← België

Beslissing ten gronde nr. 46/2024

1/16 Geschillenkamer Beslissing ten gronde 46/2024 van 15 maart 2024 Dossiernummer : DOS-2019-05837 Betreft : Gebruik van transactiegegevens voor gepersonaliseerde kortingen De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Frank De Smet en Romain Robert, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager” De verweerder: Y BANK, vertegenwoordigd door meester Heidi Waem, hierna “de verweerder” Beslissing ten gronde 46/2024 — 2/16 I. 1. Feiten en procedure Op 10 januari 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. 2. Het voorwerp van de klacht betreft het gebruik door de verweerder van persoonsgegevens, waaronder de inhoud van betaaltransacties, voor het bouwen van modellen voor de dienstverlening "Gepersonaliseerde Kortingen". De klager stelt dat de activering van de dienst gepersonaliseerde kortingen weliswaar plaatsvindt nadat de betrokkene daartoe toestemming heeft verleend, maar dat voor het bouwen van de modellen waarop deze dienst is gebaseerd en waarvoor de verweerder persoonlijke, financiële gegevens van klanten verwerkt, de verweerder zich beroept op diens gerechtvaardigd belang, terwijl volgens de klager hiervoor de toestemming is vereist. De klager stelt dat hij zich heeft verzet tegen “Informatie op maat” vanwege de verweerder. Echter, er wordt geen rekening gehouden met zijn verzet tegen de verwerking van persoonsgegevens bij het bouwen van modellen voor “Gepersonaliseerde kortingen”. Bovendien merkt de klager op dat aan het verzet tegen het bouwen van modellen voor “Gepersonaliseerde kortingen” met zijn gegevens slechts een maand later uitvoering wordt gegeven omwille van technischorganisatorische redenen. Dit leidt er volgens de klager toe dat de processen die de verweerder hanteert verzet de facto onmogelijk maken. 3. Op 14 januari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 7 februari 2020 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 11 maart 2020, deze voor de conclusie van repliek van de klager op 26 maart 2020 en deze voor de conclusie van repliek van de verweerder op 10 april 2020. 5. Op 12 februari 2020 aanvaardt de klager elektronisch alle communicatie omtrent de zaak, overeenkomstig artikel 98 WOG. 6. Op 17 februari 2020 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 25 februari 2020. Eveneens aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak en geeft te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. Beslissing ten gronde 46/2024 — 3/16 7. Op 11 maart 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder waarin deze zich beroept op het gerechtvaardigd belang voor het bouwen van datamodellen voor de dienst “gepersonaliseerde kortingen”, alsook aanvoert dat het bouwen van deze modellen een verenigbare verdere verwerking uitmaakt. De verweerder maakt een onderscheid tussen “informatie op maat” en het “bouwen van modellen” op het vlak van wettelijke grond en de rechten van de betrokkene , waarbij “informatie op maat” wordt gebaseerd op toestemming met het recht van de betrokkene om deze toestemming in te trekken, en “het bouwen van modellen” wordt gebaseerd op gerechtvaardigd belang met het recht van de betrokkene om daartegen bezwaar te maken. Daarnaast stelt de verweerder dat de intrekking van de toestemming in het kader van “informatie op maat” zich niet uitstrekt tot de verwerking van persoonsgegevens voor het bouwen van modellen voor “Gepersonaliseerde kortingen”op basis van gerechtvaardigd belang. Volgens de verweerder is de klacht ongegrond. 8. Op 26 maart 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De klager argumenteert dat de verwerking van persoonsgegevens in datamodellen gebeurt voor een volledig verschillend doel dan datgene waarvoor de gegevens initieel werden verzameld, met name voor de uitvoering van de overeenkomst die de verweerder heeft met zijn klanten voor de afhandeling van transacties. Daarom voert hij aan dat de verwerking voor dit nieuwe doel een onverenigbare verwerking vormt en de verweerder zich niet kan beroepen op het gerechtvaardigd belang voor het opstellen van datamodellen voor direct marketing voor derden. Volgens de klager is er ook geen duidelijk onderscheid tussen de diensten “informatie op maat”, “gepersonaliseerde kortingen” en het bouwen van modellen voor deze diensten waardoor de transparantie en de eerlijkheid van de verwerkingen wordt ondermijnd. Hij stelt dat het verzet tegen het bouwen van modellen voor “gepersonaliseerde kortingen” wordt miskend door de illusie te geven aan de gebruiker dat dit recht werd uitgeoefend, terwijl dit nadien niet het geval blijkt te zijn. Ook is volgens de klager de tijdsduur tussen de privacyverklaring d.d. 1 september 2019 en het in de praktijk gevolg geven aan het bezwaar dat pas kon worden uitgeoefend na kennisgeving van de dienst “gepersonaliseerde kortingen” per brief d.d. 21 september 2019, met daaropvolgend nog de termijn van een maand die de verweerder nodig heeft om de gegevens van de klager te verwijderen, problematisch. De klager stelt dat in die periode de verweerder met de transactiedata waardevolle modellen kan bouwen om vervolgens direct marketing aan te bieden, zodat het verzet wordt geïmplementeerd wanneer het doeleinde van de verwerking reeds is bereikt en het daardoor dus de facto onmogelijk is voor de klant om zich te verzetten tegen de verwerking van zijn data voor dit doeleinde. 9. Op 10 april 2020 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. De verweerder gaat nader in op de elementen zoals uiteengezet in de conclusie van antwoord. Bijkomend element dat wordt opgeworpen is het door de verweerder beweerde Beslissing ten gronde 46/2024 — 4/16 gebrek aan belang in hoofde van de klager waardoor de klacht volgens de verweerder onontvankelijk is en dus niet alleen ongegrond. Verder bakent de verweerder het voorwerp van de procedure af door aan te stippen dat de klager nooit de dienst “gepersonaliseerde kortingen” heeft geactiveerd en enkel bezwaar heeft gemaakt tegen het gebruik van zijn gegevens voor het bouwen van modellen voor het aanbieden van de gepersonaliseerde kortingen, waardoor de rechtmatigheid van de verwerking in het kader van het aanbieden van gepersonaliseerde kortingen niet aan de orde is. 10. Op 22 maart 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 26 april 2023. 11. Op 3 april 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting door onvoorziene omstandigheden diende te worden verplaatst naar 9 mei 2023. 12. Op 9 mei 2023 worden de partijen gehoord door de Geschillenkamer. 13. Op 5 juni 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 14. Op 12 juni 2023 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal , dewelke zij beslist mee op te nemen in haar beraad. II. Motivering

  1. a)Belang van de klager 15. Vooreerst benadrukt de verweerder de afwezigheid van enig persoonlijk en actueel belang in hoofde van de klager. Dit meent de verweerder te kunnen afleiden uit het feit dat het recht van bezwaar ingediend door de klager, werd ingewilligd alvorens de klacht werd ingediend en de persoonsgegevens van de klager dus niet meer worden verwerkt voor het bouwen van modellen. Ook zou de klager volgens de verweerder niet zozeer een schending van zijn eigen rechten aanklagen, doch eerder de praktijken van de verweerder aan de kaak stellen in naam van het algemeen belang van de andere klanten van de verweerder en er niet op gericht zijn de eigen rechten te vrijwaren, doch wel de rechten van de andere klanten. 16. Dienaangaande wijst de Geschillenkamer erop dat zij enkel is gevat voor die elementen van de klacht waarvoor er in hoofde van de klager een belang aanwezig is. Daaromtrent wijst de Geschillenkamer op het volgende: 17. Artikel 58 WOG stelt: ”Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een verzoek indienen bij de Gegevensbeschermingsautoriteit”. In overeenstemming met artikel 60, alinea 2 WOG “is een klacht ontvankelijk wanneer zij: - opgesteld is in één van de landstalen; - een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft; Beslissing ten gronde 46/2024 — 5/16 - zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit”. 18. De voorbereidende werkzaamheden van de WOG bepalen: ”De Gegevensbeschermingsautoriteit kan van eenieder klachten of verzoeken ontvangen; natuurlijke personen maar eveneens rechtspersonen, verenigingen of instellingen die een vermeende inbreuk van de verordening wensen aan te klagen. Een klacht of een verzoek aan de Gegevensbeschermingsautoriteit dient schriftelijk, gedateerd en door de daartoe bevoegde persoon ondertekend te zijn. Een verzoek moet in de brede zin van het woord geïnterpreteerd worden (vraag tot inlichting of toelichting, een verzoek om te bemiddelen, ...)”1. 19. De WOG sluit aldus niet uit dat een andere persoon dan de betrokkene of de persoon die door de betrokkene gemachtigd is, zoals bedoeld in artikel 220 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, een klacht kan indienen bij de Autoriteit. 20. Hoewel de AVG de 'klacht' benadert vanuit het standpunt van de betrokkene, door de toezichthoudende autoriteiten verplichtingen op te leggen wanneer een persoon een klacht indient (zie de artikelen 57, 1.,
  2. f)en 77 van de AVG), belet de AVG niet dat het nationaal recht andere personen dan de betrokkenen de mogelijkheid geeft om een klacht in te dienen bij de nationale toezichthouder. De mogelijkheid van een dergelijke aanhangigmaking stemt overigens overeen met de opdrachten die door de AVG aan de toezichthouders worden toegekend. In dat opzicht en algemeen genomen, zorgt elke toezichthouder voor: de monitoring en handhaving van de toepassing van de AVG (artikel 57, 1.,
  3. a)AVG), en de verrichting van alle andere taken die verband houden met de bescherming van persoonsgegevens (artikel 57, 1.,
  4. v)AVG).2 21. De Geschillenkamer oordeelt in dat opzicht dat artikel 58 WOG elke persoon de mogelijkheid geeft om een klacht in te dienen, op voorwaarde dat hij er voldoende belang bij heeft overeenkomstig voormelde bepalingen van de AVG. 22. De voorwaarde is wel dat de klager blijkt geeft van een voldoende belang. Dienaangaande wijst de Geschillenkamer erop dat op basis van de stukken van het dossier onmiskenbaar vaststaat dat de persoonsgegevens van de klager werden aangewend door de verweerder voor het bouwen en trainen van de datamodellen waarop de dienst ‘Gepersonaliseerde kortingen’ is gebaseerd, hetwelk precies het voorwerp uitmaakt van de klacht. De vaststelling door de verweerder dat naar aanleiding van de uitoefening van het recht van bezwaar door de klager de datamodellen werden aangepast zodanig dat de huidige 1 Parl. doc., Kamer van Volksvertegenwoordigers, 2016-2017, DOC 54 2648/001, p.40 (opmerking bij artikel 58 van het oorspronkelijke wetsontwerp). 2 In haar beslissing van 8 juni 2020 heeft de Geschillenkamer reeds onder zeer stringente voorwaarden toegelaten dat een ander dan de betrokkene een klacht indient (Beslissing ten gronde 30/2020, gepubliceerd op de website van de GBA). Beslissing ten gronde 46/2024 — 6/16 modellen niet meer zijn gebaseerd op de gegevens van de klager, is daarbij volstrekt irrelevant. Het loutere feit dat de persoonsgegevens van de klager niet meer zijn opgenomen in het geheel van persoonsgegevens waarop de modellen zullen worden gebaseerd en getraind en het recht op verzet van de klager werd ingewilligd alvorens de klacht werd ingediend, heeft geenszins tot gevolg dat de verweerder kan beweren dat de klager geen belang zou hebben bij het indienen van de klacht en diens klacht louter erop gericht is om het algemeen belang van de andere klanten te vrijwaren. Niet alleen werden de persoonsgegevens van de klager pas verwijderd uit de dataset waarop de modellen worden getraind nadat deze daartoe zelf het initiatief had genomen en zijn recht van bezwaar had uitgeoefend, maar daarnaast kan ook niet worden ontkend door de verweerder dat de persoonsgegevens van de klager wel degelijk werden verwerkt en de klager aldus belang heeft om de rechtsgrond voor deze gegevensverwerking te betwisten. De loutere vaststelling dat de verweerder in de actuele situatie de persoonsgegevens van de klager niet meer verwerkt voor het bouwen van de datamodellen op basis waarvan de gepersonaliseerde kortingen worden aangeboden, wijzigt hieraan niets en impliceert aldus geenszins dat de klager actueel niet meer over een belang zou beschikken.
  5. b)Rechten van verdediging en beginselen van behoorlijk bestuur 23. De verweerder haalt aan dat de kennisgeving door de Geschillenkamer dat de betreffende klacht werd aanhangig gemaakt zonder daarbij de wetsartikelen te vermelden die mogelijks zouden zijn geschonden, tot gevolg heeft dat de beginselen van behoorlijk bestuur en de rechten van verdediging ten aanzien van de verweerder zijn geschonden. 24. Uit de conclusies ingediend door de verweerder, waarbij op accurate wijze wordt ingegaan op elk van de door de klager aangehaalde punten, blijkt echter dat de klacht en de mogelijke inbreuken die hem ten laste worden gelegd door de klager, van bij aanvang duidelijk waren voor de verweerder. 25. Bovendien wijst de Geschillenkamer erop dat de procedurele waarborgen onverkort moeten worden nageleefd en indien er mogelijk al sprake zou zijn geweest van benadeling van de verweerder door de wijze waarop deze in kennis werd gesteld van de klacht en de hem ten laste gelegde inbreuken, dit nadeel volledig is opgeheven in het vervolgtraject 3 waardoor geen sprake kan zijn van ook maar enige schending van de beginselen van behoorlijk bestuur. De door de verweerder opgeworpen procedurele elementen hebben niet tot gevolg dat de rechten van verdediging zijn geschonden, aangezien de verweerder de kans heeft gekregen om zijn argumentatie volledig naar voor te brengen door middel van de conclusie 3 Zie in dit verband: Beslissing ten gronde 18/2020 van 28 april 2020; Beslissing ten gronde 71/2020 van 30 oktober 2020; Beslissing ten gronde 133/2021 van 2 december 2021. Beslissing ten gronde 46/2024 — 7/16 van antwoord. Daarenboven heeft de verweerder zijn recht op tegenspraak ten volle kunnen uitoefenen tijdens de hoorzitting van de Geschillenkamer. De verweerder heeft aldus geen enkel nadeel ondervonden en de rechten van verdediging zijn aldus wel degelijk gerespecteerd.
  6. c)Rechtsgrond 26. Volgens de klager dient het gebruik van de transactiegegevens van de klanten van de verweerder voor het bouwen en trainen van modellen die aangewend worden voor het aanbieden van gepersonaliseerde kortingen voor diensten en producten van derde partijen te worden beschouwd als een verwerking voor een ander doeleinde dan het oorspronkelijke doeleinde bestaande uit de afhandeling van transacties, namelijk het uitvoeren en registreren van betalingen. Dit brengt de klager tot het besluit dat de verweerder de voor de verwezenlijking van het initiële doeleinde verkregen transactiegegevens aanwendt voor een ander, onverenigbaar doeleinde. 27. De Geschillenkamer gaat na in hoeverre de verweerder de transactiegegevens van klanten kan gebruiken voor het bouwen van datamodellen op basis waarvan vervolgens gepersonaliseerde kortingen worden aangeboden. 28. De Geschillenkamer stelt voorop dat de verwerking van de transactiegegevens van klanten voor het bouwen van datamodellen een verwerking vormt voor een nieuw doeleinde, aangezien uit geen enkel stuk aanwezig in het dossier blijkt dat reeds bij de inzameling van de transactiegegevens, dus op het ogenblik van het aangaan van de klantrelatie, informatie omtrent dit doeleinde werd verstrekt. Artikel 13.1.
  7. c)AVG vereist immers dat voordat wordt begonnen met de verwerkingsactiviteiten de betrokkene wordt geïnformeerd over de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, met inbegrip van de rechtsgrond. Het bouwen van datamodellen voor commerciële doeleinden vormt een doeleinde dat niet ter kennis werd gebracht aan de klanten, waaronder de klager, op het moment van het aangaan van de klantenrelatie. Uit de klacht blijkt dat de klager niet op de hoogte werd gesteld van dit doeleinde bij het aangaan van de klantrelatie met de verweerder, hetwelk ook niet wordt ontkend door de verweerder. De verweerder beweert wel dat het gebruik van de transactiegegevens in de datamodellen als een verwerking moet worden beschouwd die niet onverenigbaar is met de oorspronkelijke doeleinden in de zin van artikel 5.1.
  8. b)AVG. 29. In de privacyverklaring van de verweerder die dateert van 2 februari 2017 is opgenomen dat de verweerder de transactiegegevens van haar klanten ook gebruikt om haar klanten beter te leren kennen en te kunnen bedienen voor alle marketingdoeleinden en commerciële doeleinden, zoals opgesomd in de privacyverklaring. Daarbij wordt expliciet verwezen naar Beslissing ten gronde 46/2024 — 8/16 het doeleinde dat de verweerder nastreeft om als bedrijf te kunnen functioneren, alsook naar het doeleinde om aan direct marketing te doen voor de eigen bank- en verzekeringsactiviteiten van de verweerder en ook voor deze activiteiten van partners van de verweerder die producten of diensten aanbieden in de bank- en verzekeringssector. Op basis hiervan kan de Geschillenkamer vaststellen dat het hergebruik van de transactiegegevens op dat moment beperkt blijft tot de commerciële activiteiten die rechtstreeks verband houden met het aanbod van producten en diensten binnen de banken verzekeringssector4. 30. De privacyverklaring van 1 februari 2019 vermeldt dat de transactiegegevens worden gebruikt voor de bouw van analytische datamodellen voor commerciële doeleinden5, ook ditmaal beperkt tot de bank- en verzekeringsactiviteiten². 31. De Geschillenkamer stelt vast dat in ieder geval vanaf het ogenblik van de privacyverklaring van 1 september 2019 het bouwen van datamodellen met commercieel oogmerk de context van de bank- en verzekeringsproducten en -diensten overstijgt, vermits vanaf dat ogenblik wordt vermeld dat datamodellen worden gemaakt om gepersonaliseerde kortingen voor producten en diensten van derde partijen aan te bieden aan de klanten van de verweerder. Dit vormt een nieuw doeleinde dat is te onderscheiden van het aanvankelijke doeleinde, namelijk het uitvoeren en registreren van betalingen. De Geschillenkamer gaat na of dit nieuwe doeleinde al dan niet als verenigbaar kan worden beschouwd met het aanvankelijke doeleinde zoals die ter kennis werd gebracht bij het aangaan van de klantrelatie met de klager. 32. Overeenkomstig artikel 5.1.
  9. b)AVG kan de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria opgenomen in artikel 6.4. AVG en overweging 50 AVG 6 dient aldus te worden nagegaan of de verdere verwerking, in casu het bouwen van datamodellen voor het aanbieden van gepersonaliseerde kortingen voor diensten en producten van derde partijen, al dan niet verenigbaar is met de initiële verwerking bestaande uit de uitvoering en registratie van betalingen ten behoeve van de klager. De Geschillenkamer komt tot het besluit dat de klager 4 […] 5 […] 6 Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. Beslissing ten gronde 46/2024 — 9/16 zijn persoonsgegevens en transactiegegevens aan de verweerder heeft toevertrouwd binnen het kader van zijn contractuele relatie met de bank (zijnde de verweerder) waarop hij als klant beroep doet voor de afwikkeling van zijn bankzaken en er zich geenszins redelijkerwijs aan kon verwachten dat de bank diezelfde gegevens zou aanwenden, zonder dat klager zich hiertegen kan verzetten, om datamodellen te trainen die de bank- en verzekeringsactiviteiten van de verweerder overstijgen en die er louter op zijn gericht producten of diensten van derden die helemaal geen verband houden met de activiteiten van de verweerder aan te bieden. 33. Bovendien kan de aanvullende argumentatie van de verweerder dat het intern analyseren van data en het bouwen van datamodellen in casu kan worden gelijkgesteld met een verwerking voor onderzoeksdoeleinden of statistische doeleinden in de zin van artikel 5.1
  10. b)AVG waardoor de betreffende verdere verwerking niet als onverenigbaar met de oorspronkelijke doeleinden kan worden beschouwd, niet overtuigen en dus niet tot een ander besluit leiden. Artikel 5.1
  11. b)AVG viseert de verdere verwerking met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden 7, waarbij deze doeleinden op zichzelf staan. Het door de verweerder nagestreefde doeleinde is niet ingegeven vanuit wetenschappelijke, historische of statistische overwegingen. Het bouwen van de datamodellen is niet gericht op enig wetenschappelijk, historisch of statistisch doel als einddoel (bv. publicatie van de resultaten in wetenschappelijke tijdschriften), maar worden daarentegen enkel en alleen gebouwd voor een commercieel doel, namelijk het beschikken over modellen die het aanbieden van gepersonaliseerde kortingen van derden kan faciliteren. 34. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking, zodat er een afzonderlijke rechtsgrond is vereist opdat het bouwen van datamodellen met het oogmerk producten of diensten van derden aan te bieden als rechtmatig zou kunnen worden bestempeld. 35. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere verwerking zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een rechtsgrond bestaat. Voor onverenigbare verdere verwerkingen dient te worden 7 Artikel 5.1
  12. b)AVG: Persoonsgegvens moeten:
  13. a)[…]
  14. b)voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”); […] Overweging 50 AVG. […] De verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, moet als een met de aanvankelijke doeleinden verenigbare rechtmatige verwerking worden beschouwd. […] Beslissing ten gronde 46/2024 — 10/16 teruggevallen op artikel 6.1. AVG en overweging 50 AVG. In overweging 50 AVG 8 is opgenomen dat een afzonderlijke rechtsgrond is vereist voor de verwerking van persoonsgegevens voor andere doeleinden die niet verenigbaar zijn met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Die afzonderlijke rechtsgronden op basis waarvan een verwerking, met inbegrip dus van onverenigbare verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn bepaald in artikel 6.1. AVG. 36. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in artikel 6.1. AVG kunnen worden ingeroepen door de verweerder teneinde de verdere verwerking van de persoonsgegevens die betrekking hebben op de klager te rechtvaardigen. 37. De verweerder zelf beroept zich op het gerechtvaardigd belang, de rechtsgrond zoals opgenomen in artikel 6.1
  15. f)AVG dewelke hem zou toelaten over te gaan tot de gegevensverwerking die het voorwerp uitmaakt van de klacht, zijnde het bouwen van datamodellen voor de dienst “gepersonaliseerde kortingen”. 38. Overeenkomstig artikel 6.1
  16. f)AVG en de rechtspraak van het Hof van Justitie van de Europese Unie (hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(
  17. n)aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”9). 39. Teneinde zich conform artikel 6.1
  18. f)AVG te kunnen beroepen op de rechtmatigheidsgrond van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te tonen dat: 1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); 2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en 8 Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. […] 9 HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 40. Beslissing ten gronde 46/2024 — 11/16 3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”). 40. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van oordeel dat het bouwen van datamodellen teneinde de klanten van de verweerder gepersonaliseerde kortingen aan te bieden op producten en diensten van derden moet worden beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het laat de verweerder toe een gelijkaardige dienst ter beschikking te stellen van haar klanten, net zoals andere banken die ook kortingen onder de vorm van cashbacks toekennen. Het bouwen van het datamodel waarvoor de verweerder de transactiegegevens van de klanten, waaronder dus ook deze van de klager, gebruikt is erop gericht gepersonaliseerde kortingen aan te bieden, hetwelk deel uitmaakt van het zich positioneren op de markt. Het uitgangspunt van de verweerder is aldus het verwerven van inzicht in de dienstverlening aan haar klanten waarbij wordt ingespeeld op maatschappelijke evoluties en tendensen zoals digitalisering en personalisering van de dienstverlening en diversificatie van het serviceaanbod, hetwelk is ingegeven vanuit een commercieel belang. Dergelijk commercieel belang kan een gerechtvaardigd belang zijn overeenkomstig overweging 47 AVG10 en wordt ook ondersteund in Advies 06/2014 van de Groep Gegevensbescherming Artikel 2911. Er wordt bijgevolg voldaan aan de eerste voorwaarde vervat in artikel 6.1,
  19. f)AVG. 41. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende verwerking voor de betrokkenen. 42. Hierbij dient in overweging te worden genomen dat data-analyse van de transactiegegevens voor het trainen van modellen een noodzakelijk instrument vormt om het uiteindelijk 10 Overweging 47 vermeldt dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Direct marketing is aldus een voorbeeld van een commercieel belang dat als gerechtvaardigd belang wordt beschouwd.. Zie eveneens: het arrest van het Europees Hof van Justitie van 29 juli 2019 (case -40/17 Fashion ID) 11 Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG: “Het feit dat de voor de verwerking verantwoordelijke een dergelijk gerechtvaardigd belang heeft bij de verwerking van bepaalde gegevens, houdt niet in dat hij kan vertrouwen op artikel 7, onder f), als rechtsgrond voor de verwerking. De rechtvaardigheid van het belang van de voor de verwerking verantwoordelijke is slechts een beginpunt, een van de elementen die overeenkomstig artikel 7, onder f), moeten worden geanalyseerd. Of artikel 7, onder f), kan worden gebruikt, hangt af van de uitkomst van de afweging die daarop volgt. Ter illustratie: een voor de verwerking verantwoordelijke kan een gerechtvaardigd belang hebben om de voorkeuren van zijn klanten te weten te komen, zodat hij aanbiedingen beter kan personaliseren en, uiteindelijk, producten en diensten kan bieden die beter voldoen aan de behoeften en wensen van zijn klanten. Gelet hierop kan artikel 7, onder f), een geschikte rechtsgrond zijn voor sommige soorten marketingactiviteiten, zowel online als offline, mits er passende waarborgen bestaan (waaronder een bruikbaar mechanisme waarmee overeenkomstig artikel 14, onder
  20. b)verzet kan worden ingesteld tegen een dergelijke verwerking, zoals zal worden aangetoond in afdeling III.3.6 Het recht op verzet en verder).”[eigen onderlijning] Beslissing ten gronde 46/2024 — 12/16 beoogde doel, namelijk het aanbieden van digitale toepassingen voor het aanbieden van gepersonaliseerde kortingen aan klanten van de verweerder, te kunnen realiseren. De datamodellen vormen een noodzakelijke tussenstap tussen enerzijds de transactiegegevens als dusdanig en anderzijds het aanbod van gepersonaliseerde kortingen via digitale weg. Zonder het opstellen van datamodellen kunnen de kortingen immers niet op gepersonaliseerde wijze worden aangeboden via een digitale toepassing. Dit leidt tot het besluit dat ook aan de tweede voorwaarde van artikel 6.1
  21. f)AVG is voldaan. 43. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1,
  22. f)AVG - de zogenaamde “afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”12. 44. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc M5A-ScaraA” van 11 december 201913, waarin het stelt: “Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn of haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van het geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan verwachten”. 45. De Geschillenkamer gaat na of het belang van de verweerder in verhouding staat tot de impact die het heeft op de fundamentele rechten en vrijheden van de betrokkenen, waaronder de klager. ln dit verband is het essentieel een onderscheid te maken tussen enerzijds de fase van het bouwen of trainen van datamodellen zelf, en anderzijds de fase van het operationeel aanbieden van gepersonaliseerde kortingen via digitale toepassingen die gebruik maken van de modellen gebouwd in de vorige fase. 46. Op basis van de stukken aanwezig in het dossier stelt de Geschillenkamer vast dat de werkwijze van de verweerder in het kader van het bouwen van de modellen conceptueel en voor een groot deel een toepassing vormt van van Fase 1 in Figuur 1 zoals opgenomen onder aanbeveling 18 van het Big Data Rapport14. Voor wat betreft dit aspect in het bijzonder is de Geschillenkamer van oordeel dat het binnen het normale verwachtingspatroon van de klager valt dat de verweerder zijn transactiegegevens gebruikt - behoudens verzet van de klager - om datamodellen te trainen (zonder deze verder operationeel te gebruiken voor het 12 Overweging 47 AVG. 13 HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58. 14 https://www.gegevensbeschermingsautoriteit.be/publications/big-data-rapport.pdf Beslissing ten gronde 46/2024 — 13/16 aanbieden van gepersonaliseerde kortingen, waarvoor toestemming wordt gevraagd). De verweerder mag hierbij enkel gegevens verwerken waarbij zoveel mogelijk identificatoren van betrokkenen zijn verwijderd om een model, een algoritme, te trainen zonder dat dit model in deze fase in een operationele context wordt toegepast op geïdentificeerde personen. Er mogen bovendien nooit pogingen worden ondernomen om – als dat nog mogelijk zou zijn na het verwijderen van zoveel mogelijk identificatoren van betrokkenen – de personen in de trainingset te heridentificeren. Ook zijn volgens verweerder de resulterende modellen enkel en alleen algoritmen die geen persoonsgegevens meer bevatten, en de Geschillenkamer heeft geen bewijs van het tegendeel. Daarbij dient ook in rekening te worden gebracht dat op geen enkel ogenblik persoonsgegevens van klanten worden doorgegeven aan derden. Daarenboven blijkt uit geen enkel stuk dat er bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG in de datamodellen worden verwerkt. De Geschillenkamer is dan ook van oordeel dat de impact op de klager dus uitermate gering is en de verwerking van zijn persoonsgegevens tot een minimum is beperkt in die zin dat zijn gegevens weliswaar worden hergebruikt, maar in de fase van het bouwen van de modellen geen aanleiding geven tot het aanbieden van gepersonaliseerde kortingen indien de klager daartoe niet zelf actief toestemming verleent. Bovendien kan de klager ook altijd zijn recht van bezwaar uitoefenen tegen het gebruik van zijn gegevens voor het bouwen van de modellen voor het aanbieden van gepersonaliseerde kortingen van derden in de zin van art. 21 AVG. 47. Voor wat betreft het aanbod van gepersonaliseerde kortingen voor producten en diensten van derden aan geïdentificeerde klanten in een operationele context (zie Fase 2 in Figuur 1 zoals opgenomen onder aanbeveling 18 van het Big Data Rapport) beroept de verweerder zich immers uitdrukkelijk op artikel 6.1
  23. a)AVG als afzonderlijke rechtsgrond, zodat bij gebrek aan toestemming de klager geen verdere gevolgen ondervindt van het gebruik van zijn transactiegegevens in het datamodel dat louter als een tussenstap dient te worden beschouwd voor het uiteindelijk beoogde doel, het aanbod van gepersonaliseerde kortingen. Hierdoor wordt verzekerd dat enkel de klanten van de verweerder die voorafgaand hebben ingestemd en er uitdrukkelijk voor hebben geopteerd om van de dienst “gepersonaliseerde kortingen” gebruik te willen maken, een zeker voordeel genieten hetwelk door de verweerder wordt mogelijk gemaakt door het hergebruik van de transactiegegevens van haar klanten in de uitwerking van datamodellen. 48. Het geheel van bovenstaande elementen brengt de Geschillenkamer tot het besluit dat ook aan de derde voorwaarde is voldaan en de verweerder zich dus terecht beroept op de rechtsgrond van artikel 6.1
  24. f)AVG voor de bouw van datamodellen met het oog op het aanbod van gepersonaliseerde kortingen voor producten en diensten van derden, waardoor deze onverenigbare verdere verwerking als rechtmatig moet worden beschouwd. Beslissing ten gronde 46/2024 — 14/16 49. Daarenboven heeft de verweerder voldaan aan de transparantieplicht (artikel 5.1
  25. a)AVG juncto artikel 12.1 AVG) doordat niet alleen de privacyverklaring op 1 september 2019 werd aangepast, maar ook door zich rechtstreeks te richten tot haar klanten en ook tot de klager. Deze mochten op 21 september 2019 een brief ontvangen waarin deze werden geïnformeerd over de verscheidene aspecten opgenomen in artikel 13.1 AVG middels verwijzing naar de aangepaste privacyverklaring, dit naar aanleiding van de voorbereiding van en dus voorafgaand aan de lancering van het aanbod van gepersonaliseerde kortingen van derde partijen. De klager wordt daarbij ook gewezen op de mogelijkheid tot uitoefening van het recht van bezwaar, waarvan hij ook gebruik heeft gemaakt op 22 september 2019 en waaraan de verweerder tijdig en op passende wijze overeenkomstig artikel 12 AVG juncto artikel 21 AVG gevolg heeft gegeven door op 30 september 2019 te bevestigen dat zijn bezwaar werd geregistreerd en dat zijn gegevens niet langer zullen worden gebruikt voor het bouwen van modellen. 50. Het feit dat de verweerder in diezelfde brief van 30 september 2019 aangeeft dat om technisch-organisatorische redenen deze werkwijze pas kan worden toegepast na verloop van één maand doet hieraan geen afbreuk. Zoals de verweerder aanhaalt in de conclusies en zoals ook blijkt uit het Big Data Rapport 15 is het trainen van datamodellen een complex proces dat enige tijd vergt. De Geschillenkamer beschouwt de termijn van een maand als redelijk om het bezwaar van de klager te implementeren. 51. Een laatste punt dat de klager aankaart, is dat hij reeds eerder te kennen heeft gegeven aan de verweerder dat hij geen “informatie op maat” wenst te ontvangen, maar dat de feiten die aanleiding geven tot de klacht aantonen dat de verweerder in weerwil daarvan toch zijn persoonsgegevens gebruikt voor het bouwen van modellen voor het aanbieden van gepersonaliseerde kortingen van derden. De verweerder toont in de conclusie en bijhorende stukken aan dat er een duidelijk onderscheid is tussen enerzijds de bouw van datamodellen en anderzijds “informatie op maat”, bestaande uit reclame op maat met betrekking tot de dienstverlening binnen de bank- en verzekeringssector. Het betreft de klassieke, gepersonaliseerde direct marketing waarvoor de verweerder de voorafgaande toestemming (artikel 6.1
  26. a)AVG) vraagt en dit op basis van een transparante uiteenzetting van wat “informatie op maat” precies inhoudt. Uit het verweer en de bijhorende privacyverklaring van 2 februari 2017, alsmede deze van 1 februari 2019 blijkt dat de verweerder heeft gehandeld in overeenstemming met artikel 5.1
  27. a)AVG juncto artikel 12.1 AVG. Met betrekking tot de “Informatie op maat” heeft de klager zijn initieel verleende toestemming ingetrokken. De Geschillenkamer stelt vast dat de klager deze intrekking van toestemming met betrekking tot “Informatie op maat” niet kan doortrekken naar “de bouw van datamodellen voor gepersonaliseerde kortingen van derden” die, zoals hierboven 15 https://www.gegevensbeschermingsautoriteit.be/publications/big-data-rapport.pdf Beslissing ten gronde 46/2024 — 16/16 Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 16. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.17, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 16 17 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.