de bepalingen van de AVG. 53. De Geschillenkamer stelt bijgevolg geen inbreuk vast op artikel 5.1
42. c)AVG. II.4. De informatie- en transparantieplicht (art. 5.1 a), 12.1 en 13 AVG) Vaststellingen Inspectiedienst 54. In zijn verslag van het onderzoek stelt de Inspectiedienst vast dat de verweerder een inbreuk zou hebben gepleegd op de in de artikelen 5.1 a), 12.1 en 13 AVG vervatte informatie- en transparantieplicht aangezien noch de privacyverklaring van de verweerder noch de uitnodigingen (d.d. 30 januari en 13 februari 2019) voor de hoorzitting in de Commissie Justitie gericht aan de klager informatie bevat(
43. te)met betrekking tot de audio-opname die werd gemaakt van de voormelde hoorzitting. Klacht en conclusie klager 55. De klager stelt wat dit betreft vooreerst in zijn conclusie van repliek dat de verweerder aangaf dat een afzonderlijke privacyverklaring die specifiek betrekking heeft op benoemingen en voordrachten werd opgenomen op de website van de verweerder, waarin de nodige informatie zou zijn verstrekt. 56. De klager stelt evenwel dat op het ogenblik van het indienen van zijn kandidatuur geen dergelijke verklaring voorkwam op de website van de verweerder. Deze preciseert dat dit meer bepaald blijkt uit nazicht via web.archive.org (aan de hand van de pagina met juridische informatie [...]) waaruit zou blijken dat tussen 27/05/2019 en 12/11/2019 op voormelde pagina een privacyverklaring werd toegevoegd.7 De klager stelt dat dit lijkt aan te geven dat er voordien géén privacyverklaring op de website was opgenomen. De klager stelt dat het aan de verweerder toekomt om aan te geven wanneer welke verklaring op de website werd opgenomen, alsook, desgevallend, op welke pagina dat is gebeurd. 6 Verslag van het onderzoek, p. 20. 7 Stuk 9 dossier klager. Beslissing ten gronde 44/2022 - 18/34 57. Ten tweede stelt de klager dat hij niet vooraf is geïnformeerd over de audio-opname die werd gemaakt van de toelichting bij zijn kandidatuur. Hij voegt hieraan toe dat, in de mate dat het hier gaat om een rechtstreekse verkrijging van persoonsgegevens door de verweerder, toepassing moet worden gemaakt van artikel 13 AVG. 58. De klager stelt dat vele andere verwerkingsverantwoordelijken zich bevinden in een gelijkaardig geval bij de toepassing van de AVG in verband met geluidopnames. De klager verwijst in dit verband onder meer naar de praktijk van de Geschillenkamer van de GBA die opnames maakt van de hoorzitting en waarbij de betrokkenen wel worden geïnformeerd van het bestaan van de opname en het doeleinde ervan. 59. De klager concludeert dat de verweerder op dit punt streng zou moeten worden behandeld, met name omwille van de voorbeeldrol die deze vervult. Conclusies verweerder 60. In zijn conclusie van antwoord en repliek stelt de verweerder met betrekking tot de voormelde vaststelling dat8: 1. in de beginperiode na de inwerkingtreding van de AVG onduidelijkheid bestond over de toepasselijkheid van de verordening op parlementaire activiteiten. De verweerder verwijst in dit verband naar artikel 2.2
44. a)AVG dat bepaalt dat de verordening niet van toepassing is op “activiteiten die buiten de werkingssfeer van het Unierecht vallen”. De verweerder stelt dat de AVG zelf evenwel geen verduidelijkingen bevat betreffende de activiteiten van de wetgevende macht (dit in tegenstelling tot activiteiten van de rechterlijke macht). De verweerder stelt wat dit betreft dat deze twijfel eveneens werd gedeeld door de wetgevende kamers van andere lidstaten. Deze verwijst in dit verband naar de Finse wetgever, die in de uitvoeringswet van de AVG bepaalde dat parlementaire activiteiten uitgesloten zijn van het materieel toepassingsgebied van de AVG. De verweerder stelt verder dat de hierboven beschreven onduidelijkheid aanleiding gaf tot het stellen van een prejudiciële vraag aan het Hof van Justitie (Land Hessen), waarna het Hof verduidelijkte dat ook parlementaire activiteiten binnen het materieel toepassingsgebied van de AVG vallen. De verweerder wijst erop dat de hierboven omschreven onduidelijkheid resulteerde in een vertraging wat betreft het aannemen van bepaalde documenten, waaronder de privacyverklaring betreffende benoemingen. Deze stelt dat voormelde privacyverklaring op 9 juli 2019 werd gepubliceerd op zijn website en erkent dat deze nog niet beschikbaar 8 Conclusie van repliek verweerder, p. 14-19. Beslissing ten gronde 44/2022 - 19/34 was op het ogenblik van de verzending van de uitnodigingen voor de hoorzitting noch op het moment van het uitvoeren van de audio-opnames van voormelde hoorzitting; Wat betreft de periode na 9 juli 2019 (publicatie van de privacyverklaring), argumenteert de verweerder dat: 2. artikel 13 AVG niet vereist om elk van de verschillende verwerkingsvormen (zoals bijvoorbeeld het opslagen, het doorsturen, het raadplegen, het bewerken, etc. van gegevens, zoals ook het maken van audio-opnames een verwerkingsvorm
45. is)afzonderlijk op te lijsten. 3. deze de klager wel degelijk heeft geïnformeerd over de doeleinden en de wettelijke grondslag van de verwerkingsactiviteit in kwestie (i.e. het maken van een audio-opname). De verweerder herhaalt in dit verband dat het maken van de audio-opnames als doel heeft de benoemingen en voordrachten die deze uitvoert op correcte, kwalitatieve en integere wijze te kunnen uitvoeren. Hij stelt dat voor dit doeleinde van de benoeming en de voordrachten een afzonderlijke privacyverklaring werd aangenomen en gepubliceerd op de website van de verweerder. 9 Hij preciseert dat deze specifieke privacyverklaring zodoende van toepassing is op de verwerkingsactiviteit van de audio-opnames en dat deze het doel van de verwerking als volgt omschrijft: “Deze persoonsgegevens worden met name verwerkt in het kader van de volgende doeleinden: (…) uitoefenen van grondwettelijke, wettelijke en reglementaire bevoegdheden inzake aanwijzing, benoeming, enz” 61. De verweerder stelt dat deze verklaring verder reeds de vermeldingen bevatte die worden opgelegd door artikel 13 AVG, zoals de rechtsgrondslagen van de verwerking, die worden omschreven als volgt: “nakomen van reglementaire verplichtingen (in het bijzonder het Reglement van Y)”, ofwel de rechtsgrondslag van de wettelijke verplichting overeenkomstig artikel 6.1 (
46. c)AVG en “uitoefenen van grondwettelijke, wettelijke en reglementaire bevoegdheden inzake aanwijzing, benoeming, enz.”, ofwel de rechtsgrondslag van de uitvoering van een taak van algemeen belang overeenkomstig artikel 6.1 (
47. e)AVG. 62. Verder argumenteert de verweerder dat het op grond van artikel 13 AVG niet vereist is om de categorieën van persoonsgegevens mee te delen aan de betrokkene. Hij wijst erop dat dit 9 Stuk 2 stukkenbundel verweerder. Beslissing ten gronde 44/2022 - 20/34 wel vereist is onder artikel 14 AVG, wanneer de persoonsgegevens niet rechtstreeks worden verkregen door de betrokkene en wanneer de betrokkene dus geen kennis heeft van de persoonsgegevens die van hem worden verwerkt (richtlijnen inzake transparantie onder Verordening 2016/679, Werkgroep 29). “Deze informatie is vereist in een artikel 14-scenario omdat de persoonsgegevens niet zijn verkregen bij de betrokkene, die zich daarom onvoldoende bewust is van de categorieën persoonsgegevens die de verwerkingsverantwoordelijke heeft verkregen.” (p. 37) 63. De verweerder stelt dat in casu de gegevens werden verzameld bij de betrokkene zelf, door middel van waarneming met behulp van een microfoon (i.e. een gegevensverzamelingsapparaat), waardoor artikel 13 AVG van toepassing zou zijn, en niet artikel 14 AVG: “(…) Artikel 13 is van toepassing op het scenario waarin de gegevens bij de betrokkene worden verzameld. Dit omvat persoonsgegevens die: • een betrokkene bewust verstrekt aan een verwerkingsverantwoordelijke (bv. bij het invullen van een onlineformulier); of • door een verwerkingsverantwoordelijke worden verzameld bij een betrokkene door middel van waarneming (bv. met behulp van geautomatiseerde gegevensverzamelingsapparaten of gegevens verzamelende software zoals camera's, netwerkapparatuur, Wi-Fi-tracking, RFID (identificatie met radiogolven) of andere typen sensoren).” 64. De verweerder stelt dat noch artikel 13, noch artikel 14 AVG verder de mate bepalen van specificiteit waarin de verplichte informatie-elementen moeten worden meegedeeld. Hij stelt dat het bijgevolg lijkt te volstaan om te informeren over het uiteindelijke doeleinde (d.w.z. het uitvoeren van benoemingen en voordrachten door Y), zonder daarbij specifiek alle “sub-doeleinden” te moeten vermelden (zoals bijvoorbeeld het verzekeren van de kwaliteit en integriteit van de procedure om te komen tot dergelijke benoemingen en voordrachten). 65. De verweerder preciseert dat de privacyverklaring met betrekking tot de benoemingen en voordrachten door Y de verwerkte categorieën van personen als volgt omschrijft: “Met het oog op het verwerken van de kandidaatstelling worden met name de volgende categorieën persoonsgegevens door Y van volksvertegenwoordigers en het secretariaatgeneraal verwerkt: - Identificatiegegevens (bijvoorbeeld, naam, voornaam, hoedanigheid, uitgeoefende activiteit); - Contactgegevens (bijvoorbeeld, adres, emailadres, telefoonnummer); - De in uw kandidaatstelling en tijdens een eventuele hoorzitting bezorgde gegevens; Beslissing ten gronde 44/2022 - 21/34 - De door derden (SELOR, instellingen die taalexamens organiseren, enz.) in het kader van de verwerking van de kandidatuurstelling bezorgde gegevens.” 66. De verweerder voegt hieraan toe dat kandidaten zelf o.a. hun curriculum vitae, hun identificatiegegevens en hun contactgegevens meedelen en dat deze daarnaast ook zelf de persoonsgegevens meedelen tijdens een eventuele hoorzitting in de loop van de benoemingsprocedure. De verweerder is van oordeel dat hieronder eveneens persoonsgegevens vallen die worden verwerkt in het kader van audio-opnames. 67. Tot slot stelt de verweerder bereid te zijn tot aanpassing van zijn huidige privacyverklaring alsook de uitnodigingen voor hoorzittingen. Deze voegt een gewijzigde privacyverklaring bij en preciseert dat voormelde verklaring voortaan op zijn website is gepubliceerd. Beoordeling Geschillenkamer 68. Overeenkomstig artikel 5.1
48. a)AVG dienen persoonsgegevens te worden “verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”)”. 69. De artikelen 13 en 14 AVG bevatten de aan de betrokkenen te verstrekken informatie in verband met de verwerking van persoonsgegevens. Beslissing ten gronde 44/2022 - 22/34 70. De richtsnoeren van de Werkgroep 29 inzake transparantie 10 verduidelijken in dit verband: “In de artikelen 13 en 14 wordt beschreven welke informatie aan het begin van de verwerkingscyclus aan de betrokkene moet worden verstrekt. Artikel 13 is van toepassing op het scenario waarin de gegevens bij de betrokkene worden verzameld. Dit omvat persoonsgegevens die: • een betrokkene bewust verstrekt aan een verwerkingsverantwoordelijke (bv. bij het invullen van een onlineformulier); of • door een verwerkingsverantwoordelijke worden verzameld bij een betrokkene door middel van waarneming (bv. met behulp van geautomatiseerde gegevensverzamelingsapparaten of gegevens verzamelende software zoals camera's, netwerkapparatuur, Wi-Fi-tracking, RFID (identificatie met radiogolven) of andere typen sensoren).” 71. Gelet op het feit dat de persoonsgegevens in casu werden verzameld via een geautomatiseerd gegevensverzamelingsapparaat (i.e. audio-opnames door middel van een recorder), is artikel 13 AVG van toepassing op de litigieuze verwerking. 72. Artikel 13.1 en 13.2 AVG luiden als volgt: “Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie:
49. a)de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
50. b)in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
51. c)de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
52. d)de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
53. d)in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
54. e)in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de 10 Groep Gegevensbescherming Artikel 29, 2016/679, 11 april 2018, p. 17, randnr. 26. Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) Beslissing ten gronde 44/2022 - 23/34 passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
55. a)de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;
56. b)dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
57. c)wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
58. d)dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
59. e)of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;
60. f)het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkenen”. 73. De Geschillenkamer erkent dat, zoals opgeworpen door de verweerder, de voormelde bepalingen niet de mate van specificiteit bepalen waarin de verplichte informatie-elementen moeten worden meegedeeld aan de betrokkenen en dat deze bepalingen evenmin vereisen dat elk van de verwerkingsvormen en/of de categorieën van persoonsgegevens zouden worden vermeld. 74. Er dient evenwel op te worden gewezen dat overeenkomstig het transparantiebeginsel vervat in artikel 5.1
61. a)AVG, in samenhang gelezen met overweging 60 AVG, een betrokkene ten laatste op het ogenblik van de verkrijging van de persoonsgegevens op de hoogte dient te worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden ervan.11 Overweging 39 verduidelijkt meer algemeen dat het “voor natuurlijke personen transparant [dient] te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, 11 Overweging 60 AVG. Beslissing ten gronde 44/2022 - 24/34 geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. (…)”. 75. Er wordt vastgesteld op basis van de stukken van het dossier dat zulks in casu niet gebeurde. Hieruit blijkt immers dat de klager noch via de privacyverklaring van de verweerder noch via de uitnodiging van de hoorzitting of op enige andere wijze werd geïnformeerd betreffende het feit zelf dat van de betrokken hoorzittingen een opname zou worden gemaakt. Dit wordt tevens erkend door de verweerder in zijn conclusie van antwoord en repliek, waarin deze stelt dat - onder meer gelet op de onduidelijkheid die aanvankelijk heerste met betrekking tot de toepasselijkheid van de AVG op wetgevende kamers - de privacyverklaring betreffende de verwerking van persoonsgegevens in het kader van de benoemingsprocedures pas op 9 juli 2019 op de website van de verweerder werd gepubliceerd. De privacyverklaring was bijgevolg nog niet beschikbaar op het moment van het verzenden van de uitnodiging tot hoorzitting op 14 januari 2019 aan de klager, noch op het moment van het uitvoeren van de audio-opnames van de betrokken hoorzittingen (op 30 januari en 13 februari 2019). 12 De uitnodiging bevatte evenmin informatie hieromtrent. 76. Bijgevolg oordeelt de Geschillenkamer dat een inbreuk werd gepleegd op artikel 5.1
62. a)AVG (transparantiebeginsel). De Geschillenkamer formuleert een berisping voor voormelde inbreuk. 77. De Geschillenkamer stelt vast op basis van de door de verweerder overgemaakte stukken dat de privacyverklaring alsook de uitnodiging voor de hoorzittingen intussen werd gewijzigd en dat deze nu uitdrukkelijk melding maken van de audio-opname.13 De Geschillenkamer wijst er op dat eveneens duidelijkheid dient te worden verschaft aan de betrokkenen betreffende de eventuele mogelijkheid om bezwaar te maken tegen de betroffen verwerking door middel van audio-opnames (cf. art. 21 AVG). II.5. Het recht van inzage (art. 12 en 15 AVG) Vaststellingen Inspectiedienst 78. In zijn verslag van het onderzoek stelt de Inspectiedienst vast dat de verweerder, in antwoord op het verzoek tot inzage van de klager van 29 maart 2019, niet alle in artikel 15.1 AVG opgesomde informatie overmaakte aan laatstgenoemde binnen de door artikel 12.3 AVG voorgeschreven termijn van één maand. 12 Conclusie van repliek verweerder, p. 15. 13 Stukken 3 en 4 bij de conclusie van repliek van de verweerder. Beslissing ten gronde 44/2022 - 25/34 79. Meer bepaald stelt de Inspectiedienst vast dat de verweerder de klager niet tijdig informeerde met betrekking tot de (categorieën van) ontvangers aan wie de betrokken persoonsgegevens werden verstrekt (art. 15.1
63. c)AVG) en de periode gedurende welke de persoonsgegevens worden opgeslagen of de criteria ter bepaling van die termijn (art. 15.1
64. d)AVG). 80. De Inspectiedienst preciseert in zijn verslag van het onderzoek evenwel dat de verweerder de informatie betreffende de ontvangers van de persoonsgegevens echter overmaakte aan de klager na zijn tweede verzoek van 7 mei 2019. 81. De Inspectiedienst oordeelt op basis van bovenstaande samengevat dat de verweerder een inbreuk pleegde op de artikelen 15.1
65. c)en
66. d)AVG doch dat deze de eerste inbreuk rechtzette voor de overmaking van het inspectieverslag door de Inspectiedienst aan de Geschillenkamer. Klacht en conclusie klager 82. In zijn klacht en zijn conclusie van repliek stelt de klager dat de in artikel 15.1 AVG vermelde informatie hem niet volledig werd verstrekt door de verweerder in antwoord op zijn verzoek tot inzage. De klager verwijst in dit verband naar de beraadslagingen van de Commissie voor de Justitie en het verslag aan de Conferentie van Voorzitters waarbij de klager stelt dat het onwaarschijnlijk is dat hiervan geen schriftelijke neerslag bestaat. Conclusies verweerder 83. In zijn conclusies stelt de verweerder dat het, in het licht van de formulering van artikel 15.1 AVG, aan de betrokkene zelf toekomt te preciseren wat het exacte voorwerp is van zijn verzoek tot inzage. De verweerder stelt dat uit het initiële verzoek van de klager (van 29 maart 2019) valt af te leiden dat de uitoefening van zijn recht tot inzage tot doel heeft de hem betreffende verwerkte persoonsgegevens in het kader van de benoemingsprocedure te bekomen. De verweerder argumenteert dat het bijgevolg geenszins als onredelijk kan worden beschouwd dat deze in zijn eerste antwoord slechts aan dit specifiek verzoek tegemoetkwam en de overige informatie omtrent de eigenschappen van de verwerking, vervat in artikel 15.1 AVG (zoals de bewaartermijnen), niet onmiddellijk meedeelde. De verweerder stelt bijgevolg – door middel van zijn antwoord van 25 april 2019 – binnen de wettelijk voorziene termijn van één maand (zoals vervat in artikel 12.3 AVG) gevolg te hebben gegeven aan het verzoek tot inzage van de klager. Beoordeling Geschillenkamer 84. Overeenkomstig artikel 15.1 AVG heeft de betrokkene het recht uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen in die persoonsgegevens en de volgende informatie: Beslissing ten gronde 44/2022 - 26/34
67. a)de verwerkingsdoeleinden;
68. b)de betrokken categorieën van persoonsgegevens;
69. c)de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
70. d)indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
71. e)dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
72. f)dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
73. g)wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
74. h)het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. 85. Luidens artikel 12.3 AVG dient de verwerkingsverantwoordelijke “de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie [te verstrekken] over het gevolg dat aan het verzoek is gegeven”. Voormelde bepaling preciseert dat, afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken, de termijn van één maand indien nodig met nog eens twee maanden kan worden verlengd. 86. Uit de stukken van het dossier blijkt dat de klager een verzoek tot inzage richtte aan de verweerder per e-mail van 29 maart 2019. De klager formuleerde het voorwerp van zijn verzoek tot inzage als volgt: “In het kader van mijn kandidatuur voor een functie als lid van het directiecomité van de Gegevensbeschermingsautoriteit zijn mijn persoonsgegevens door de diensten van Y, alsook door Selor verwerkt. Bij deze wil ik mijn recht van inzage uitoefenen en vragen dat u mij, zoals voorgeschreven door artikel 15 AVG, een kopie bezorgt van de gegevens die door Y over mij zijn en worden verwerkt. Mijn verzoek slaat op alle gegevens, maar strekt er in het bijzonder toe kennis te nemen van de vermeldingen en dus gegevens die mijn persoon betreffen, in het verslag dat mevrouw Onkelinx namens de Commissie voor Justitie aan de Conferentie van Beslissing ten gronde 44/2022 - 27/34 Voorzitters heeft uitgebracht op 20 maart 2019, zoals mag blijken uit het integraal verslag van de vergadering van Y van 28 maart 2019. Ter info geef ik u mee dat ik enkel inzage vraag in de gegevens die mij betreffen, zodat mij geen andere gegevens moeten bezorgd. (…)” 87. Per e-mail van 25 april 2019 - i.e. binnen een termijn van één maand - antwoordde de verweerder op het hierboven vermelde verzoek tot inzage van de klager als volgt: “In navolging van uw verzoek dd. 29 maart jl. om een kopie te ontvangen van de in het kader van uw kandidaturen bij de Gegevensbeschermingsautoriteit door Y verwerkte persoonsgegevens die u betreffen, op basis van artikel 15.3 van de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (hierna: GDPR), gaat als bijlage een kopie van: 1. uw oorspronkelijke kandidatuurstelling; 2. de door het secretariaat-generaal verwerkte persoonsgegevens, met name: - de documenten die nodig zijn geweest om uw kandidaturen te verwerken. Zij zijn beperkt tot de persoonsgegevens die u betreffen. Conform uw verzoek en overeenkomstig artikel 15.4 van de GDPR werden de persoonsgegevens die de andere kandidaten betreffen, geschrapt ; - de elektronische briefwisseling met het Secretariaat-generaal; 3. de door de commissiedienst in het kader van de hoorzitting in de commissie voor de Justitie verwerkte persoonsgegevens, met name: - de elektronische briefwisseling met de commissiedienst; - de audio-opnames van de hoorzitting met u. Gelet op de omvang van de bestanden, zullen bovenvermelde documenten en opnames u in verschillende mails worden verstuurd. Verder worden persoonsgegevens die u betreffen, verwerkt in de volgende gedrukte stukken: Beslissing ten gronde 44/2022 - 28/34 - Benoeming van de leden van de Gegevensbeschermingsautoriteit, DOC 54 3676/001: link; - Integraal verslag, Plenumvergadering, Donderdag 28-03-2019, Avond, CRIV 54 PLEN 278: link; - Beknopt verslag, Plenumvergadering, Donderdag 28-03-2019, Avond, CRABV 54 PLEN 278: link; - Integraal verslag, Plenumvergadering, Donderdag 04-04-2019, Avond, CRIV 54 PLEN 281: link; - Beknopt verslag, Plenumvergadering, Donderdag 04-04-2019, Avond, CRABV 54 PLEN 281: link. Het verslag van mevrouw Onkelinx aan de Conferentie van voorzitters dd. 20 maart 2019 werd mondeling uitgebracht. De Conferentie vergadert achter gesloten deuren. De vergaderingen van de Conferentie worden niet op band opgenomen. In de notulen van de Conferentie dd. 20 maart 2019 worden geen persoonsgegevens verwerkt die u betreffen. Ik vestig uw aandacht op het feit dat u een klacht kan indienen bij de Gegevensbeschermingsautoriteit (Drukpersstraat 35, 1000 Brussel, Tel. +32