Beslissing ten gronde nr. 46/2022

1/29 Geschillenkamer Beslissing ten gronde 46/2022 van 1 april 2022 Deze beslissing werd gedeeltelijk vernietigd door het arrest 2022/AR/549 van het Marktenhof dd. 7 december 2022 Dossiernummer : DOS-2020-02892 Betreft: klacht van een ex-werknemer tegen zijn ex-werkgever voor mailboxverwerking en weigering gevolg te geven aan het verzoek om uitoefening van zijn rechten De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Y. Poulet en C. Boeraeve, leden, die in deze samenstelling de zaak behandelen; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Gelet op de hoorzitting van 12 april 2021; Gelet op het aan de verwerende partij toegezonden formulier voor de boete en de opmerkingen daarbij; heeft de volgende beslissing genomen inzake: Beslissing ten gronde 46/2022 - 2/29 De klager: de heer X, vertegenwoordigd door zijn raadsman mr. Dr. Jan-Henning Strunz, Matray, Matray & Hallet cvba, rue des Fories, 2, 4020 Luik, hierna "de klager"; De verweerder: Y, vertegenwoordigd door zijn raadslieden, mr. Inger Verhelst en Wouter Van Loon, City Link Posthofbrug 12, 2600 Antwerpen, en mr. Florence Sine, advocaat, Vorstlaan 280, 1160 Oudergem, hierna "de verweerder." I. 1. Feiten en procedurele voorgeschiedenis De klager was van 15 oktober 2004 tot 29 mei 2019 afgevaardigd bestuurdeer bij de verweerder, waarvan hij jarenlang de enige aandeelhouder was. Op 29 mei 2019 verkoopt de klager al zijn aandelen terug aan Z en legt zijn functie van bestuurder neer. Z draagt vervolgens al zijn rechten en verplichtingen over aan de vennootschap naar Luxemburgs recht W. 2. De klager wordt dan als werknemer in dienst genomen door de verweerder vanaf 29 mei 2019. 3. Op 26 november 2019 en 14 december 2019 wisselen de klager en de aandelenvennootschap W brieven uit over de door beide partijen aangevoerde inbreuken op de aandelenoverdrachtovereenkomst. 4. Op 23 april 2020 dagvaardt de klager de vennootschappen Z en W voor de Franstalige Rechtbank van eerste aanleg te Brussel, waar het geschil hangende is. De klager verwijt de verweerder dat hij hem nog een onbetaald bedrag schuldig is na de overdracht van zijn aandelen, terwijl de verweerder een vergoeding van hem vordert in verband met schulden van de overgenomen vennootschap. De verweerder beweert dat deze inbreuken te wijten zijn aan het feit dat de klager bepaalde informatie bij de overdracht van de aandelen heeft verborgen en ingekort. Het gaat om aanzienlijke sommen, waarover de partijen het niet eens zijn. De klager betwist de aangevoerde inbreuken ten stelligste, en heeft overigens de verweerder ook voor de Turkse rechtbank gedaagd wegens laster en onrechtmatig ontslag, en tot betaling van schadevergoeding (de verweerdersvennootschap is ook in Turkije gevestigd). 5. De volgende feiten liggen ten grondslag aan de klacht bij de GBA. Op 18 februari 2020 wordt de klager door de verweerder ontslagen. Voordat hij na zijn ontslag zijn computerapparatuur teruggeeft, wist de klager de gegevens die op zijn zakelijke laptop staan. Hij verklaart alleen persoonsgegevens (privémailboxen) te hebben gewist, terwijl hij volgens de verweerder alle mailboxen heeft gewist (zowel zakelijke als persoonlijke). De enige in dit verband geleverde bewijzen zijn de twee getuigenissen van werknemers die door de verweerder worden overgelegd, waarin wordt bevestigd dat alle mailboxen zijn gewist. 6. De klager heeft vervolgens kennis genomen van het voornemen van de verweerder om de gegevens die eerder op zijn laptop stonden te herstellen, en maant de verweerder op 26 februari 2020 aan de verwerking van zijn persoonsgegevens op te schorten, zolang hem de informatie Beslissing ten gronde 46/2022 - 3/29 op grond van artikel 14 van de AVG niet wordt verstrekt. Hij vraagt bovendien de uitoefening van zijn recht op gegevenswissing, op beperking van de verwerking, en van bezwaar. 7. Op 28 februari 2020 weigert de verweerder gevolg te geven aan de verzoeken van de klager op grond van de arbeidsovereenkomst tussen hen, en op grond van artikel 6, lid 1, punt f), van de AVG (gerechtvaardigd belang), dat volgens hem de verwerking van de persoonsgegevens van de klager rechtvaardigt. 8. Op 4 maart 2020 betwist de klager de rechtmatigheid van de verwerking door de verweerder, met name wat betreft zijn privégegevens, alsmede zijn beroepsgegevens van vóór 1 juni 2019 (periode die niet wordt gedekt door de arbeidsovereenkomst voor bedienden waarop de verweerder zich baseerde, een overeenkomst van 1 juni 2019). Hij maant de verweerder bovendien aan hem zijn onderaannemingsovereenkomst met V te bezorgen (die de gegevens herstelde die vroeger op de laptop van de klager stonden). 9. Op 7 maart 2020 weigert de verweerder om de verwerking op te schorten van de persoonsgegevens (zakelijke) van de klager van vóór 1 juni 2019, door zich te beroepen op het gerechtvaardigd belang van de continuïteit van zijn activiteiten, en om de vermeende schendingen van de klager in zijn hoedanigheid van werknemer te verifiëren. 10. De verweerder voegt daaraan toe dat de klager in de periode vóór 1 juni 2019 geen arbeidsovereenkomst als werknemer had, maar wel managementfuncties uitoefende en de betrokken laptop gebruikte. Hij leidt daaruit af dat voor de gegevens van vóór 1 juni 2019 het gerechtvaardigd belang wel degelijk een rechtmatige grondslag voor de verwerking vormt. 11. De verweerder verbindt zich er echter toe de privémailboxen van de klager niet te verwerken, maar alleen de zakelijke mailboxen. Hij verbindt er zich ook toe de actieve verwerking van de persoonsgegevens die bij de analyse van de zakelijke mailbox zijn gevonden op te schorten, maar weigert deze te wissen. 12. De verweerder weigert bovendien de onderaannemingsovereenkomst over te leggen, om reden dat de verwerker geen persoonsgegevens heeft verwerkt bij het herstellen van de mailboxen. 13. Op 16 maart 2020 informeert de klager de verweerder dat deze geen gerechtvaardigd belang heeft bij de verwerking van zijn persoonsgegevens van vóór de laatste vijf jaar, en verzoekt hij de periode gedurende welke hij zijn e-mails verwerkt tot die laatste vijf jaar te beperken (overeenkomstig de verjaringstermijn voor de aansprakelijkheid van bedrijfsleiders 1). 14. Hij verzoekt bovendien om uitoefening van zijn recht op inzage en een kopie van alle door de verweerder verwerkte e-mails. 1 Art. 2:143 §1 Wetboek van vennootschappen en verenigingen. Beslissing ten gronde 46/2022 - 4/29 15. Op 7 april 2020 weigert de verweerder de gegevensverwerking tot de laatste vijf jaar te beperken, op grond van zijn gerechtvaardigde belang bij de verwerking. Hij voegt eraan toe dat de verzoeken tot wissing, bezwaar en beperking niet kunnen worden ingewilligd, op grond van de uitzondering van dwingende gerechtvaardigde gronden (gerechtvaardigd belang bij verdediging in rechte, het waarborgen van de continuïteit van de diensten van de onderneming, en de mogelijke betwisting van de beroeps- en strafrechtelijke aansprakelijkheid van de klager). 16. Hij gaat overigens in op het verzoek om inzage van de klager, maar geeft aan dat hij er niet binnen de wettelijke termijn van één maand, maar binnen drie maanden aan kan voldoen (wegens de complexiteit van het verzoek en de omstandigheden die verband houden met de gezondheidscrisis). 17. Op 25 mei betwist de klager het gerechtvaardigd belang, zoals naar voren gebracht door de verweerder, als rechtmatigheidsgrond voor de verwerking, waarbij hij erop wijst dat deze belangen noch actueel noch precies zijn, en dat hij geen belangenafweging heeft gemaakt, noch rekening heeft gehouden met de wanverhouding tussen de klager en hemzelf in het kader van de verhouding ex-werknemer tot ex-werkgever. 18. Hij beschuldigt hem bovendien van een schending van het beginsel van minimale gegevensverwerking, aangezien de gegevens ouder dan vijf jaar niet relevant zijn voor de nagestreefde doeleinden. 19. Hij beschuldigt hem er ook van het noodzakelijkheidsbeginsel te hebben geschonden, door erop te wijzen dat met minder ingrijpende maatregelen de verweerder over de noodzakelijke gegevens had kunnen beschikken en tegelijk zijn belangen had kunnen verdedigen (de e-mails hadden bijvoorbeeld door een derde in aanwezigheid van de klager kunnen worden gesorteerd om enkel de relevante e-mails aan de verweerder te overhandigen, in plaats van een volledig herstel). 20. De klager herhaalt zijn verzoek tot opschorting van de verwerking en tot uitoefening van zijn recht op wissing, beperking en bezwaar (in het bijzonder voor de gegevens die ouder zijn dan vijf jaar). 21. Op 5 juni antwoordt de verweerder de klager dat hij bij zijn standpunt blijft inzake zijn gerechtvaardigd belang bij de verwerking, evenals inzake het ontbreken van de verplichting hem de onderaannemingsovereenkomst met V te bezorgen. Hij herhaalt dat hij de privémailboxen van de klager noch de e-mails in zijn zakelijke mailboxen die afkomstig zijn van zijn (privé) e-mailadressen zal verwerken. 22. Op 15 juni 2020 stuurt de verweerder een brief naar de klager met daarin een lijst van de persoonsgegevens die hij over hem in zijn bezit heeft (stuk 11 van de klager). 23. Op 16 juni 2020 informeert de klager de verweerder over zijn voornemen om een klacht in te dienen bij de Gegevensbeschermingsautoriteit (hierna GBA), hetgeen hij op 17 juni 2020 doet. Beslissing ten gronde 46/2022 - 5/29 24. De onderhavige beslissing is gebaseerd op de door de klager ingeroepen artikelen. Wat betreft de grief van de eiser over het ontbreken van informatie, ofschoon deze in zijn conclusies verwijst naar artikel 14, voor zover de gegevens van de klager in het kader van zijn arbeidsovereenkomst met de verweerder zijn verzameld en het duidelijk is dat dit artikel door de klager werd bedoeld in zijn onhandige formulering, is de Geschillenkamer van mening dat artikel 13 van de GBA van toepassing is. II. Wat betreft de motivering van de beslissing II.1. Wat betreft de rechtmatigheid van de door de verwerkingsverantwoordelijke uitgevoerde verwerking 25. Als verwerkingsverantwoordelijke is de verweerder verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet hij kunnen aantonen dat deze beginselen worden nageleefd (verantwoordingsbeginsel - artikel 5, lid 2, van de AVG), en is hij verplicht alle daartoe noodzakelijke maatregelen ten uitvoer te leggen (artikel 24 van de AVG). 26. Overeenkomstig artikel 5, lid 1, punt a), van de AVG moet elke geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens met name behoorlijk en rechtmatig zijn. Om rechtmatig te zijn, moet elke verwerking van persoonsgegevens een rechtsgrond vinden in artikel 6 van de AVG. Het is aan de verwerkingsverantwoordelijke om te bepalen wat die rechtsgrond is. 27. In het onderhavige geval vormt het herstel door V, een verwerker van de verwerkingsverantwoordelijke, van de gegevens op de computerapparatuur (laptop) die door de klager aan de verweerder is teruggegeven, evenals de analyse van de e-mails in de herstelde mailboxen, een verwerking van persoonsgegevens waarop de AVG van toepassing is. In tegenstelling tot wat de verweerder beweert, is het herstellen van de gegevens door de NV in onderaanneming en de daaropvolgende analyse van de herstelde e-mails, wel degelijk een verwerking in de zin van artikel 4, lid 2, van de AVG 2. 28. Deze verwerkingen moeten bijgevolg gebaseerd zijn op een van de rechtmatigheidsgronden die in artikel 6 van de AVG zijn opgesomd. 29. Van begin af aan moet een onderscheid worden gemaakt tussen de verwerking (of het herstel) van een privémailbox van een werknemer en de verwerking van de zakelijke mailbox. Het principe is dat zakelijke e-mails van een werknemer door zijn werkgever mogen worden verwerkt. De Geschillenkamer begrijpt echter dat wanneer een mailbox zowel privé als zakelijk wordt gebruikt door de werknemer die de titularis ervan is, dit onderscheid moeilijk te maken 2 Artikel 4, lid 2, van de AVG: „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”. Beslissing ten gronde 46/2022 - 6/29 kan zijn. Er zij op gewezen dat een werkgever in principe de privémails van zijn werknemers niet vrijelijk mag raadplegen, zelfs als hij het gebruik van bedrijfsinstrumenten voor persoonlijke doeleinden heeft verboden. Er zijn echter uitzonderingen op dit principe, binnen een strikt en voorspelbaar3 kader, zoals een lopende gerechtelijke procedure. In geval van controle door de werkgever moeten de werknemers hier vooraf van in kennis worden gesteld, alsmede van het nagestreefde doel, de rechtmatigheidsgrond van de controleverwerking, de bewaartermijn van de gegevens, het recht op gerechtvaardigde gronden bezwaar te maken, het recht op inzage en rectificatie, en de mogelijkheid een klacht in te dienen bij de toezichthoudende autoriteit. II.1.1. De door de verweerder aangevoerde argumenten inzake de rechtmatigheidsgrond voor de uitgevoerde verwerking 30. De verweerder verklaart dat hij zich beroept op artikel 6, lid 1, punt f), van de AVG, volgens hetwelk de gegevensverwerking rechtmatig is "indien en voor zover zij noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is". 31. De verweerder verklaart dat zijn gerechtvaardigd belang om over te gaan tot de verwerking van de bovengenoemde gegevens veelvoudig is: • het waarborgen van de continuïteit van de diensten van de onderneming • juridische verdediging: de verweerder (zijn enige aandeelhouder W 4) moet in het geschil dat voor de rechtbank hangende is, kunnen aantonen dat de klager niet alle informate waarover hij beschikte heeft meegedeeld, en dat hij in het kader van zijn zakelijke activiteiten onjuiste informatie heeft meegedeeld (toen hij werknemer van de verwerkingsverantwoordelijke was) • het mogelijk aansprakelijk stellen van de klager als voormalig bestuurder van de verwerende vennootschap: volgens de verweerder heeft de klager zich schuldig gemaakt aan meerdere ernstige schendingen. Hij verklaart in dat verband: "Het is dus niet onmogelijk, al is het natuurlijk niet de wens van Y, dat de heer X aansprakelijk wordt gesteld voor bepaalde handelingen die hij als bestuurder heeft verricht. (...) Het is in dat kader in het gerechtvaardigde belang van Y om over alle noodzakelijke informatie te beschikken."5 3 In overeenstemming met de rechtspraak Bărbulescu van het Europees Hof voor de Rechten van de Mens, zie punten 50 tot en met 53. 4 In 2019 verkoopt de heer X al zijn aandelen, die het kapitaal van Y vertegenwoordigen, aan de vennootschap naar Duits recht Z. Deze verkoopt in 2019 de aandelen van Y aan de vennootschap naar Luxemburgs recht W, die momenteel de enige aandeelhouder van Y is (zie aanvullende en syntheseconclusies van de verweerder, blz. 2 en 4). 5 Aanvullende en syntheseconclusies, blz. 14. Beslissing ten gronde 46/2022 - 7/29 • het mogelijk indienen van een klacht met burgerlijke partijstelling door de verweerder tegen de klager wegens schendingen die door de verweerder als ernstig worden gekwalificeerd: de verweerder voert in dat verband aan dat "het in het gerechtvaardigd belang van de onderneming is om een klacht te kunnen indienen met burgerlijke partijstelling indien zij dat noodzakelijk acht wanneer de verjaringstermijn nog niet is verstreken... Nogmaals, Y vraagt de Gegevensbeschermingsautoriteit uiteraard niet de gegrondheid van zijn standpunt te bevestigen, maar het is noodzakelijk om Y de mogelijkheid te bieden om een dergelijke klacht in te dienen en deze, in voorkomend geval, te documenteren. De heer X kan onder het voorwendsel van de bescherming van zijn persoonsgegevens, niet worden ontheven van zijn plicht zich voor zijn handelingen te verantwoorden, omdat alle gegevens betreffende zijn handelingen zouden zijn gewist. Het is in het gerechtvaardigde belang van Y om over deze informatie te kunnen blijven beschikken zolang de verjaringstermijn niet is verstreken."6 • gerechtvaardigd belang om de realiteit te documenteren teneinde de beweringen van de klager te kunnen weerleggen De Geschillenkamer vat de vier laatste punten op als integraal deel uitmakend van de uitzondering van verdediging in rechte, als het gerechtvaardigde belang waarop de verweerder zich beroept. II.1.2. De door de klager aangevoerde argumenten 32. De klager van zijn kant is van mening dat er voor de verweerder geen rechtmatige grondslag voor de verwerking is. Hij wijst met betrekking tot de door de verweerder opgesomde belangen op de volgende elementen: - het waarborgen van de continuïteit van de diensten van de onderneming: de verweerder heeft alleen behoefte aan de gegevens over het lopende jaar, en zelfs het jaar ervoor, maar niet over de voorafgaande jaren. De verweerder kan de opslag van gegevens van vóór 01-01-2017 , dat wil zeggen twee boekjaren 7, niet rechtvaardigen, aangezien de feiten die de verweerder de klager verwijt betrekking hebben op november 2017; - verdediging in rechte: voor zover het geschil aanhangig is gemaakt bij het gerecht, dient de GBA zich niet uit te spreken over de grond van het geschil, en moeten de grieven die in dit verband zijn geuit bij gebreke van getuigenis als niet bewezen worden beschouwd; 6 Aanvullende en syntheseconclusies, blz. 14. 7 Hoofdconclusies van de verweerder, blz. 18-19. Beslissing ten gronde 46/2022 - 8/29 - de klager beweert dat de verweerder geen gerechtvaardigd belang heeft bij de verwerking van de gegevens, ten minste niet voor de gegevens die ouder dan vijf jaar zijn. Hij is van mening dat voor de gegevens jonger dan 5 jaar het gerechtvaardigd belang eventueel een rechtmatigheidsgrond voor de verwerking kan vormen wegens de lopende gerechtelijke procedure, maar niet voor de oudere gegevens. - de andere door de verweerder aangevoerde belangen zijn vaag, niet actueel en onnauwkeurig; - de verweerder geeft geen belangenafweging gemaakt om het gerechtvaardigd belang te beoordelen: er is geen rekening gehouden met de wanverhouding die inherent is aan de verhouding ex-werknemer tot ex-werkgever tussen de klager en de verweerder; - schending van het beginsel van minimale gegevensverwerking, voor zover gegevens die ouder dan vijf jaar zijn, niet relevant zijn; - schending van het noodzakelijkheidsbeginsel, aangezien andere minder ingrijpende maatregelen hadden kunnen worden overwogen om de verweerder in staat te stellen over de gegevens te beschikken (bijvoorbeeld aanwijzing van een derde met wie de verweerder samen met de klager de analyse van de gegevens had kunnen uitvoeren); - het mogelijk aansprakelijk stellen van de klager als voormalig bestuurder van de verwerende vennootschap: de verjaringstermijn van de aansprakelijkheid van bestuurders is vijf jaar, derhalve kan het gerechtvaardigde belang een verwerking van gegevens van vóór die periode niet rechtvaardigen II.1.3. In rechte: 33. De Geschillenkamer merkt op dat punt

1. f)van artikel 6, lid 1, van de AVG verwijst naar de gerechtvaardigde belangen van de verwerkingsverantwoordelijke. De verwerking van persoonsgegevens moet "noodzakelijk zijn voor de behartiging van de gerechtvaardigde belangen" van de verwerkingsverantwoordelijke. 34. Bovendien wordt het inroepen van het gerechtvaardigde belang uitdrukkelijk onderworpen aan een aanvullende afwegingstoets, die tot doel heeft het belang en de grondrechten en de fundamentele vrijheden van de betrokkenen te beschermen. Met andere woorden, het gerechtvaardigde belang dat door de verwerkingsverantwoordelijke wordt behartigd, moet worden afgewogen aan het belang of de grondrechten en de fundamentele vrijheden van de betrokkene, waarbij het doel van de afweging is te voorkomen dat diens rechten en vrijheden onevenredig zwaar worden getroffen. 35. Het belang dat de verwerkingsverantwoordelijke nastreeft, hoe legitiem en noodzakelijk ook, kan alleen geldig worden ingeroepen als de grondrechten en de fundamentele vrijheden van de Beslissing ten gronde 46/2022 - 9/29 betrokkenen niet prevaleren boven dat belang. Het Hof van Justitie van de Europese 8 Unie heeft verduidelijkt dat deze drie voorwaarden - het behartigen van een gerechtvaardigd belang door de verwerkingsverantwoordelijke (a), de noodzakelijkheid van de verwerking voor de behartiging van het gerechtvaardigde belang (
2. b)en de voorwaarde dat de fundamentele rechten en vrijheden van de betrokkenen niet prevaleren boven het behartigde belang (
3. c)cumulatief zijn. 36. Teneinde zich conform artikel 6, lid 1, punt f), van de AVG te kunnen beroepen op de rechtmatigheidsgrond van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te tonen dat: 1) de belangen die hij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); 2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de“noodzakelijkheidstoets”) 3) de afweging van deze belangen ten opzichte van de belangen, de grondrechten en de fundamentele vrijheden van de betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”). 37. Deze beginselen worden ook benadrukt in Advies nr. 2/2017 over gegevensverwerking op het werk van de Groep artikel 29, waarin staat dat "de uitvoering van een overeenkomst en gerechtvaardigde belangen soms kunnen worden ingeroepen, mits de verwerking strikt noodzakelijk is voor een gerechtvaardigd doeleinde en voldoet aan het evenredigheids- en subsidiariteitsbeginsel; »9. De Groep artikel 29 herinnert er met name aan dat: "Indien een beroep wordt gedaan op artikel 7, onder f), als rechtsgrond voor gegevensverwerking, is het cruciaal dat er specifieke verzachtende maatregelen bestaan om een goede afweging tussen het gerechtvaardigde belang van de werkgever en de grondrechten en de fundamentele vrijheden van de werknemers te waarborgen. Afhankelijk van de controlevorm moeten dergelijke maatregelen controlebeperkingen omvatten om te garanderen dat de privacy van de werknemer niet wordt geschonden. Voorbeelden van dergelijke beperkingen zijn: - - geografische beperkingen (bv. controle mag enkel op bepaalde plaatsen, controle van plaatsen die tot gevoelige informatie kunnen leiden zoals religieuze plaatsen, sanitaire plaatsen en ontspanningsruimten moet verboden worden), beperkingen op gegevenssoorten (bv. persoonlijke elektronische bestanden en communicatie mogen niet worden gecontroleerd), en tijdsbeperkingen (bv. controle op basis van steekproeven i.p.v. voortdurende controle)".10 8 Zie met name Hof van Justitie van de Europese Unie (HvJ-EU), arrest van 11 november 2019 (C - 708/18) TK t. Asociația de Porpietari bloc MA-ScaraA, uitgesproken ten aanzien van artikel 7, punt f), van richtlijn 95/46/EG. 9 Advies 2/2017 over gegevensverwerking op het werk van de Groep Gegevensbescherming artikel 29, blz. 2. 10 Ibid, blz. 7. Beslissing ten gronde 46/2022 - 10/29 38. Hoewel het in eerste instantie aan de verwerkingsverantwoordelijke is om te beoordelen of aan de voorwaarden van artikel 6, lid 1, punt f), van de AVG is voldaan, kan de rechtmatigheid van de verwerking vervolgens verder worden beoordeeld en eventueel aangevochten, onder meer door de betrokkenen en door de toezichthoudende autoriteiten voor gegevensbescherming. Een onderzoek per geval, waarbij rekening wordt gehouden met de concrete omstandigheden van elk geval, zal de Geschillenkamer van de AVG dus in staat stellen de rechtmatigheid van de verwerkingen vast te stellen op basis van het gerechtvaardigde belang dat de verwerkingsverantwoordelijke, zoals in dit geval, aanvoert. 39. De verwerking van persoonsgegevens moet "noodzakelijk zijn voor de behartiging van de gerechtvaardigde belangen" noodzakelijkheidsvoorwaarde van tussen de de verwerkingsverantwoordelijke. verrichte verwerking en het Deze behartigde gerechtvaardigde belang is met name relevant in het geval van artikel 6, lid 1, punt f), van de AVG om ervoor te zorgen dat de verwerking van gegevens op basis van het gerechtvaardigde belang niet leidt tot een al te ruime interpretatie van het belang om gegevens te verwerken. 40. De verweerder beroept zich op verschillende elementen om zijn gerechtvaardigde belang op te baseren, elementen die hieronder nader worden geanalyseerd. II.1.4. Het gerechtvaardigde belang van de verdediging in rechte 41. De verdediging in rechte is een grondrecht dat is vastgelegd in artikel 48 van het Handvest van de grondrechten van de Europese Unie. In het algemeen kan de "verdediging in rechte" inderdaad worden beschouwd als een gerechtvaardigd belang dat rechtmatig is in het kader van de toepassing van artikel 6, lid 1, punt f), van de AVG. Overeenkomstig advies 06/2014 van de Groep artikel 29 over het begrip gerechtvaardigd belang moet dit belang daadwerkelijk en aanwezig zijn, d.w.z. niet speculatief. 42. De Geschillenkamer stelt vast dat dit belang een daadwerkelijk en aanwezig gerechtvaardigd belang vormt. Tijdens de verwerking (herstel en analyse) door de verweerder van de persoonsgegevens op de laptop van de klager, was het geschil voor het justitieel gerecht tussen de klager en de verweerder reeds aanhangig 11. 43. Toch moet worden voldaan aan de noodzakelijkheidstoets zoals voorgeschreven door het HvJEU (zie boven). Opdat het gerechtvaardigde belang van "verdediging in rechte" van de verweerder zou gelden, moet de gegevensverwerking "noodzakelijk" zijn voor het gebruik van deze verdediging in rechte. Het zou buitensporig zijn en in strijd met deze vereisten van noodzakelijkheid en evenredigheid om toe te laten dat alle vroegere werkgevers van een 11 Zie ook de themafiche van de CNIL « Les outils informatiques https://www.cnil.fr/sites/default/files/atoms/files/_travail-vie_privee_outils_informatiques_travail.pdf. au travail », Beslissing ten gronde 46/2022 - 11/29 werknemer op grond van deze hoedanigheid alle persoonsgegevens met betrekking tot die exwerknemer kunnen verwerken, zelfs met het oog op een verdediging in rechte. 44. In het onderhavige geval, voor zover de verweerder zijn grieven jegens de klager (in het kader van een geschil voor het justitieel gerecht) over het feit dat hij ten onrechte heeft nagelaten informatie mee te delen (of onjuiste informatie heeft meegedeeld), is de Geschillenkamer van oordeel dat de verweerder zich terecht kan beroepen op artikel 6, lid 1, punt f), van de AVG om het geschil tijdens en parallel aan de onderhavige procedure te kunnen ondersteunen, en dit enkel voor de voor dit doel noodzakelijke gegevens. 45. In casu vindt het geschil tussen de partijen zijn oorsprong in de overdracht van de aandelen van de klager aan de verweerder op 29 mei 2020. De klager beweert dat de grieven die de verweerder jegens hem heeft, dateren van november 2017 12. Hij erkent ook zelf en parallel dat zijn persoonsgegevens die tot vijf jaar teruggaan door de verweerder kunnen worden verwerkt op grond van het gerechtvaardigde belang in verband met de verdediging in rechte van deze laatste. De verweerder heeft echter geweigerd gevolg te geven aan het verzoek van de klager om alleen zijn persoonsgegevens die tot vijf jaar teruggaan te verwerken. De Geschillenkamer volgt de klager in zijn bewering dat een tijdslimiet moet worden gesteld aan de periode waarin de verweerder zich op het gerechtvaardigde belang van zijn verdediging in rechte kan beroepen, waarbij enkel de verwerking van de voor die verdediging in rechte noodzakelijke en evenredige gegevens, gerechtvaardigd is. De tijdslimiet van de 5 voorafgaande jaren, die overeenkomt met de verjaringstermijn van de aansprakelijkheid van de klager als bestuurder, moet derhalve in aanmerking worden genomen. 46. Deze gegevensverwerkingen (om te beantwoorden aan de voorwaarden noodzakelijk en evenredig) moeten ook relevant en evenredig zijn ten aanzien van het nauwkeurig omschreven doeleinde van dat gerechtvaardigde belang, namelijk de verdediging in rechte met betrekking tot het betrokken geschil. Derhalve moet er nog voor worden gezorgd dat aan de vereisten van de afwegingstoets wordt voldaan. 47. In dat verband is de Geschillenkamer van mening dat de klager kan worden gevolgd in zijn argument dat de verweerder geen belangenafweging heeft gemaakt voordat hij de omstreden verwerking uitvoerde, voor zover uit de feiten blijkt dat de verweerder weigerde in te gaan op het voorstel van de klager om geen volledig herstel uit te voeren, maar de tussenkomst van een derde te regelen met wie de klager, in aanwezigheid van de verweerder, de e-mails kon sorteren. Met andere woorden, minder ingrijpende maatregelen dan een herstel van alle mailboxen van de klager, zowel persoonlijke als zakelijke, waren mogelijk geweest. De verweerder ging aanvankelijk over tot de analyse van al zijn mailboxen (persoonlijke en zakelijke), ondanks het bezwaar van de klager. Hij heeft er zich pas toe verbonden de actieve verwerking van de 12 Conclusies van de verweerder, blz. 8. Beslissing ten gronde 46/2022 - 12/29 privémailboxen van de klager te staken en geen e-mails uit die privémailboxen op de zakelijke mailboxen te analyseren, toen de klager aandrong. 48. In zijn conclusies van repliek wijst de verweerder er in dat verband op dat de belangenafweging waarnaar de klager verwijst, nader kan worden beschreven wanneer om informatie wordt verzocht. De AVG verplicht volgens hem "in haar tekst niet om voor elke verwerking waarvoor een belangenafweging wenselijk is, details te verstrekken om deze belangenafweging te documenteren"13. De verweerder voert geen enkele bepaling aan waarop hij zich baseert om deze bewering te staven. Hij kan in dit opzicht niet worden gevolgd, omdat deze belangenafweging ten minste moet blijken uit de historiek van de uitwisselingen tussen de partijen, hetgeen in casu niet het geval is. 49. Aan de voorwaarden verbonden aan de bovengenoemde afwegingstoets is derhalve door de verweerder niet voldaan. 50. Het Europees Hof voor de Rechten van de Mens (hierna EHRM) heeft zich overigens uitgesproken over controle door een werkgever van de elektronische communicatie van zijn werknemers in de zaak Bărbulescu v. Roemenië, over de beslissing van een privébedrijf om de arbeidsovereenkomst van een werknemer te beëindigen nadat het diens elektronische communicatie had gecontroleerd en toegang had gehad tot de inhoud ervan. 51. Het Hof concludeerde dat de Roemeense rechterlijke instanties niet hadden nagegaan of de heer Bărbulescu vooraf door zijn werkgever in kennis was gesteld van de mogelijkheid dat zijn elektronische communicatie zou worden gecontroleerd. Zij hebben ook geen rekening gehouden met het feit dat hij niet op de hoogte was gebracht van de aard en de omvang van die controle, en met name ook niet van de mogelijkheid dat zijn werkgever toegang zou hebben tot de eigenlijke inhoud van zijn berichten. Bovendien hebben de nationale rechterlijke instanties niet vastgesteld, ten eerste welke specifieke redenen het instellen van controlemaatregelen had gerechtvaardigd, ten tweede of de werkgever maatregelen had kunnen treffen die minder ingrijpend waren geweest voor de privacy en de correspondentie van de heer Bărbulescu, en ten derde of de toegang tot de inhoud van de communicaties zonder zijn medeweten mogelijk was geweest14. 52. In zijn arrest van de Grote kamer wijst het EHRM erop dat de Roemeense autoriteiten geen billijk evenwicht hadden gevonden tussen enerzijds het recht van de klager op eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, en anderzijds de belangen van zijn ex-werkgever, en concludeerde het dat een schending van artikel 8 van het Europees Verdrag voor de Rechten van de Mens had plaatsgevonden. 53. Uit dit arrest blijkt duidelijk dat wanneer een werkgever maatregelen neemt ter controle van de communicatie van zijn werknemers, deze maatregelen gepaard moeten gaan met toereikende 13 Aanvullende en syntheseconclusies, blz. 16. 14 Vragen en antwoorden, arrest van de Grote kamer in de zaak Bărbulescu v. Roemenië (nr. 61496/08). Beslissing ten gronde 46/2022 - 13/29 en afdoende waarborgen tegen misbruik, zoals het gebruik van zo min mogelijk ingrijpende maatregelen (met name rechtstreekse toegang tot de inhoud van de communicatie van de werknemer)15. 54. In het onderhavige geval wijst de Geschillenkamer erop dat de verweerder het voorstel van de klager om de e-mails samen met een derde te onderzoeken heeft afgewezen, en geen alternatieve maatregel heeft voorgesteld die minder ingrijpend is dan de verwerking van alle emails van de klager (en de inhoud daarvan). Aldus, zonder verder onderzoek van de andere door het EHRM gehanteerde criteria om te beoordelen of een belangenafweging heeft plaatsgevonden, heeft de verweerder de bovengenoemde rechtspraak van het EHRM geschonden. 55. Gelet op het voorgaande en in overeenstemming met de bovengenoemde rechtspraak van zowel het HvJ-EU als het EHRM, concludeert de Geschillenkamer dat de verweerder de verwerkingen van gegevens die in de klacht worden bedoeld en die ouder zijn dan vijf jaar, niet kon baseren op zijn gerechtvaardigde belang van verdediging in rechte, omdat deze verwerkingen niet noodzakelijk waren in de zin van artikel 6, lid 1, f), van de AVG. Dit gerechtvaardigde belang vormt niettemin een rechtmatigheidsgrond voor de persoonsgegevens van de klager met betrekking tot de periode die tot vijf jaar teruggaat. 56. Ter informatie onderstreept de Geschillenkamer dat zij zich eerder heeft uitgesproken over de verwerking van mailboxen wanneer een werknemer vertrekt. Zij heeft er reeds op gewezen dat "de werkgever de e-mailadressen moet verwijderen wanneer het gaat om persoonsgegevens, nadat hij de houders en derden op de hoogte heeft gesteld van de datum van sluiting van de mailbox. Deze verplichting is ook bedoeld om de houders in staat te stellen eventuele privéberichten te sorteren en door te sturen naar hun persoonlijke mailboxen. Net zoals de betrokkene zijn persoonlijke bezittingen moet terugnemen, moet de betrokkene zijn of haar persoonlijke elektronische privécommunicatie voor zijn vertrek kunnen terugnemen of wissen. Indien een deel van de inhoud van zijn mailbox moet worden teruggevorderd om de goede werking van de onderneming te waarborgen (zoals de verweerder in de onderhavige zaak heeft aangevoerd), moet dit ook gebeuren vóór zijn vertrek en in zijn aanwezigheid. In geval van een omstreden situatie wordt de tussenkomst van een vertrouwenspersoon aanbevolen 16. De hypothese van ontslag of enige andere 15 Zaak Bărbulescu v. Roemenië, nr. 61496/08, 5 september 2017, §136, beschikbaar via https://hudoc.echr.coe.int/fre#{%22itemid%22:[%22001-177083%22]}: "136. Qui plus est, ni le tribunal départemental ni la cour d’appel n’ont examiné de manière suffisante la question de savoir si le but poursuivi par l’employeur aurait pu être atteint par des méthodes moins intrusives que l’accès au contenu même des communications du requérant." 16 Al meeredere jaren geleden stelde de Commissie voor de bescherming van de persoonlijke levenssfeer, voorganger van de GBA, ten behoeve van de werkgevers een juridische nota ter beschikking op haar website https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/juridische-nota-e-mailsafwezige-werknemers.pdf, evenals FAQ; https://www.gegevensbeschermingsautoriteit.be/professioneel/themas/privacy-op-de-werkplek met betrekking tot het sluiten van het e-mailaccount bij vertrek/ beëindigen van de functie. Beslissing ten gronde 46/2022 - 14/29 vorm van activiteit stopzetting en de gevolgen daarvan moeten worden geregeld in een intern handvest met betrekking tot het gebruik van IT-hulpmiddelen.17» 57. Alhoewel deze beginselen op initiatief van beide partijen in casu niet meer kunnen worden toegepast, beveelt de Geschillenkamer de verweerder aan om een dergelijk handvest op te stellen om herhaling van soortgelijke situaties in de toekomst te vermijden. Meer in het algemeen wordt door de Geschillenkamer aanbevolen een handvest op te stellen dat regelt onder welke voorwaarden een werkgever de zakelijke mailboxen van zijn werknemers kan raadplegen of hun IT-hulpmiddelen kan controleren, met de nodige inachtneming van de hierboven genoemde lessen uit de jurisprudentie, waarbij toereikende en afdoende waarborgen tegen misbruik worden geboden (met name door werknemers in kennis te stellen van mogelijke controlemaatregelen) en het evenredigheidsbeginsel wordt geëerbiedigd. II.1.5. Wat betreft het gerechtvaardige belang in verband met de mogelijke aansprakelijkheid van de klager als voormalig bestuurder van de verwerende vennootschap 58. De verweerder merkt in zijn conclusies op dat hij zich de mogelijkheid voorbehoudt om de klager aansprakelijk te stellen voor bepaalde handelingen (mededeling van onjuiste informatie) die hij als bestuurder van Y heeft gesteld. 59. In dit verband verwijst de Geschillenkamer naar overweging 47 van de AVG waarin wordt gesteld dat de verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming, een gerechtvaardigd belang van de verwerkingsverantwoordelijke is. 60. De Geschillenkamer heeft eerder geoordeeld dat, afhankelijk van het geval, het doel misbruiken fraudevoorkoming de basis voor een gerechtvaardigd belang 18 kan vormen, met inachtneming van de drievoudige toets van het HvJ-EU (zie hierboven). Indien in dat verband is vastgesteld dat de verwerking van persoonsgegevens voor dat doel noodzakelijk is ter behartiging van het gerechtvaardigde belang van de verweerder, en dat dit belang prevaleert boven het belang van de klager bij de bescherming van persoonsgegevens, moet worden geconcludeerd dat de verwerking een rechtmatigheidsbasis heeft. 61. In overeenstemming met dit standpunt en gezien het feit dat de verweerder de klager in het geschil voor de Rechtbank van eerste aanleg heeft beschuldigd van het verstrekken van onvolledige en/of onjuiste informatie, houdt de Geschillenkamer rekening met de mogelijke aansprakelijkheid van de klager als voormalig bestuurder als een gerechtvaardigd belang van de verweerder (uitsluitend voor verwerkingen van persoonsgegevens met betrekking tot de laatste vijf jaar). II.1.6. Wat betreft het gerechtvaardigde belang in verband met de mogelijke indiening van een strafklacht met burgerlijke partijstelling door de verweerder tegen de klager wegens door hem als ernstig omschreven schendingen 17 Beslissing 64/2020 van 29 september 2020, punten 39-40, blz. 12-13. 18 Zie beslissing 24/2020 van 14 mei 2020. Beslissing ten gronde 46/2022 - 15/29 62. De verweerder geeft in zijn conclusies ook aan dat hij zich de mogelijkheid voorbehoudt een strafklacht in te dienen met burgerlijke partijstelling door de verweerder tegen de klager wegens als ernstig gekwalificeerde inbreuken (misbruik van de kredietkaart van de vennootschap). 63. In dit verband verwijst de Geschillenkamer naar overweging 47 van de AVG waarin wordt gesteld dat de verwerking van persoonsgegevens die strikt noodzakelijk is voor misbruik- en fraudevoorkoming, een gerechtvaardigd belang van de verwerkingsverantwoordelijke is. 64. De Geschillenkamer heeft eerder geoordeeld dat, afhankelijk van het geval, het doel misbruiken fraudevoorkoming de basis voor een gerechtvaardigd belang 19 kan vormen, met inachtneming van de drievoudige toets van het HvJ-EU (zie hierboven). Indien in dat verband is vastgesteld dat de verwerking van persoonsgegevens voor dat doel noodzakelijk is ter behartiging van het gerechtvaardigde belang van de verweerder, en dat dit belang prevaleert boven het belang van de klager bij de bescherming van persoonsgegevens, moet worden geconcludeerd dat de verwerking een rechtmatigheidsbasis heeft. 65. In overeenstemming met dit standpunt en gezien het feit dat de verweerder de klager in het geschil voor de Rechtbank van eerste aanleg heeft beschuldigd van het verstrekken van onvolledige en/of onjuiste informatie, en hem ook beschuldigt van misbruik van de kredietkaart van de vennootschap tijdens zijn mandaat als bestuurder, houdt de Geschillenkamer rekening met de mogelijke indiening van een strafklacht met burgerlijke partijstelling door de verweerder tegen de klager wegens als ernstig gekwalificeerde schendingen als een gerechtvaardigd belang van de verweerder (uitsluitend voor verwerkingen van de persoonsgegevens van de klager van de laatste vijf jaar) II.1.7. Wat betreft de continuïteit van de diensten van de verweerder 66. Zoals hierboven vermeld, kan de klager worden gevolgd in zijn redenering dat een tijdslimiet zou moeten worden gesteld op de periode gedurende welke de verdediging in rechte het gerechtvaardigde belang van de verweerder kan uitmaken, en aldus de rechtmatigheidsgrond voor de omstreden verwerking kan vormen. De klager begrijpt in zijn conclusies dat de noodzaak voor de verweerder om de continuïteit van zijn diensten te waarborgen een rechtmatigheidsgrond voor de verwerking kan vormen, maar uitsluitend voor de gegevens die twee boekjaren teruggaan, dat wil zeggen de gegevens van vóór 1 januari 2017 20. 67. Om redenen van samenhang, voor zover de limiet (door de klager zelf) op de laatste vijf jaar wordt gesteld voor het gerechtvaardigde belang van de verdediging in rechte van de verweerder, wordt dezelfde limiet aangehouden met betrekking tot het gerechtvaardigde 19 Zie beslissing 24/2020 van 14 mei 2020. 20 Hoofdconclusies van de verweerder, blz. 18-19. Beslissing ten gronde 46/2022 - 16/29 belang van de continuïteit van de diensten van de verweerder (in plaats van de twee boekjaren waardoor de verwerkingsperiode teruggaat tot 1 januari 2017, zoals voorgesteld door de klager). 68. Zoals hierboven vermeld, bij gebrek aan een rechtmatigheidsgrond, concludeert de Geschillenkamer dat artikel 5, lid 1, punt a), van de AVG, in samenhang met artikel 6 van de AVG, niet is geëerbiedigd voor wat betreft de verwerking van gegevens die ouder dan vijf jaar zijn. Wat de persoonsgegevens van de klager betreft die minder dan vijf jaar oud zijn, vormt het gerechtvaardigde belang daarentegen wel een rechtmatigheidsgrond. 3. Betreffende de inbreuk op de informatieplicht (artikel 13, in samenhang met artikel 12, van de AVG) 69. Op grond van de artikelen 13 en 14 van de AVG moet elke persoon wiens persoonsgegevens worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij hem of bij derden worden verzameld, op de hoogte worden gesteld van de in die artikelen genoemde elementen (leden 1 en 2). Wanneer de gegevens rechtstreeks bij de betrokkene worden verzameld, wordt deze op de hoogte gebracht van zowel de in lid 1 als lid 2 van artikel 13 van de AVG genoemde elementen, met name: de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming; de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking (wanneer de verwerking is gebaseerd op de gerechtvaardigde belangen van de verwerkingsverantwoordelijke, moeten deze belangen verduidelijkt worden); de ontvangers of categorieën van ontvangers van de verwerking; het voornemen van de verwerkingsverantwoordelijke om de gegevens buiten de Europese Economische Ruimte door te geven; de periode gedurende welke de persoonsgegevens zullen worden opgeslagen; de rechten van de betrokkende uit hoofde van de AVG, waaronder het recht om de toestemming te allen tijde in te trekken en het recht om een klacht in te dienen bij een toezichthoudende autoriteit (in dit geval de GBA); informatie over de vraag of de verplichting om persoonsgegevens te verstrekken van regelgevende of contractuele aard is en de gevolgen van het niet verstrekken ervan, alsmede over het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22 van de AVG bedoelde profilering. In artikel 14, leden 1 en 2, worden soortgelijke elementen opgesomd, met dien verstande dat artikel 14 van de AVG betrekking heeft op gegevens die niet rechtstreeks bij de betrokkene worden verzameld, maar bij derden. Deze informatie moet op grond van artikel 13 of artikel 14 van de AVG aan de betrokkene worden verstrekt op de wijze als bepaald in artikel 12 van de AVG. 70. De Geschillenkamer herinnert eraan dat een essentieel aspect van het transparantiebeginsel, zoals benadrukt in de artikelen 12, 13 en 14 van de AVG, is dat de betrokkene van tevoren moet kunnen bepalen wat de reikwijdte en de gevolgen van de verwerking zijn, om in een later stadium niet verrast te zijn over de manier waarop zijn persoonsgegevens zijn gebruikt. De informatie moet concreet en betrouwbaar zijn, niet op abstracte of dubbelzinnige wijze worden geformuleerd en niet vatbaar zijn voor verschillende interpretaties. Meer in het bijzonder Beslissing ten gronde 46/2022 - 17/29 moeten de doeleinden en de rechtsgronden van de verwerking van persoonsgegevens duidelijk zijn. 71. Artikel 12, lid 3, van de AVG, verplicht tot informatieverstrekking van de betrokkene binnen een termijn van ten hoogste drie maanden. De klager heeft voor het eerst op 26 februari 2020 de verweerder gevraagd om hem de informatie uit hoofde van artikel 14 van de AVG toe te zenden. De Geschillenkamer merkt op dat artikel 14 van de AVG van toepassing is in geval van onrechtstreekse verzameling van persoonsgegevens. In het onderhavige geval, hoewel in de conclusies van de klager in dit verband wordt verwezen naar artikel 14, is artikel 13 van de AVG van toepassing, voor zover de gegevens van de klager zijn verzameld in het kader van zijn arbeidsovereenkomst met de verweerder. 72. Uit de feiten blijkt dat de verweerder op 15 juni 2020 de klager alleen een lijst met hem betreffende persoonsgegevens in zijn bezit heeft toegezonden (stuk 11 van de klager), zonder er alle andere informatie aan toe te voegen die krachtens artikel 13 van de AVG vereist is. Artikel 13, lid 4, van de AVG bepaalt echter dat de verplichting tot mededeling van de informatie in de punten 1 tot en met 3 van datzelfde artikel niet van toepassing is wanneer de betrokkene reeds over die informatie beschikt. Het door de verweerder aan de klager toegezonden document vermeldt de bewaartermijn van de gegevens niet (een belangrijk aspect in het geschil tussen de partijen), noch het bestaan van het recht om te verzoeken om inzage, rectificatie of wissing van de gegevens, noch het recht om bezwaar tegen de verwerking te maken, of het recht om een klacht bij de toezichthoudende autoriteit in te dienen. Redelijkerwijs kan echter worden aangenomen dat de klager op de hoogte was van die informatie, gezien zijn vroegere postitie als bestuurder. De informatie waarvan sprake in artikel 13 van de AVG die in deze zaak bijzonder relevant is en die in het document ontbreekt, is dus de bewaartermijn van de door de verweerder verwerkte gegevens. Alhoewel dat element een centraal punt is in het onderhavige geschil en in de vorderingen van de klager moet ook rekening worden gehouden met het feit dat het voor de verweerder moeilijk is in te schatten hoe lang het zal duren om het geschil dat voor het justitieel gerecht hangende is, te beslechten, gedurende welke periode het gerechtvaardigd is de gegevens te bewaren (niet ouder dan vijf jaar). 73. In deze omstandigheden kan geen schending van artikel 13 van de AVG worden vastgesteld. III. Wat betreft de mededeling van de onderaannemingsovereenkomst tussen de verweerder en zijn verwerker 74. Artikel 28, lid 3, van de AVG bepaalt : "De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort Beslissing ten gronde 46/2022 - 18/29 persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker:
4. a)de persoonsgegevens uitsluitend verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, onder meer met betrekking tot doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht; in dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt;
5. b)waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden;
6. c)alle overeenkomstig artikel 32 vereiste maatregelen neemt;
7. d)aan de in de leden 2 en 4 bedoelde voorwaarden voor het in dienst nemen van een andere verwerker voldoet;
8. e)rekening houdend met de aard van de verwerking, de verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verleent bij het vervullen van diens plicht om verzoeken om uitoefening van de in hoofdstuk III vastgestelde rechten van de betrokkene te beantwoorden;
9. f)rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie de verwerkingsverantwoordelijke bijstand verleent bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36
10. g)na afloop van de verwerkingsdiensten, naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wist of deze aan hem terugbezorgt, en bestaande kopieën verwijdert, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht;
11. h)de verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om de nakoming van de in dit artikel neergelegde verplichtingen aan te tonen en audits, waaronder inspecties, door de verwerkingsverantwoordelijke of een door de verwerkingsverantwoordelijke gemachtigde controleur mogelijk maakt en eraan bijdraagt. Waar het gaat om de eerste alinea, punt h), stelt de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie inbreuk oplevert op deze verordening of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming." Beslissing ten gronde 46/2022 - 19/29 75. Artikel 4, lid 8, van de AVG definieert een verwerker als volgt: "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt". 76. De verweerder betwist niet dat de V die de persoonsgegevens heeft hersteld een derde 21 is en dat hij als verwerker is opgetreden. Voorts erkent de verweerder het ontbreken van een overeenkomst die hem aan deze verwerker bindt. Hij rechtvaardigt dit in zijn conclusies door aan te voeren dat de verwerker "geen persoonsgegevens heeft verwerkt, maar de gegevens heeft hersteld die door de heer X waren gewist, zonder de inhoud van die gegevens te onderzoeken en zonder een sortering uit te voeren die niet aan hem was om uit te voeren" 22. De verweerder voegt eraan toe dat de verwerker "geen toegang heeft gehad tot de elektronische mailbox voordat hij de gewiste gegevens herstelde (...) geen gewiste elementen van de e-mail van de heer X (na het verzoek van Y) heeft hersteld, geen enkele actie is ondernomen (...)" en dat hij "de e-mails van de heer X niet heeft gelezen ».23 77. De Geschillenkamer stelt vast dat dit een foutieve lezing is van het begrip "verwerking" zoals opgenomen in artikel 4, lid 2, van de AVG: "een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens". 78. Het lijdt ook geen twijfel dat de e-mails in de elektronische mailboxen (zakelijke en/of persoonlijke) persoonsgegevens zijn. Het herstellen van de persoonsgegevens betreffende de klager is bijgevolg een verwerking van persoonsgegevens in de zin van de AVG. 79. Het feit dat deze gegevens in het kader van de verwerking door de verwerker van de verweerder zijn versleuteld en dat alleen de verweerder ze kan versleutelen (zoals zijn raadsman vermeldt in een brief van 4 mei 2021), wijzigt niets aan de aard van deze conclusie, aangezien deze gegevens, ook al zijn ze versleuteld, persoonsgegevens van de klager blijven, en dat de verwerking blijft bestaan. Voor zover gepseudonimiseerde 24 of versleutelde gegevens de 21 Hij wijst er in zijn syntheseconclusies op (blz. 8) dat de verwerker een "derde dienstverlener" is. 22 Syntheseconclusies van de verweerder, blz. 17. 23 Ibid, blz. 18. Zie artikel 4, lid 5, van de AVG definieertht begrip “pseudonimisering” als volgt: 24 « het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende Beslissing ten gronde 46/2022 - 20/29 identificatie van een persoon via bijkomende informatie 25 mogelijk maken, met name via de encrytiesleutel (in dit geval in handen van de verweerder), vormen versleutelde gegevens immers persoonsgegevens in de zin van artikel 4, lid 1, van de AVG. 80. De verweerder maakt zich dus schuldig aan een schending van artikel 28, lid 3, van de AVG. IV. Wat betreft de verzoeken van de klager om uitoefening van zijn rechten IV.1. Betreffende het niet-nakomen door de verweerder van zijn verplichting gevolg te geven aan de uitoefening van het recht van inzage van de klager (artikel 15 van de AVG) 81. Zoals hierboven vermeld, is de verweerder in zijn hoedanigheid van verwerkingsverantwoordelijke verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet hij kunnen aantonen dat deze worden nageleefd. Bovendien moet hij daarvoor alle nodige maatregelen treffen (verantwoordingsplicht - artikel 5, lid 2, en artikel 24 van de AVG). 82. Eerst en vooral herinnert de Geschillenkamer eraan dat het recht van inzage een van de grondslagen is van het recht op gegevensbescherming, dat het de "toegangspoort" is die de uitoefening mogelijk maakt van andere rechten die de AVG aan de betrokkene toekent, zoals het recht op rectificatie, het recht op gegevenswissing en het recht op beperking van de verwerking. 83. Volgens artikel 15, lid 1, van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Wanneer dat het geval is, heeft de betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en van de informatie die in artikel 15, lid 1, punten
12. a)- h), wordt vermeld, zoals het doeleinde van de verwerking van zijn gegevens, de bewaartermijn van de gegevens, de eventuele ontvangers van zijn gegevens, en informatie over gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld. » Overweging 26 van de AVG vermeldt hetzelfde: « De beginselen van gegevensbescherming moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon gelden. Gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, moeten als gegevens over een identificeerbare natuurlijke persoon worden beschouwd. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken. Om uit te maken of van middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen. » 25 Zie in dit verband het arrest Breyer van het EHVM, Zaak C-582/14, 19 oktober 2016, §49. Beslissing ten gronde 46/2022 - 21/29 het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn gegevens te vragen, of om een klacht bij de GBA in te dienen. 84. Krachtens artikel 15, lid 3, van de AVG heeft de betrokkene bovendien het recht om een kopie te verkrijgen van de persoonsgegevens die het voorwerp van de verwerking uitmaken. Artikel 15, lid 4, van de AVG bepaalt dat het recht om een kopie te verkrijgen geen afbreuk aan de rechten en vrijheden van anderen mag doen. 85. Artikel 12 van de AVG over de wijze waarop de betrokkenen hun rechten kunnen uitoefenen, bepaalt dat de verwerkingsverantwoordelijke de uitoefening van de rechten door de betrokkene (artikel 12, lid 2, van de AVG) moet faciliteren, en hem onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet verstrekken over de maatregelen die naar aanleiding van zijn verzoek zijn genomen (artikel 12, lid 3, van de AVG). Deze termijn kan in specifieke omstandigheden tot drie maanden worden verlengd (artikel 12, lid 3, van de AVG). Wanneer de verwerkingsverantwoordelijke niet van plan is gevolg te geven aan het verzoek, moet hij zijn weigering binnen een maand meedelen, en de betrokkene informeren over de mogelijkheid om beroep in te stellen tegen die weigering bij de toezichthoudende autoriteit voor gegevensbescherming (artikel 12, lid 4, van de AVG). 86. Op 16 maart 2020 oefent de klager bij de verweerder zijn recht op inzage en een kopie uit. De verweerder antwoordt op 7 april 2020 dat hij niet in staat was om binnen een maand gevolg te geven aan het verzoek wegens de complexiteit van het verzoek en de moeilijke werkomstandigheden in verband met de gezondheidscrisis, maar hij verbindt zich ertoe het binnen drie maanden te doen. 87. Op 15 juni 2020, d.w.z. vlak voor het verstrijken van de periode van drie maanden, stuurt de verweerder de klager een lijst met de persoonsgegevens die hij over hem in zijn bezit heeft. Hij blijft echter in gebreke de informatie uit hoofde van artikel 15, lid 1, punten
13. a)-
14. f)mee te delen (waaronder de bewaartermijn van de gegevens), en zendt hem geen kopie van deze gegevens toe. 88. De verweerder beroept zich in dat verband op het argument dat in zijn brief van 16 maart waarin om toepassing van artikel 15 van de AVG wordt gevraagd, de klager alleen zou hebben verzocht om inzage en niet om een kopie te verkrijgen, omdat de brief enkel verwijst naar artikel 15, lid 1, en niet lid 3 (gedeelte kopie van het recht van inzage). 89. De Geschillenkamer kan die redenering niet onderschrijven, aangezien, al vermeldt de genoemde brief uitdrukkelijk artikel 15, lid 1 en niet lid 3, de term "kopie" ("copy" in de Engelse brief) uitdrukkelijk twee maal wordt gebruikt (stuk 7 van de klager): Beslissing ten gronde 46/2022 - 22/29 90. De Geschillenkamer stelt derhalve een schending vast van artikel 15, lid 1, wegens het onvolledig gevolg geven aan het verzoek om inzage van de klager, en een schending van artikel 15, lid 3, wegens het weigeren gevolg te geven aan het gedeelte kopie van het recht van inzage. IV.2. Wat betreft de schending van de verweerder van zijn verplichting om gevolg te geven aan de uitoefening van het recht op gegevenswissing van de klager (artikel 17 van de AVG), het recht op beperking van de verwerking (artikel 18 van de AVG), en het recht van bezwaar (artikel 21 van de AVG), 91. Artikel 17 van de AVG bepaalt: 1. "De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
15. a)de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
16. b)de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
17. c)de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
18. d)de persoonsgegevens zijn onrechtmatig verwerkt;
19. e)de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
20. f)2. 3. de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1. Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen. De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is: Beslissing ten gronde 46/2022 - 23/29
21. a)voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;
22. b)voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;
23. c)om redenen van algemeen belang op het gebied van volksgezondheid overeenkomstig artikel 9, lid 2, punten
24. h)en i), en artikel 9, lid 3;
25. d)met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen;
26. e)voor de instelling, uitoefening of onderbouwing van een rechtsvordering." 92. Overweging 65 van de AVG vermeldt de uitzondering van onderbouwing van een rechtsvordering zoals voorzien in artikel 17, lid 3, punt e), van de AVG voor het recht op gegevenswissing. 93. Zoals hierboven vermeld is de Geschillenkamer van mening dat, gelet op het geschil dat voor het justitieel gerecht hangende is, en a fortiori voor zover dit betrekking heeft op de uitwisseling van informatie (en e-mails) tussen de klager, de verweerder en derden, het gerechtvaardigde belang van verdediging in rechte een geldige rechtmatigheidsbasis voor de verweerder vormt voor de gegevens die minder dan vijf jaar oud zijn bij het begin van de omstreden verwerking. Voor gegevens na die datum kan de verweerder zich niet baseren op het gerechtvaardigde belang (zie boven deel 2.1.3) als grondslag voor de omstreden verwerkingen. 94. De uitzondering op het recht op gegevenswissing vervat in artikel 17, lid 3, punt e), van de AVG (de onderbouwing van een rechtsvordering) is in het onderhavige geval van toepassing, volgens hetzelfde tijdscriterium. 95. Er is dus geen sprake van een schending door de verweerder van artikel 17 van de AVG voor wat betreft de verwerking van gegevens tot vijf jaar vóór de verwerking, maar wel voor de gegevens daarvoor. 96. Voor zover de artikelen 18, lid 2 (recht op beperking van de verwerking), en 21, lid 1 (recht van bezwaar), de uitzondering van onderbouwing van een rechtsvordering vermelden, geldt dezelfde redenering voor het verzoek om uitoefening van het recht op beperking van de verwerking en het recht op bezwaar door de klager. 97. Er is dus geen sprake van een schending van artikel 18 en artikel 21 van de AVG door de verweerder voor wat betreft de verwerking van gegevens tot vijf jaar vóór de verwerking, maar wel voor de gegevens daarvoor. Beslissing ten gronde 46/2022 - 24/29 V. Corrigerende maatregelen en sancties 98. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 99. Wat betreft de administratieve geldboete die kan worden opgelegd overeenkomstig de artikelen 83 van de AVG en de artikelen 100, 13°, en 101 van de WOG, bepaalt artikel 83 van de AVG: 1. "Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn. 2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, punten
27. a)tot en met
28. h)en j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende: Beslissing ten gronde 46/2022 - 25/29
29. a)de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
30. b)de opzettelijke of nalatige aard van de inbreuk;
31. c)de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
32. d)de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;
33. e)eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
34. f)de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
35. g)| de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
36. h)de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
37. i)de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
38. j)het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
39. k)elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien." 100. Het is van belang de schendingen van deze artikelen in hun context te plaatsen om de meest geschikte corrigerende maatregelen vast te stellen. In dit verband zal de Geschillenkamer rekening houden met alle omstandigheden van de zaak, met inbegrip - binnen de hierna gepreciseerde grenzen - van de reactie van de verweerder op het voorgestelde bedrag van de geldboete dat hem is meegedeeld (zie procedurele voorgeschiedenis). In dit verband wijst de Geschillenkamer erop dat het genoemde formulier uitdrukkelijk vermeldt dat het geen heropening van de debatten inhoudt. Het enige doel ervan is het verkrijgen van de reactie van de verweerder op het bedrag van de voorgestelde geldboete. 101. De Geschillenkamer wenst er tevens aan te herinneren dat het haar soevereine verantwoordelijkheid is als onafhankelijke administratieve autoriteit - met inachtneming van de relevante artikelen van de AVG en van de WOG - om de passende corrigerende maatregel(
40. en)en sanctie(
41. s)te bepalen. 102. Zo is het dus niet aan de klager om de Geschillenkamer te verzoeken een bepaalde corrigerende maatregel of sanctie te gelasten. Indien ondanks het voorgaande de klager de Geschillenkamer Beslissing ten gronde 46/2022 - 26/29 toch verzoekt een of andere maatregel en/of sanctie op te leggen, is het dus niet aan de Geschillenkamer om te motiveren waarom zij een van de verzoeken van de klager niet zou inwilligen. Deze overwegingen laten de verplichting van de Geschillenkamer onverlet om de keuze te motiveren van de maatregelen en sancties die zij (uit de lijst van maatregelen en sancties die haar op grond van artikel 58 van de AVG en artikel 95.1 en 100.1 van de WOG ter beschikking staan) passend acht om de partij waartegen de klacht is gericht te veroordelen. 103. In het onderhavige geval wijst de Geschillenkamer erop dat de klager haar verzoekt de verweerder te sanctionneren wegens zijn verzuim gevolg te geven aan zijn verzoeken om uitoefening van zijn rechten. De klager verzoekt de Geschillenkamer ook de verweerder op twee punten een bevel te geven. Ten eerste vraagt hij een bevel om de verwerking van hem betreffende persoonsgegevens die ouder zijn dan 5 jaar stop te zetten (en zelfs recentere indien de Geschillenkamer zou beslissen dat er ook geen rechtmatigheidsgrond voor is), en deze te wissen. Verder vraagt de klager dat de verweerder wordt bevolen gevolg te geven aan de verzoeken tot uitoefening van zijn verschillende rechten. Hij verzoekt ten slotte om bevestiging dat de verweerder zich niet kan beroepen op artikel 6, lid 1, punt
42. f)(gerechtvaardigd belang) om zijn omstreden verwerkingen op te baseren, ongeacht tijdsoverwegingen. V.1. Wat betreft de schendingen 104. De Geschillenkamer heeft een schending van artikel 5, lid 1, a), in combinatie met artikel 6, lid 1, f), van de AVG vastgesteld wegens het gedeeltelijk ontbreken van een rechtsgrond voor de verwerking. Zij wijst ook op een schending van artikel 15 (recht op inzage en een kopie), artikel 17 (recht op gegevenswissing), artikel 18 (recht op beperking van de verwerking), en artikel 21 (recht van bezwaar). Tenslotte is ook artikel 28 geschonden (door het ontbreken van een overeenkomst tussen de verweerder en zijn verwerker). 105. Uit de conclusies van de klager blijkt dat de verweerder er zich op aandringen van de klager toe had verbonden om de persoonsgegevens van de klager die in zijn privémailboxen waren aangetroffen niet te analyseren, en elke actieve verwerking van de bij de analyse van de zakelijke mailboxen aangetroffen persoonlijke e-mails, stop te zetten26. 106. De Geschillenkamer merkt bovendien op dat de verweerder in zijn conclusies opmerkt dat hij bereid is de e-mails met betrekking tot de privémailbox van de klager te wissen voor zover de betrokken e-mails zijn recht op verdediging in rechte niet in de weg staan 27. Gezien de talrijke schendingen van de verweerder, is de Geschillenkamer van mening dat deze toegeving onvoldoende is om het achterwege laten van sancties te rechtvaardigen. 107. De Geschillenkamer gelast de verweerder dan ook: 26 Conclusies van de verweerder, blz. 5. 27 Syntheseconclusies van de verweerder, blz. 17. Beslissing ten gronde 46/2022 - 27/29 - op de verzoeken van de klager om zijn rechten uit te oefenen, in te gaan, voor zover hierboven uiteengezet - een handvest op te stellen zoals vermeld in punt 56 - de verwerking van de persoonsgegevens van de klager die ouder zijn dan 5 jaar stop te zetten 108. Behalve dit bevel tot naleving, is de Geschillenkamer van mening dat hier bovendien een administratieve geldboete gerechtvaardigd is om de hierna genoemde redenen, geanalyseerd op basis van artikel 83, lid 2, van de AVG, en in overeenstemming met de recente rechtspraak van het Marktenhof. 109. De rechten van betrokkenen behoren tot de essentie van de AVG en inbreuken op die rechten worden bestraft met de hoogste geldboeten, overeenkomstig artikel 83, lid 5, van de AVG. In deze geest kunnen ernstige schendingen van de rechten van betrokkenen gesanctioneerd worden met verhoudingsgewijs hoge geldboeten, afhankelijk van de omstandigheden van het geval in kwestie. In dit verband kan worden verwezen naar de richtsnoeren van de Groep artikel 29 voor de toepassing en de vaststelling van administratieve geldboeten, die het volgende bepalen: "Geldboeten zijn een belangrijk instrument dat de toezichthoudende autoriteiten in passende omstandigheden moeten gebruiken. De toezichthoudende autoriteiten worden aangemoedigd om bij het gebruik van corrigerende maatregelen een weloverwogen en evenwichtige aanpak te hanteren, teneinde zowel een doeltreffende en afschrikkende als een evenredige reactie op de inbreuk te bewerkstelligen. Geldboeten moeten niet als laatste redmiddel worden gezien en er moet niet voor worden teruggedeinsd ze op te leggen, maar ze moeten ook niet zodanig worden gebruikt dat hun doeltreffendheid erdoor wordt aangetast." 110. Artikel 83, lid 2, punt
43. a)heeft betrekking op "de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade". In het onderhavige geval merkt de Geschillenkamer op dat de beginselen van rechtmatigheid en minimale gegevensverwerking (artikel 5, lid 1, punten
44. a)en c), van de AVG), evenals het recht van inzage (artikel 15), het recht op gegevenswissing (artikel 17), het recht op beperking van de verwerking (artikel 18) en het recht van bezwaar (artikel 21), essentiële beginselen zijn van de beschermingsregeling die door de AVG is ingevoerd. Het in artikel 5, lid 2, van de AVG vastgelegde en in artikel 24 verder uitgewerkte verantwoordingsbeginsel vormt de kern van de AVG en weerspiegelt de paradigmaverschuiving die de AVG teweegbrengt, namelijk een verschuiving van een regeling die gebaseerd is op voorafgaande verklaringen en machtigingen van de toezichthoudende autoriteit naar een grotere responsabilisering en verantwoordelijkheid van de verwerkingsverantwoordelijke. Dit maakt het des te belangrijker Beslissing ten gronde 46/2022 - 28/29 dat deze laatste aan zijn verplichtingen voldoet en dit kan aantonen. Schendingen van deze beginselen zijn ernstige schendingen. De schending van artikel 28 van de AVG is ook een ernstige schending. 111. Wat betreft meer bepaald de aard van de gegevens, is weliswaar uit de ingediende conclusies niet duidelijk op te maken (voor zover de partijen elkaar op dit punt tegenspreken en bij ontstentenis van bewijzen) of de verweerder zowel de privé- als de zakelijke mailboxen van de klager heeft hersteld, maar de Geschillenkamer merkt op dat de verweerder ten minste heeft erkend ook de persoonlijk e-mails van de klager in zijn zakelijke mailboxen te hebben verwerkt (hersteld). 112. Wat de duur en de reikwijdte van de omstreden verwerking betreft, wijst de Geschillenkamer erop dat de verweerder van begin af aan en opzettelijk (artikel 83, lid 2, punt b), van de AVG), zonder enige tijdslimiet, overgegaan is tot het herstel van de e-mails van de klager, ondanks het bezwaar van de klager en zijn verzoek om een limiet van 5 jaar in te stellen. 113. De andere criteria van artikel 83, lid 2, van de AVG zijn niet relevant en kunnen geen invloed hebben op de beslissing van de Geschillenkamer om een administratieve geldboete op te leggen of voor welk bedrag. 114. Volgens artikel 83, leden 4 en 5, ), van de AVG kunnen inbreuken op de hierboven vastgestelde bepalingen oplopen tot 20 000 000 EUR of, in het geval van een onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar. Er is een schending van artikel 5, lid 1, punt a), in combinatie met artikel 6, lid 1, punt f), van de AVG, en van de artikelen 12, 13, 15, 17, 18, 21 en 28 van de AVG, vastgesteld. Het maximumbedrag van de geldboete in dit geval, zoals bepaald in artikel 83, lid 5, is derhalve 20 000 000 EUR. 115. Aangezien het gaat om schendingen van een grondrecht, neergelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie, zal de beoordeling van de ernst ervan, zoals de Geschillenkamer reeds eerder heeft onderstreept, ter ondersteuning van artikel 83, lid 2, punt a), van de AVG, op autonome wijze geschieden. 116. Gelet op de hierboven uiteengezette elementen die eigen zijn aan deze zaak, concludeert de Geschillenkamer dat de bovengenoemde schendingen het rechtvaardigen dat de verweerder, als doeltreffende, evenredige en afschrikkende sanctie, zoals bepaald in artikel 83 van de AVG, en rekening houdend met de beoordelingsfactoren opgesomd in artikel 83, lid 2, van de AVG en de reactie van de verweerder op het formulier met de voorgestelde sancties, een bevel tot naleving wordt opgelegd, samen met een administratieve geldboete van 7500 EUR (artikel 100, eerste lid, 13° en artikel 101 van de WOG). 117. Het bedrag van 7500 EUR is, gelet op deze elementen, evenredig met de aan de kaak gestelde schendingen. Dit bedrag ligt bovendien ver onder het maximumbedrag van 20 000 000 EUR waarin artikel 83, lid 5, van de AVG voorziet (zie hierboven). Beslissing ten gronde 46/2022 - 29/29 118. Het bedrag is gerechtvaardigd om de hierboven vermelde redenen, met inbegrip van het feit dat de verweerder van begin af aan de mailboxen van de klager zonder enige tijdslimiet heeft verwerkt. 119. De Geschillenkamer is van mening dat een lagere geldboete in het onderhavige geval niet zou beantwoorden aan de in artikel 83, lid 1, van de AVG vereiste criteria, volgens welke de administratieve geldboete niet alleen evenredig, maar ook doeltreffend en afschrikkend moet zijn. Deze elementen vormen een specificatie van de algemene verplichting van de lidstaten uit hoofde van het recht van de Europese Unie, gebaseerd op het beginsel van loyale samenwerking (artikel 4, lid 3, van het Verdrag betreffende de Europese Unie). 120. Gezien het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing overeenkomstig artikel 100, §1, 16° van de WOG gepubliceerd op de website van de Gegevensbeschermingsautoriteit, met weglating van de identificatiegegevens van de partijen, aangezien deze niet noodzakelijk en relevant zijn in het kader van de bekendmaking van deze beslissing. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - Op grond van artikel 100, §1, 9°, van de WOG een bevel tot naleving op te leggen zoals hierboven geformuleerd, met inbegrip van het invoeren van een handvest zoals vermeld in punt 56; - Op grond van artikel 83 van de AVG en van artikel 100, 13°, en artikel 101, van de WOG, een geldboete van 7500 EUR op te leggen. Tegen deze beslissing kan op grond van artikel 108, §1, van de WOG, beroep worden aangetekend bij het Marktenhof, binnen een termijn van dertig dagen vanaf de datum van kennisgeving, met de Gegevensbeschermingsautoriteit als verweerder. (get). Hielke Hijmans Voorzitter van de Geschillenkamer