Beslissing ten gronde nr. 48/2022

1/75 Geschillenkamer Beslissing ten gronde 48/2022 van 4 april 2022 Deze beslissing werd gedeeltelijk vernietigd ten aanzien van de eerste verweerder en geheel vernietigd ten aanzien van de tweede verweerder door het arrest 2022/AR/560&564 van het Marktenhof dd. 7 december 2022 Dossiernummer : DOS-2020-02823 Betreft: Temperatuurmeting en verwerking van bijzondere categorieën van persoonsgegevens in Brussels Airport in het kader van Covid-19 De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Romain Robert en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De verweerders : - Brussels Airport Company NV (“BAC”), met maatschappelijke zetel . gevestigd te Auguste Reyerslaan 80 - 1030 Schaarbeek en met . ondernemingsnummer 0890.082.292, vertegenwoordigd door Meester . Peter Van Dyck, kantoorhoudend te Tervurenlaan 268A – 1150 Brussel, hierna “de eerste verweerder”; en Beslissing ten gronde 48/2022 - 2/75 - Ambuce Rescue Team NV (“B-Art”), met maatschappelijke zetel gevestigd te Bijkhoevelaan 8 - 2110 Wijnegem en met ondernemingsnummer 0878.991.927, vertegenwoordigd door Meester Evelien Delbeke, kantoorhoudend te Natiënlaan 237 – 8300 Knokke, hierna “de tweede verweerder”. I. Feiten en procedure 1. Op 17 juni 2020 wordt naar aanleiding van berichtgeving in de pers op grond van artikel 20, §1, 1° WOG door het Algemeen Secretariaat van de Gegevensbeschermingsautoriteit (hierna: GBA) een vragenlijst gericht aan de eerste verweerder met betrekking tot het gebruik van warmtecamera’s in Brussels Airport voor de meting van de lichaamstemperatuur van passagiers in het kader van Covid-19 en de mogelijke hieraan verbonden verwerking(

1. en)van persoonsgegevens. Meer bepaald bleek uit de voormelde berichtgeving dat sinds 15 juni 2020 de lichaamstemperatuur van zowel aankomende als vertrekkende passagiers op de luchthaven Brussels Airport werd gemeten door middel van een systeem van warmtecamera’s. 2. Per e-mail en brief van 29 juni 2020 antwoordt de eerste verweerder op de door de GBA gestelde vragen. 3. Per e-mail van 6 juli 2020 stelt het Algemeen Secretariaat van de GBA een aantal bijkomende vragen aan de eerste verweerder met betrekking tot de in diens voormelde antwoorden vermelde rechtsgrond voor de verwerking(
2. en)van persoonsgegevens in het kader van de temperatuurmeting (art. 6 AVG). 4. Op 9 juli 2020 beslist het Directiecomité van de Gegevensbeschermingsautoriteit op grond van artikel 63, 1° WOG om een dossier aanhangig te maken bij de Inspectiedienst aangezien het ernstige aanwijzingen vaststelde dat de temperatuurcontrole op de luchthaven Brussels Airport in het kader van Covid-19 aanleiding zou kunnen geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens. 5. Per aangetekende brief en e-mail van 27 juli 2020 richt de Inspectiedienst op grond van artikel 66, §1, 3° WOG een schriftelijke vraag om bijkomende informatie en documentatie aan de eerste verweerder in verband met de voormelde verwerkingsactiviteit. 6. Per brief en e-mail van 14 augustus 2020 maakt de eerste verweerder zijn antwoorden op voormelde vragen over aan de Inspectiedienst. Beslissing ten gronde 48/2022 - 3/75 7. Op 19 januari 2021 maakt de Inspectiedienst overeenkomstig artikel 91, §2 WOG zijn inspectieverslag over aan de voorzitter van de Geschillenkamer, waardoor de Geschillenkamer wordt gevat op grond van artikel 92, 3° WOG. In zijn verslag doet de inspectiedienst vaststellingen met betrekking tot: - de toepasselijkheid van de AVG (art. 2 AVG); - de kwalificatie van de verwerkingsverantwoordelijke(
3. n)(art. 4.7 AVG); - de inachtneming van de proportionaliteits- en de noodzakelijkheidsvereiste (art. 5.1 c), 6.1
4. c)en
5. e)en art. 9.2 AVG); - de grond voor de rechtmatigheid van de verwerking (art. 6 AVG); - het naleven van de informatie- en transparantieplicht (art. 12, 13 en 14 AVG); - het verrichten van een gegevensbeschermingseffectbeoordeling (art. 35 AVG); en - de tussenkomst van de functionaris voor gegevensbescherming (art. 38 en 39 AVG). 8. Op 19 februari 2021 beslist de Geschillenkamer op grond van de artikelen 95, §1, 1°, en 98 WOG dat het dossier gereed is voor behandeling ten gronde. 9. Per brief van 19 februari 2021 worden de eerste en tweede verweerder in kennis gesteld van het feit dat het dossier gereed is voor behandeling ten gronde en worden deze tevens op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van zowel de eerste als de tweede verweerder werd daarbij vastgesteld op 2 april 2021. 10. Op 2 april 2021 ontvangt de Geschillenkamer de conclusie van antwoord van de eerste en de tweede verweerder. 11. Per brief van 6 juli 2021 worden de eerste en de tweede verweerder op grond van artikel 52 van het reglement van interne orde uitgenodigd voor een hoorzitting voor de Geschillenkamer. 12. Op 8 september 2021 worden de eerste verweerder en de tweede verweerder overeenkomstig artikel 53 van het reglement van interne orde gehoord door de Geschillenkamer. 13. Op 30 september 2021 wordt overeenkomstig artikel 54 van het reglement van interne orde het proces-verbaal van de hoorzitting aan de eerste en de tweede verweerder overgemaakt. Beslissing ten gronde 48/2022 - 4/75 14. Op 5 oktober 2021 maakt de eerste verweerder zijn opmerkingen betreffende voormeld proces-verbaal van verhoor over aan de Geschillenkamer, dewelke zij mee opneemt in haar beraad. 15. Op 6 oktober 2021 maakt de tweede verweerder zijn opmerkingen betreffende voormeld proces-verbaal van verhoor over aan de Geschillenkamer, dewelke zij mee opneemt in haar beraad. 16. Op 9 februari 2022 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 17. Op 25 februari 2022 ontvangt de Geschillenkamer de reactie van de eerste verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. 18. Op 2 maart 2022 ontvangt de Geschillenkamer de reactie van de tweede verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. II. Motivering II.1. Voorafgaandelijke beschouwingen 19. De Geschillenkamer wijst er vooreerst op dat onderhavige beslissing betrekking heeft op een verwerking van persoonsgegevens in het kader van de Covid-19-pandemie. 20. In het kader van deze gezondheidscrisis werden en worden maatregelen genomen die nooit eerder geziene verwerkingen van (bijzondere categorieën van) persoonsgegevens met zich meebrengen. 21. De Geschillenkamer begrijpt, gelet op de noodtoestand, de hoogdringendheid waarmee sommige van deze maatregelen dienden te worden genomen door de bevoegde overheden en instanties en dienden te worden geïmplementeerd door de betrokken verwerkingsverantwoordelijken alsook de moeilijkheden die hiermee gepaard gingen. Er dient evenwel op te worden gewezen dat zulks evenwel geen afbreuk doet aan het feit dat de naleving van de vereisten van de AVG en de andere Beslissing ten gronde 48/2022 - 5/75 persoonsgegevensbeschermingswetgeving, die een essentiële bescherming vormen voor de rechten en de vrijheden van de betrokkenen, maximaal dient te worden gewaarborgd. 22. De Geschillenkamer wijst erop dat het toezicht van de Gegevensbeschermingsautoriteit op de technologische, commerciële of andere ontwikkelingen 1 en de voorafgaande adviezen van het Kenniscentrum geen afbreuk doen aan de plicht van de verwerkingsverantwoordelijken om de vigerende wetgeving na te leven en dat zij, bij gebrek hieraan, door de Geschillenkamer kunnen worden gesanctioneerd. II.2. Identificering van de litigieuze verwerking(
6. en)en de toepasselijkheid van de Algemene Verordening Gegevensbescherming (AVG) A. Vaststellingen Inspectiedienst 23. Uit de stukken van het dossier en het verslag van het onderzoek van de Inspectiedienst blijkt dat de litigieuze verwerking bestaat uit een temperatuurcontrole die, vanaf 15 juni 2020, dagelijks tussen 4u en 22u, in het kader van de Covid-19-pandemie werd uitgevoerd voor de ingang van de luchthaventerminal van de luchthaven Brussels Airport en dit in twee stappen2: 1. Eerstelijnscontrole: aan de hand van thermische camera’s wordt de lichaamstemperatuur van de passagiers gemeten. Wanneer de camera’s een verhoogde temperatuur aangeven (i.e. >= 38° Celsius), wordt de betrokken passagier in eerste instantie verzocht om nogmaals door de camera lane te lopen. In geval van een tweede vaststelling van verhoogde temperatuur, wordt de passagier begeleid naar een erkend medisch dienstverlener op de luchthaven. 2. Tweedelijnscontrole: in een apart medisch kabinet wordt de temperatuur van de betrokkene nogmaals gemeten, ditmaal door middel van een manuele (oor)thermometer. Ook wordt de passagier onderzocht op symptomen van Covid-19 door een medische deskundige van B-Art en wordt een vragenlijst overlopen. Indien de medische dienstverlener op basis hiervan beslist dat de passagier symptomatisch is voor Covid-19, wordt deze de toegang tot de terminal ontzegd. De betrokkene ontvangt hierbij een document waarin de vaststellingen van de medische deskundige worden opgenomen. 1 2 Art. 10 WOG. Uit de stukken neergelegd door de eerste verweerder blijkt verder dat kinderen jonger dan 6 jaar tot de terminal toegelaten werden ongeacht hun lichaamstemperatuur (cf. Temperature Check Process Description, p. 2). Beslissing ten gronde 48/2022 - 6/75 24. In zijn verslag van het onderzoek stelt de Inspectiedienst vast - op basis van de bevragingen van de eerste verweerder - dat de eerstelijnscontrole inhoudt dat de passagiers worden gefilmd door middel van een camera lane en hierbij identificeerbaar zijn. De eerste verweerder preciseert in dit verband: “De gefilmde personen zijn kort identificeerbaar voor de operator tijdens het proces. Dit wordt beperkt tot het minimum, op elk gegeven moment zijn enkel de laatste 15 beelden beschikbaar zodat de operator de juiste personen kan vragen een tweede maal door de camera lane te wandelen indien de eerste meting een verhoogde lichaamstemperatuur vaststelt.3” 25. Uit de stukken overgemaakt door de eerste verweerder (cf. o.a. stuk 3), blijkt meer bepaald dat de camerabeelden van de thermische camera’s meteen worden omgezet in tijdelijk beschikbare foto’s, waarbij voor elke voorbijkomende passagier wordt weergegeven of de temperatuur “groen” (< 38°Celsius) of “rood” (>= 38° Celsius) is. Dit statisch beeld van elke betrokkene – omkaderd in groen dan wel rood (afhankelijk van de vastgestelde lichaamstemperatuur) – wordt tijdelijk in het vluchtige geheugen (RAM) van de camerawerkstations opgeslagen. 26. De eerste verweerder verduidelijkt in zijn antwoorden verstrekt per brief van 29 juni 2020 dat het bedienen van deze warmtecamera’s en de daarbij horende software werd uitbesteed aan de bewakingsfirma X, waarmee de eerste verweerder reeds sinds 2017 een raamovereenkomst had afgesloten betreffende de toegangs- en beveiligingscontroles op Brussels Airport. De eerste verweerder voegt bij zijn antwoorden als bijlage de met X hiertoe overeenkomstig artikel 28 AVG afgesloten verwerkersovereenkomst. 27. In zijn verslag van het onderzoek stelt de Inspectiedienst, op basis van de bevragingen van de eerste verweerder en tweede verweerder, vast dat de tweedelijnscontrole inhoudt dat de betrokkenen bij wie een lichaamstemperatuur van 38 graden Celsius of meer werd vastgesteld tijdens de eerstelijnscontrole, enerzijds, werden onderworpen aan een manuele temperatuurcontrole en, anderzijds, een vragenlijst – opgesteld door een arts-specialist werd overlopen met de betrokkene teneinde een risicoanalyse te maken betreffende de kans op een Covid-19-besmetting. Deze vragenlijst werd ingevuld en ondertekend door de betrokkene, bijgestaan door een verpleegkundige.4 Volgens de vaststellingen van de Inspectiedienst alsook de verklaringen van de partijen, werden voormelde vragenlijsten op papier (d.m.v. een systeem van ringmappen) bewaard en werd de hieruit afgeleide informatie eveneens digitaal opgeslagen voor de finaliteit van het contactonderzoek. 5 3 Brief eerste verweerder d.d. 29/06/2020, p. 3, punt 8 (stukken 2 en 3). 4 Cf. stuk 25 (brief B-Art d.d. 9/10/2020), p. 3. 5 Cf. verslag van het onderzoek, p. 7. Beslissing ten gronde 48/2022 - 7/75 28. Uit de toelichting van de tweede verweerder blijkt meer bepaald dat de volgende gegevens werden verzameld van de betrokkenen van wie het risico op een Covid-besmetting als zijnde “hoog” werd ingeschat op basis van de voormelde risicoanalyse 6: 29. De tweede verweerder preciseert hieromtrent dat deze gegevens worden opgenomen in een Excel-bestand, beveiligd door middel van een wachtwoord. Meer bepaald licht deze toe dat per dag alle registraties in één bestand worden opgenomen, waarna dit Excel-bestand aan het eind van de dag per e-mail wordt doorgestuurd naar een interne medewerker van de tweede verweerder, die deze gegevens opneemt in een tweede (eveneens met wachtwoord beveiligde) bestand, waarin alle gegevens – verzameld sinds het begin van de registraties – worden gecentraliseerd. 30. Overeenkomstig de verklaringen van de eerste verweerder en diens conclusie van antwoord werden de door de tweede verweerder in dit verband uitgevoerde risicobeoordelingen en beheerde gegevens op geen enkel moment gedeeld met de eerste verweerder.7 B. Verweermiddelen partijen 31. Zowel de eerste als tweede verweerder gaan in hun contacten met de Inspectiedienst alsook in hun conclusies van antwoord akkoord met de vaststelling van de Inspectiedienst dat de temperatuurcontrole een verwerking van persoonsgegevens in de zin van de AVG inhoudt. 8 C. Beoordeling Geschillenkamer 32. Overeenkomstig artikel 2.1 AVG is de Verordening van toepassing op “de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”. 6 Cf. stuk 25 (brief B-Art d.d. 9/10/2020), addendum procedure tweedelijnscontrole (p. 10). 7 Conclusie van antwoord eerste verweerder, p. 6, randnr. 4. 8 Conclusie van antwoord eerste verweerder, p. 9, randnr. 13 ; conclusie van antwoord tweede verweerder, p. 7, randnr. 15. Beslissing ten gronde 48/2022 - 8/75 33. Artikel 4.1 AVG definieert een persoonsgegeven als zijnde “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”. 34. Artikel 4.2 AVG definieert een verwerking als zijnde “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”. 35. De Geschillenkamer stelt op basis van bovenstaande vast dat de litigieuze bewerkingen inderdaad een verwerking van persoonsgegevens in de zin van artikel 2.1 AVG inhouden en bijgevolg onder het toepassingsgebied van de AVG en onder de bevoegdheid van de GBA valt. 36. De Geschillenkamer stelt meer bepaald vast dat er sprake is van twee verwerkingen van persoonsgegevens: - enerzijds, de verwerking waarbij, in het kader van de eerstelijnscontrole, de foto’s van de voorbijgaande passagiers tijdelijk worden opgeslagen. De opslag van foto’s waarbij de betrokkenen identificeerbaar zijn, ook al is deze opslag zeer kort, dient als een verwerking van persoonsgegevens te worden beschouwd. Het betreft een “bewerking” in de zin van voormeld artikel 4.2 AVG, namelijk het verzamelen en de (kortstondige) opslag “met betrekking tot persoonsgegevens of een geheel van persoonsgegevens” (m.n. ”een of meer elementen die kenmerkend zijn voor de fysieke (…) identiteit van die natuurlijke persoon” in de zin van voormeld artikel 4.1 AVG – i.e. een foto). Bovendien betreft de verwerking door middel van thermische camera’s een geautomatiseerde verwerking van persoonsgegevens in de zin van artikel 2 AVG. - anderzijds, de verwerking waarbij, in het kader van de tweedelijnscontrole, de schriftelijke vragenlijsten bevattende persoonsgegevens van de betrokken passagiers, worden bijgehouden in mappen alsook digitaal en Beslissing ten gronde 48/2022 - 9/75 dit voor een bewaartermijn van vijf jaar. Voor zover deze gegevens in mappen worden opgeslagen, betreft het een verwerking van persoonsgegevens die bestemd zijn te worden opgenomen in een bestand in de zin van artikel 2 AVG (cf. de Excel-bestanden bijgehouden door de tweede verweerder). Voor zover zij digitaal worden opgeslagen valt de verwerking per definitie binnen de reikwijdte van de AVG. 37. Wat betreft de duur van de voormelde verwerkingen, wordt vastgesteld dat de temperatuurcontrole werd opgestart op 15 juni 2020 en stopgezet voor aankomende passagiers in oktober 2020. In januari 2021 werd deze temperatuurcontrole ook voor vertrekkende passagiers afgeschaft. Verder blijkt uit de stukken van het dossier en de verklaringen van de partijen dat de persoonsgegevens verzameld in het kader van de tweedelijnscontrole gedurende vijf jaar worden bewaard. 38. De Geschillenkamer stelt tevens vast dat (bepaalde van) de verwerkte persoonsgegevens bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG betreffen, en meer bepaald gegevens over de gezondheid van de betrokkenen. Vooreerst stelt de Geschillenkamer namelijk vast dat zowel tijdens de eerste- als tweedelijnscontrole de lichaamstemperatuur wordt gemeten en verwerkt. Verder worden in het kader van de tweedelijnscontrole bijkomende gegevens betreffende de gezondheid van de betrokkenen verzameld en verwerkt. De Geschillenkamer verwijst in dit verband naar de vragenlijsten (ter bepaling van het risicoprofiel van de betrokkene) die de tweede verweerder aan de Inspectiedienst overmaakte.9 Hieruit blijkt onder meer dat vragen worden gesteld betreffende de medische voorgeschiedenis van de betrokkene alsook omtrent eventuele symptomen die deze vertoont of recent heeft vertoond en/of aandoeningen waaraan deze lijdt of heeft geleden. II.3. Identificering van de verwerkingsverantwoordelijke(
7. n)in de zin van artikel 4.7 AVG Vaststellingen van de Inspectiedienst 9 Brief 9 oktober 2020 van tweede verweerder + bijlagen. Beslissing ten gronde 48/2022 - 10/75 39. Op basis van de contacten met de eerste en tweede verweerder en analyse van de opgevraagde stukken, stelt de Inspectiedienst de verantwoordelijkheid voor de betrokken verwerkingen van persoonsgegevens in casu als volgt vast10: 40. De Inspectiedienst komt meer bepaald tot de conclusie dat in het kader van de uitoefening van de Hoofdovereenkomst (die eind 2018 werd afgesloten en betrekking heeft op “dienstverlening in geval van medische urgentie’ en bijgevolg in se geen betrekking heeft op de litigieuze verwerking) de eerste en de tweede verweerder als gezamenlijke verwerkingsverantwoordelijken dienen te worden beschouwd. Voor wat betreft de beide (temperatuur)screenings stelt de Inspectiedienst evenwel vast dat de eerste verweerder als verwerkingsverantwoordelijke dient te worden beschouwd en de tweede verweerder als verwerker. Voor wat betreft het luik ‘contactonderzoek’ wordt de tweede verweerder als verantwoordelijke voor de verwerking gekwalificeerd door de Inspectiedienst. 41. De Inspectiedienst baseert zich voor bovenstaande analyse op meerdere elementen, met name de vaststellingen dat : 1) de eerste- en de tweedelijnscontrole een identiek doeleinde dienen : de Inspectiedienst stelt vast dat de doeleinde van beide controles haar grond vindt in de uitvoering van een element van het Protocol, met name Hoofdstuk 2 van het Protocol: “Opmeten van de lichaamstemperatuur van passagiers”. De Inspectiedienst preciseert hierbij dat de eerstelijnscontrole een technische controle is en de tweedelijnscontrole een medische controle doch dat beiden hetzelfde doel dienen. 11 2) de bewerkingen in de eerste en tweede lijn dezelfde soort persoonsgegevens in het licht van artikel 9.1 AVG betreffen : de Inspectiedienst stelt namelijk vast dat in zowel de eerste- als de tweedelijnscontrole een opname van de lichaamstemperatuur beoogt 10 Verslag van het onderzoek, p. 8-14. 11 Verslag van het onderzoek, p. 10. Beslissing ten gronde 48/2022 - 11/75 (hetzij via thermische camera’s, hetzij via een manuele oorthermometer) en dat elke opname van de lichaamstemperatuur als een verwerking van persoonsgegevens dient te worden beschouwd. De Inspectiedienst komt tot de conclusie dat het in beide gevallen om een verwerking van persoonsgegevens in de zin van artikel 9.1 AVG gaat.12 3) de bewerkingen werden uitgevoerd in dezelfde context en op dezelfde locatie (Brussels Airport). 4) de juridische doelstelling van de Hoofdovereenkomst gesloten tussen de eerste en de tweede verweerder (m.n. “diensten medische urgentie”) echter niet gelijk te stellen is met de verwerking die plaatsvindt in het kader van de addenda (m.a.w. in het kader van de temperatuurcontrole). De Inspectiedienst stelt vast dat dit een uitbreiding betreft van het voorwerp van de oorspronkelijke overeenkomst en dat het doel en de middelen voor de nieuwe opdracht beschreven in de addenda werden bepaald door de eerste verweerder op basis van het Protocol. De Inspectiedienst komt tot de conclusie dat voor deze verwerking – in tegenstelling tot wat het geval is voor de dienstverlening beschreven in punt 2.3 van de Hoofdovereenkomst – de eerste en tweede verweerder bijgevolg niet als volledig aparte verwerkingsverantwoordelijken kunnen worden gekwalificeerd. Verweermiddelen van de partijen 42. De eerste verweerder betwist de voormelde analyse van de Inspectiedienst met betrekking tot de verwerkingsverantwoordelijkheid. Deze is immers van oordeel dat hijzelf en de tweede verweerder als afzonderlijke verwerkingsverantwoordelijken dienen te worden beschouwd en dit omwille van, enerzijds, de contractuele afspraken tussen de eerste en tweede verweerder en, anderzijds, omwille van een aantal feitelijke omstandigheden. 43. Ten eerste verwijst de eerste verweerder in dit verband naar artikel 19 van de Hoofdovereenkomst gesloten tussen de eerste en de tweede verweerder, dat stelt dat deze laatste aansprakelijk is voor de verwerking van zijn eigen persoonsgegevens. 13 44. De eerste verweerder stelt dat uit voormelde blijkt dat beide partijen contractueel zijn overeengekomen dat hij en de tweede verweerder verwerkingsverantwoordelijken voor hun eigen verwerking. 12 Ibid. 13 Conclusie van antwoord eerste verweerder, p. 10-11, randnr. 16. optreden als aparte Beslissing ten gronde 48/2022 - 12/75 45. De eerste verweerder betwist de stelling van de Inspectiedienst volgens dewelke de Hoofdovereenkomst niet relevant zou zijn voor de litigieuze verwerking en artikel 19 van deze overeenkomst bijgevolg niet van toepassing zou zijn. Zij verwijst in dit verband onder meer naar artikel 4 van het addendum bij de Hoofdovereenkomst, dat stelt: “Voor de uitbreiding van de Opdracht met COVID-19 temperatuurscreening verwerkt de Opdrachtnemer persoonlijke gegevens voor eigen doeleinden en onder eigen verantwoordelijkheid. Deze gegevens worden op geen enkele wijze doorgegeven aan [de eerste verweerder]. [De eerste verweerder] draagt hierin geen enkele verantwoordelijkheid.” 46. De eerste verweerder stelt dat uit bovenstaande contractuele afspraken blijkt dat beide partijen overeenkwamen dat de tweede verweerder in het kader van de temperatuurscreening zelf de doeleinden en de middelen van zijn verwerking bepaalt en dat de eerste verweerder op geen enkel moment toegang krijgt tot de gegevens die door de tweede verweerder worden verwerkt. 47. Ten tweede verwijst de eerste verweerder naar een aantal feitelijke omstandigheden die er volgens hem toe leiden dat beide partijen als afzonderlijke verwerkingsverantwoordelijken dienen te worden beschouwd, met name dat: - de verwerkingen uitgevoerd door de eerste verweerder, enerzijds, en de tweede verweerder, anderzijds, twee afzonderlijke verwerkingen uitmaken aangezien de doeleinde van de betroffen verwerkingen niet dezelfde is. De eerste verweerder is namelijk van oordeel dat het doel van de verwerking die deze zelf uitvoert, het uitvoeren van een technische controle is met betrekking tot de lichaamstemperatuur van de betrokkenen, daar waar het doel van de verwerking door de tweede verweerder bestaat in een individuele medische beoordeling. - de tweede verweerder zelf de middelen bepaalde voor de door hem uitgevoerde verwerking in het kader van de tweedelijnscontrole. Teneinde dit te staven, verwijst de eerste verweerder naar : o Artikel 2 van het addendum dat stelt : “In het kader van de maatregelen tegen het COVID-19 virus wordt de Opdracht uitgebreid met hercontrole lichaamstemperatuur (2e lijn), overlopen medische vragenlijsten en afleveren van een risk assessment document aan de passagier (…)”. o Het feit dat de tweede verweerder geheel onafhankelijk de voormelde medische vragenlijsten opstelde. Beslissing ten gronde 48/2022 - 13/75 Het gegeven dat de tweede verweerder gezondheidsgegevens verwerkt o onder de verantwoordelijkheid van een beroepsbeoefenaar xxx Het privacybeleid gepubliceerd op de website van de tweede verweerder, o waarin wordt gesteld: “(…) Om een kwaliteitsvolle dienstverlening aan te kunnen bieden, zal [de tweede verweerder] daarom persoonsgegevens verwerken als verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (…)”. - de eerste verweerder op geen enkel moment toegang had tot de gezondheidsgegevens die de tweede verweerder verwerkte.14 - de tweede verweerder in zijn briefwisseling met de Inspectiedienst initieel zelf heeft gesteld als afzonderlijke verwerkingsverantwoordelijke te moeten worden gekwalificeerd.15 48. De tweede verweerder is, in zijn conclusie van antwoord en in overeenstemming met de analyse van de Inspectiedienst en is van oordeel dat hij als verwerker dient te worden gekwalificeerd en de eerste verweerder verantwoordelijke voor de verwerking is. Uit de stukken van het dossier blijkt evenwel dat de tweede verweerder voorheen wel aangaf zelf eveneens als verwerkingsverantwoordelijke te dienen worden beschouwd. De tweede verweerder geeft zulks ook zelf uitdrukkelijk aan in zijn conclusie van antwoord. 16 49. Ten eerste stelt de tweede verweerder in zijn conclusie van antwoord dat vaststaat dat de verwerking van persoonsgegevens die deze uitvoert/uitvoerde in het kader van de tweedelijnscontrole rechtstreeks voortvloeit uit de opdracht die hem door de eerste verweerder is uitbesteed. De tweede verweerder preciseert dat de eerste verweerder zijn taak van algemeen belang heeft uitbesteed aan eerstgenoemde en dat de uitbestede opdracht drieledig was: (
8. i)het uitvoeren van een manuele temperatuurcontrole, (
9. ii)het overlopen van een medische vragenlijst en (iii) het afleveren van een risk assessment document aan de betrokkene. 50. Ten tweede stelt de tweede verweerder dat het feit dat een partij een zekere beoordelingsmarge heeft in het kader van de bepaling van de middelen, niet verhindert dat deze partij alsnog als verwerker wordt gekwalificeerd. De tweede verweerder stelt dat bepalend is of de partij al dan niet een wezenlijk middel vaststelt en dat enkel indien 14 Conclusie van antwoord eerste verweerder, p. 13, randnr. 20. 15 Conclusie van antwoord eerste verweerder, p. 13, randnr. 21. 16 Conclusie van antwoord tweede verweerder, p. 11-12, randnr. 26 e.v. Beslissing ten gronde 48/2022 - 14/75 deze een of meerdere wezenlijke middelen mee vaststelt, sprake kan zijn van verwerkingsverantwoordelijkheid. De tweede verweerder verwijst in dit verband naar de adviezen van de Groep Gegevensbescherming Artikel 29. 51. De tweede verweerder wijst er in dit verband op dat deze de volgende elementen niet zelf heeft bepaald : de aard van de verwerkte gegevens, de categorieën van betrokkenen, de frequentie van de verwerkingen, de ontvangers van de verwerkte gegevens. Beoordeling door de Geschillenkamer 52. De Geschillenkamer stelt vast dat geen volledige eensgezindheid bestaat tussen de partijen wat betreft de verwerkingsverantwoordelijkheid. 53. Overeenkomstig artikel 4.7 AVG dient als verwerkingsverantwoordelijke te worden beschouwd: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. 54. Overeenkomstig het Advies 1/2010 van de Groep 29 en de Richtsnoeren 07/2020 van de EDPB betreffende de concepten van verwerkingsverantwoordelijke en verwerker, aangenomen op 7 juli 2021, dient de hoedanigheid van de betrokken verwerkingsverantwoordelijke(
10. n)in concreto te worden beoordeeld.17 55. Voormelde richtsnoeren wijzen erop dat de verwerkingsverantwoordelijkheid kan worden bepaald bij wet of kan voortvloeien uit feitelijke omstandigheden. Deze stellen dat de bepalingen van een contract tussen de partijen eveneens kunnen helpen bij de kwalificatie van de verwerkingsverantwoordelijke, doch dat deze niet bepalend zijn. 18 56. Het Hof van Justitie van de Europese Unie heeft in zijn rechtspraak eveneens bevestigd dat voor de identificatie van de verwerkingsverantwoordelijke(
11. n)er een feitelijke beoordeling moet zijn welke natuurlijke persoon of rechtspersoon “het doel” en “de middelen” van de verwerking vaststelt of vaststellen, waarbij ter bescherming van de betrokkenen een ruime definitie aan het begrip wordt gegeven.19 17 Zie Groep 29, advies 1/2010 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” (versie 2.0), 16 februari 2010 (WP 169), zoals verduidelijkt door de GBA in een nota “Overzicht van de begrippen verwerkingsverantwoordelijke/verwerker in het licht van de Verordening (EU) nr. 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (AVG) en enkele specifieke toepassingen voor vrije beroepen zoals advocaten”. 18 EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0, 7 juli 2021, p. 3. 19 HvJ-EU, 13 mei 2014, Google Spain, C-131/12, par. 34. Beslissing ten gronde 48/2022 - 15/75 57. De Geschillenkamer stelt in casu vast dat de verwerkingsverantwoordelijkheid betreffende de litigieuze verwerkingen niet formeel bij wet is vastgesteld. 58. Er kan enkel worden vastgesteld dat het Protocol Commerciële Luchtvaart van 11 juni 2020 – dat een reeks sanitaire maatregelen bevat voor de luchtvaartsector in het kader van de strijd tegen Covid-19 - stelt dat voormelde maatregelen worden toegepast “door elke luchthavenuitbater en elke luchtvaartmaatschappij (…)”. Overeenkomstig artikel 3 van het Koninklijk Besluit van 21 juni 2004 betreffende de toekenning van de exploitatielicentie van de luchthaven Brussel-Nationaal is de eerste verweerder de uitbater van voormelde luchthaven. 59. De Geschillenkamer stelt verder vast dat - zoals opgeworpen door de partijen (cf. supra) - de overeenkomsten gesloten tussen beide verweerders een aantal bepalingen bevatten die betrekking hebben op de verwerkingsverantwoordelijkheid. 60. Vooreerst wordt vastgesteld dat de Hoofdovereenkomst gesloten tussen de partijen op 12 december 2018 in zijn artikel 19 het volgende bepaalt: “[de tweede verweerder] is aansprakelijk voor de verwerking van zijn eigen persoonsgegevens in het kader van de uitvoering van haar opdracht en moet beschouwd worden als de verantwoordelijke van deze persoonsgegevens, met uitzondering van de persoonsgegevens die de Opdrachtnemer verwerkt in rapporten aan de Opdrachtgever in opdracht van de Opdrachtgever. (…)”. 61. Wat betreft deze bepaling, is de Inspectiedienst van oordeel dat deze voor de litigieuze verwerking irrelevant is en niet in aanmerking kan worden genomen, daar deze enkel betrekking heeft op het initiële voorwerp van het contract gesloten tussen de partijen (i.e. ‘dienstverlening in geval van medische urgentie’) en dat deze dateert van vóór de overeenkomsten tussen de partijen betreffende de litigieuze verwerking (i.e. de temperatuurmeting in het kader van Covid-19). De Inspectiedienst concludeert dat de juridische doelstelling van de Hoofdovereenkomst (zoals omschreven in artikel 2.3 van deze overeenkomst) en van de addenda (m.b.t. de tweedelijnscontrole i.h.k.v. de temperatuurscreening) niet dezelfde is en dat laatstgenoemde qua doeleinde, opzet en middelen verschillend is. De Geschillenkamer sluit zich aan bij de analyse van de Inspectiedienst volgens dewelke de litigieuze verwerkingen los dienen te worden gezien en beoordeeld van de initiële overeenkomsten tussen de partijen, doch stelt vast dat ook de specifieke addenda – afgesloten in het kader van de litigieuze verwerkingen – gelijkluidende bepalingen bevatten omtrent de verwerkingsverantwoordelijkheid. 62. Zoals hierboven gesteld, werd de temperatuurscreening door de eerste en tweede verweerder inderdaad geregeld via een addendum gevoegd bij de Hoofdovereenkomst. Dit addendum werd door de partijen ondertekend op 29 juli 2020 en werd viermaal verlengd (cf. Beslissing ten gronde 48/2022 - 16/75 stukken 11 t.e.m. 12D eerste verweerder). Voormeld addendum stelt in zijn artikel 4 (“Data Privacy”): “Voor de uitbreiding van de Opdracht met COVID-19 temperatuurscreening, verwerkt de Opdrachtnemer [= de tweede verweerder] persoonlijke gegevens voor eigen doeleinden en onder eigen verantwoordelijkheid. Deze gegevens worden op geen enkele wijze doorgegeven aan [de eerste verweerder]. [De eerste verweerder] draagt hierin geen enkele verantwoordelijkheid”.20 63. De Geschillenkamer stelt bijgevolg vast dat niet enkel in de Hoofdovereenkomst van december 2018 doch eveneens in de addenda waarbij de opdracht toegekend aan de tweede verweerder wordt uitgebreid in het kader van de Covid-19-temperatuurscreening, de partijen contractueel overeenkwamen dat de tweede verweerder optreedt als verwerkingsverantwoordelijke voor de persoonsgegevens die deze verzamelt en verwerkt in het kader van voormelde screening. 64. Er dient evenwel op te worden gewezen dat, overeenkomstig de Richtsnoeren van de EDPB alsook de rechtspraak van het Hof van Justitie, de concepten “verwerkingsverantwoordelijke” en “verwerker” functionele concepten zijn en dat contractuele bepalingen enkel een indicatie (kunnen) zijn voor wat betreft de verwerkingsverantwoordelijkheid doch dat de bepaling hiervan eerder een feitelijke dan een formele beoordeling betreft en dat dient te worden vastgesteld welke partij in concreto het doel en de middelen van de litigieuze verwerking in de zin van artikel 4.7 AVG vaststelde.21 65. De Geschillenkamer gaat bijgevolg over tot de identificatie van de verwerkingsverantwoordelijke(
12. n)op basis van de concrete omstandigheden van de situatie zoals deze zich in casu aandient. 66. In dit verband stelt de Geschillenkamer vooreerst vast dat de Federale Overheidsdienst Mobiliteit en Vervoer na overleg en samenwerking via workshops met de eerste verweerder Hoofdstuk 2 (“Opmeten van de lichaamstemperatuur van passagiers”) van het Protocol Commerciële Luchtvaart opstelde, waarin de temperatuurscreening in de luchthavens werd voorzien. De eerste verweerder nam bijgevolg actief deel aan de totstandkoming van voormeld protocol. Volgens de bewoordingen van Hoofdstuk 2 rustte de taak tot het ten uitvoer leggen van de hierin voorziene maatregelen bovendien op de eerste verweerder, die uitbater is van de luchthaven Brussels Airport (art. 3 KB juni 2004, cf. supra). De tekst van het 20 21 Protocol Commerciële Luchtvaart 11 juni 2020, p. 5. De Geschillenkamer onderlijnt. EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, versie 2.0, 7 juli 2021, p. 3 (Executive Summary) en p. 9, randnr. 12: “(…) the terms of a contract can help identify the controller, although they are not decisive in all circumstances” en “The concepts of controller and processor are functional concepts: they aim to allocate responsibilities according to the actual roles of the parties. This implies that the legal status of an actor as either a “controller” or a “processor” must in principle be determined by its actual activities in a specific situation, rather than upon the formal designation of an actor as being either a “controller” or “processor” (e.g. in a contract).” Beslissing ten gronde 48/2022 - 17/75 Protocol stelt in dit verband meer bepaald dat “(…) de in onderhavig document omschreven sanitaire maatregelen [dienen] te worden toegepast door elke luchthavenuitbater en elke luchtvaartmaatschappij (…)”.22 In dit protocol wordt eveneens het doel van de litigieuze verwerking vastgesteld (zij het op enigszins ambigue wijze, in samenlezing met het bepaalde in het Ministerieel Besluit van 5 juni 2020; cf. infra), namelijk: “de heropstart van de activiteiten m.b.t. de commerciële luchtvaart passagiers”. 67. Ten tweede blijkt uit de stukken van het dossier23, dat het de eerste verweerder was die mogelijke leveranciers contacteerde en onderhandelingen startte voor een “fever screening solution”. Dit geldt zowel voor de verwerking van persoonsgegevens in het kader van de eerstelijnscontrole als wat betreft de verwerking in de tweedelijnscontrole. De eerste verweerder contacteerde met name voor de screening door middel van thermische camera’s (eerste lijn) X en sloot een addendum af bij de reeds bestaande raamovereenkomst met laatstgenoemde in dit verband. Wat betreft de tweedelijnscontrole verzocht de eerste verweerder de tweede verweerder om hem een offerte over te maken voor de uitvoering van deze controle. Uit de stukken van het dossier blijkt dat de eerste verweerder reeds het doel en de middelen van de opdracht en, bijgevolg, de litigieuze verwerkingen had vastgesteld. Uit de uitwisselingen tussen de eerste en tweede verweerder en de offertes opgesteld door de tweede verweerder blijkt dat de opdracht waarvoor een offerte werd opgevraagd, bestond uit “Hercontrole lichaamstemperatuur (2e lijn) + overlopen medische vragenlijst + afleveren ‘risk assessment’ document aan de passagier”.24 68. De eerste verweerder initieerde bijgevolg de litigieuze verwerkingen en besliste om een gedeelte van de temperatuurscreening uit te besteden aan de tweede verweerder, nadat deze vooraf een marktverkenning had uitgevoerd en een offerte had gevraagd bij de tweede verweerder. 69. Evenwel blijkt uit analyse van het dossier dat eveneens de tweede verweerder - voor wat betreft de verwerking van persoonsgegevens in het kader van de tweedelijnscontrole minstens enkele middelen in de zin van artikel 4.7 AVG autonoom vaststelde. 70. Vooreerst kan zulks worden afgeleid uit het feit dat, in zijn antwoorden aan de Inspectiedienst, de tweede verweerder stelt dat “de concrete uitwerking van de opdracht, uitbesteed door [de 22 De Geschillenkamer onderlijnt. 23 Zie ook Verslag van het onderzoek Inspectiedienst, p. 9. 24 Cf. brief tweede verweerder d.d. 30/09/2020 aan de Inspectiedienst (bijlagen 3 en 4; offertes). Beslissing ten gronde 48/2022 - 18/75 eerste verweerder], is bepaald door [de tweede verweerder] (…) Deze interne procedures i.v.m. de litigieuze verwerking staan in appendix 11”.25 71. Uit de analyse van voormelde appendix 11 blijkt dat in voormelde interne procedure door de tweede verweerder onder meer werd bepaald welke precieze categorieën van persoonsgegevens zouden worden verzameld in de tweedelijnscontrole en op welke manier en onder welke vorm deze zouden worden bijgehouden (punt 8.1.3.1 van de procedure) en dat een doorgifte zou plaatsvinden van de naam en het vluchtnummer van personen met een hoog risicoprofiel aan de desbetreffende luchtvaartmaatschappij (punt 8.1.3.4). Uit de stukken van het dossier alsook de hoorzitting blijkt dat de tweede verweerder in dit verband op eigen initiatief het advies van de Nationale Raad van de Orde der Artsen inwon teneinde bevestiging te krijgen omtrent het feit dat dit geen schending van het beroepsgeheim uitmaakte. Verder blijkt uit het dossier eveneens dat de tweede verweerder bepaalde welke bewaartermijn zou worden toegepast voor de in de tweedelijnscontrole verzamelde en verwerkte persoonsgegevens. Meer bepaald stelt deze hieromtrent in zijn schrijven d.d. 9 oktober 2020 aan de Inspectiedienst: “De gezondheidsgegevens moeten op basis van Belgische wetgeving verplicht worden bewaard (plicht tot het bijhouden van een dossier, Wet Patiëntenrechten). Er is beslist om een bewaartermijn te voorzien van 5 jaar, een termijn die is ingegeven vanuit de mogelijkheid van de passagier om een aansprakelijkheidsvordering in te stellen tegen [de tweede verweerder] (5 jaar is de verjaringstermijn van een buitencontractuele vordering)”.26 72. Er dient op te worden gewezen dat de EDPB in zijn richtlijnen het onderscheid maakt tussen “essentiële” en “niet-essentiële middelen” van de verwerking en hieromtrent stelt dat de bepaling van de essentiële middelen inherent is aan het statuut van verwerkingsverantwoordelijke. Als essentiële middelen omschrijft de EDPB middelen die nauw verbonden zijn met het doel en reikwijdte van de verwerking en die bepalend zijn bij de vraag of de betrokken verwerking rechtmatig, noodzakelijk en proportioneel is. De EDPB geeft hierbij een niet-exhaustieve oplijsting van voorbeelden van essentiële middelen van de verwerking van persoonsgegevens en vermeldt hierbij: het type van persoonsgegevens dat wordt verwerkt, de bewaartermijn van de verzamelde en verwerkte persoonsgegevens en de categorieën van betrokkenen. Niet-essentiële middelen hebben volgens de EDPB eerder betrekking op louter praktische aspecten van de verwerking, zoals de keuze voor het gebruik van een welbepaald type hard- of software 25 Ibid, p. 2. 26 Cf. brief tweede verweerder d.d. 09/10/2020 aan de Inspectiedienst, p. 5. of de meer gedetailleerde Beslissing ten gronde 48/2022 - 19/75 beveiligingsmaatregelen.27 De bepaling van deze laatste elementen kan overeenkomstig de voormelde richtlijnen eveneens aan een verwerker worden overgelaten. 73. Uit bovenstaande blijkt dat de tweede verweerder inderdaad (in tegenstelling tot wat deze stelt in zijn conclusie van antwoord) een aantal essentiële middelen van de verwerking vaststelde of hierover minstens zeggenschap had – meer bepaald de exacte categorieën van persoonsgegevens verzameld via de medische vragenlijsten, de bewaartermijn en (één van) de ontvangers van de gegevens (namelijk de vliegtuigmaatschappijen). Dit is logisch in de zin dat de tweedelijnscontrole een medisch karakter heeft en wordt uitgevoerd door zorgpersoneel, daar waar de eerstelijnscontrole eerder technisch van aard is en wordt uitgevoerd door bewakingspersoneel. 74. De Geschillenkamer stelt evenwel vast dat ook de eerste verweerder, naast het doel (cf. supra), essentiële middelen van de litigieuze verwerkingen vaststelde en dit eveneens wat betreft de verwerkingen in de tweedelijnscontrole. Uit de stukken van het dossier blijkt namelijk dat bij het opvragen van een bestek aan de tweede verweerder reeds vaststond hoe de tweedelijnscontrole zou worden uitgevoerd, met name aan de hand van een controle van de lichaamstemperatuur, een medische vragenlijst en het afleveren van een risk assessment document aan de betrokkene. 75. De eerste verweerder stelt wat betreft de verwerking in het kader van de tweedelijnscontrole in zijn conclusie van antwoord dat de door de tweede verweerder verwerkte persoonsgegevens niet aan hem werden overgemaakt (randnr. 20). Hij stelt niet op de hoogte te zijn van hoeveel medische vragenlijsten werden ingevuld en hoe (lang) deze worden bewaard. De EDPB wijst er in zijn Richtlijnen 7/2020 evenwel op dat een verwerkingsverantwoordelijke niet noodzakelijk toegang dient te hebben tot de verwerkte persoonsgegevens teneinde als verantwoordelijke voor de verwerking te worden gekwalificeerd.28 Voormeld argument van de eerste verweerder kan bijgevolg niet worden aanvaard. 76. Op grond van bovenstaande komt de Geschillenkamer ten eerste tot het besluit dat de eerste verweerder dient te worden beschouwd als enige verwerkingsverantwoordelijke in de zin van artikel 4.7 AVG voor de verwerking van persoonsgegevens in de eerstelijnscontrole, namelijk de meting van de lichaamstemperatuur van passagiers door middel van thermische camera’s en het 27 EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, versie 2.0, 7 juli 2021, p. 15, randnr. 40. 28 EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, versie 2.0, 7 juli 2021, p. 15, Executive summary, p. 3. Beslissing ten gronde 48/2022 - 20/75 nemen en kortstondig opslaan van fotobeelden van de betrokkenen. Ten tweede stelt de Geschillenkamer vast dat de eerste en de tweede verweerder dienen te worden beschouwd als gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26.1 AVG voor de verwerking van persoonsgegevens in het kader van de tweedelijnscontrole. Deze zijn er bijgevolg in deze hoedanigheid overeenkomstig de in artikelen 5.2 en 24 AVG vervatte verantwoordingsplicht beiden toe gehouden om de naleving van de beginselen en bepalingen van de AVG te verzekeren. 77. Artikel 26.1 AVG definieert gezamenlijke verwerkingsverantwoordelijken als volgt: “wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken”. Voormelde bepaling preciseert verder dat deze op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening vast dienen te stellen, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 AVG bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijken van toepassing is. 78. In zijn richtsnoeren preciseert de EDPB met betrekking tot gezamenlijke verwerkingsverantwoordelijkheid dat deze verschillende vormen kan aannemen. Zo dient erop te worden gewezen dat de gezamenlijke bepaling van het doel en de middelen van de betrokken verwerking zowel kan gebeuren door middel van een gemeenschappelijke beslissing als kan resulteren uit convergerende beslissingen van twee of meer entiteiten met betrekking tot het doel en/of de (essentiële) middelen van de verwerking.29 79. In casu wordt vastgesteld dat er minstens sprake is van convergerende beslissingen van de eerste en tweede verweerder met betrekking tot de bepaling van het doel en de middelen van de verwerking van de persoonsgegevens verzameld in het kader van de tweedelijnscontrole. 80. De Geschillenkamer stelt tot slot vast, net zoals de Inspectiedienst in zijn verslag van het onderzoek, dat de tweede verweerder als enige verwerkingsverantwoordelijke optreedt voor wat betreft de afgeleide verwerkingsactiviteit ‘contactonderzoek’ en bijgevolg de naleving van voormelde bepalingen dient te verzekeren voor deze verwerkingsactiviteit. 29 EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, versie 2.0, 7 juli 2021, p. 19, randnr. 54. Beslissing ten gronde 48/2022 - 21/75 II.3. De naleving van het noodzakelijkheidsbeginsel en de rechtmatigheid van de verwerking (art. 5.1, 6.1
13. e)en 9.2
14. g)AVG) Vaststellingen Inspectiedienst 81. In zijn verslag van het onderzoek stelt de Inspectiedienst vast dat de eerste verweerder de noodzakelijkheidsvereisten vervat in artikelen 5.1
15. c)en 6.1
16. c)en
17. e)en 9.2 AVG schendt door de keuze om geen temperatuurcontrole uit te voeren zonder verwerking van persoonsgegevens. 82. Volgens de Inspectiedienst dient te worden nagegaan of een medische en een juridische noodzaak voorhanden is voor de verwerking. o Wat betreft de medische noodzaak, stelt de Inspectiedienst dat het niet aan de GBA toekomt zich hierover uit te spreken, doch stelt deze vast dat de medische noodzaak van de tweedelijnscontrole wordt betwist door diverse gezaghebbende bronnen. De Inspectiedienst verwijst in dit verband naar informatie op de website van de Wereldgezondheidsorganisatie (WHO) 30, naar het technisch rapport van het ECDC (European Centre for Disease Prevention and Control) van 12 juni 202031, naar de standpunten van de Franse en Nederlandse toezichthoudende autoriteiten32 en naar het gezamenlijk standpunt van de EASA en het ECDC van 30 juni 2020.33 o Wat betreft de juridische noodzaak, stelt de Inspectiedienst vooreerst dat uit de tekst van artikel 9.2
18. i)AVG volgt dat bijkomend aan de medische noodzakelijkheid (die wordt betwist) een juridische noodzakelijkheid voorhanden dient te zijn en dat deze dient te zijn voorzien in een wettelijke basis. Wat dit laatste punt betreft, is de Inspectiedienst van oordeel dat noch het Protocol noch de andere ingeroepen normen een verplichting bevatten tot het organiseren van een temperatuurcontrole in twee lijnen en dat bijgevolg niet is voldaan aan de voorwaarden van artikel 9.2
19. i)AVG (noch dat enige andere uitzonderingsgrond van toepassing is). 30 Verslag van het onderzoek, p. 17. 31 Ibid, p. 18. 32 Ibid, p. 19-20. 33 Ibid, p. 21. Beslissing ten gronde 48/2022 - 22/75 Wat betreft deze juridische noodzaak stelt de Inspectiedienst verder dat deze dient te worden beoordeeld in het licht van de criteria vervat in de rechtspraak aangaande de artikelen 8 EVRM en 22 Grondwet (cf. infra punt II.4). Verweermiddelen partijen 83. Wat betreft de noodzakelijkheid, betwist de eerste verweerder de vaststellingen van de Inspectiedienst en stelt deze dat wel degelijk is voldaan aan het noodzakelijkheidsbeginsel vervat in de artikelen 5.1, 6.1 en 9.2 AVG. De eerste verweerder stelt meer bepaald dat: ▪ op het moment van het uitvoeren van de temperatuurscreening geen (veilige) alternatieven voorhanden waren om dezelfde doelstelling te bereiken. De eerste verweerder stelt dat bijv. geen sneltesten voorhanden waren en dat een individuele manuele temperatuurcontrole wachtrijen zou veroorzaken, hetgeen een onveilige situatie zou creëren; ▪ het systeem van temperatuurcontroles in 65 andere Europese, alsook in niet-Europese, luchthavens werd gehanteerd in het kader van de bestrijding van Covid-19; ▪ de verwijzing door de Inspectiedienst naar de standpunten van de WHO en het ECDC irrelevant is, daar de eerste verweerder enkel het op hem van toepassing zijnde Protocol uitvoerde en bijgevolg geen keuze had hieromtrent; ▪ de Inspectiedienst er verkeerdelijk vanuit gaat dat hij kon opteren voor een andere controle dan een controle in twee lijnen. De eerste verweerder verwijst in dit verband naar de EASA-richtlijnen en stelt dat deze het volgende voorschrijven : “Het proces moet gericht zijn op het identificeren van passagiers met een huidtemperatuur van 38° Celsius of hoger, tenzij anders bepaald door de nationale volksgezondheidsinstanties. Bij passagiers met een verhoogde huidtemperatuur moet de thermische screening ter bevestiging ten minste één keer worden herhaald. Passagiers met een verhoogde huidtemperatuur moeten worden doorverwezen voor een secundaire evaluatie door een gezondheidsdeskundige of moeten het overeengekomen screeningsprotocol volgen”. ▪ de temperatuurscreening werd gestopt zodra deze niet langer noodzakelijk was (o.m. omwille van de vereiste negatieve Covid-testen voor vertrekkende passagiers). 84. Ook de tweede verweerder betwist – voor wat betreft de tweedelijnsscreening die hij uitvoerde - de vaststellingen van de Inspectiedienst volgens dewelke de noodzakelijkheidsvereiste zou zijn geschonden. Deze stelt meer in dit verband meer bepaald dat: ▪ uit het standpunt van de EASA (cf. supra) alsook een studie in Taiwan van 9 mei 2020 blijkt dat dit type screening 32,7% van de Covid-19-besmetting kan detecteren; Beslissing ten gronde 48/2022 - 23/75 ▪ dat de richtlijn van EASA bovendien voorschrijft dat, in geval van een temperatuurscreening via warmtecamera’s, een tweedelijnsscreening dient te worden uitgevoerd; ▪ de opdracht van de tweede verweerder er enkel inhield de tweedelijnsscreening uit te voeren en dat deze opdracht er in bestond de meting van de warmtecamera’s te controleren door, enerzijds, de lichaamstemperatuur opnieuw manueel te meten en, anderzijds, op basis van een medische vragenlijst ook andere (eventuele) symptomen te beoordelen. De tweede verweerder stelt in dit verband dat door deze tweedelijnsscreening werd vermeden dat enkel op basis van één van de mogelijke Covid19-symptomen, namelijk koorts, zou worden voortgegaan; ▪ de medische tweedelijnsscreening een waarborg biedt voor de rechten en vrijheden van de betrokkenen en kan worden gezien als een maatregel van gegevensbescherming door ontwerp; ▪ de tweedelijnsscreening noodzakelijk is voor een volledige en medisch onderbouwde beoordeling van het risicoprofiel van de passagiers. 85. Wat betreft de rechtmatigheid van de verwerking, dient te worden vastgesteld dat de eerste verweerder in zijn conclusie van antwoord niet uitdrukkelijk vermeldt op welke rechtsgrond ex artikel 6.1 AVG deze zich beroept voor de litigieuze verwerkingen. Tijdens de hoorzitting preciseert deze evenwel zich te beroepen op artikel 6.1
20. e)AVG (noodzakelijkheid om te voldoen aan een taak van algemeen belang of openbaar gezag) in combinatie met artikel 9.2
21. g)AVG als rechtmatigheids- en uitzonderingsgrond. Hij preciseert hierbij laatstgenoemde bepaling zo te interpreteren dat, naast een reden van zwaarwegend algemeen belang, eveneens een wettelijke verplichting in het lidstatelijk of Europees recht dient te worden aangetoond. 86. De eerste verweerder wijst er in dit verband ten eerste op dat krachtens artikel 9.2
22. g)AVG de verwerking van gezondheidsgegevens is toegestaan indien “de verwerking noodzakelijk is voor redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht (…).” Deze stelt dat dient te worden beschouwd dat de bestrijding van de Covid-19-pandemie onder het toepassingsgebied van voormelde bepaling valt en verwijst in dit verband naar overweging 46 AVG, dat als voorbeeld van gewichtige redenen van algemeen belang vermeldt: “(…) wanneer de verwerking noodzakelijk is voor humanitaire doeleinden, onder meer voor het monitoren van een epidemie en de verspreiding ervan (…)”. 87. Zowel de eerste als de tweede verweerder beroepen zich voor de rechtmatigheid van de verwerkingen op: Beslissing ten gronde 48/2022 - 24/75 1) het Protocol Commerciële Luchtvaart van de Minister van Mobiliteit en Vervoer d.d. 11 juni 2020. De eerste verweerder preciseert hieromtrent dat de juridische basis van voormeld protocol het Ministerieel Besluit is van 23 maart 2020 houdende dringende maatregelen om de verspreiding van het coronavirus Covid-19 te beperken (zoals meermaals gewijzigd), enerzijds, alsook de wet van 31 december 1963 betreffende de civiele bescherming (zoals vervangen door de wet van 15 mei 2007), anderzijds. De eerste verweerder vermeldt in dit verband dat de Raad van State in een arrest van 30 oktober 2020 het gebruik van voormelde normen als wettelijke basis voor het nemen van maatregelen in het kader van de bestrijding van Covid-19 heeft goedgekeurd. Met betrekking tot dit document stelt de eerste verweerder dat het doel van het protocol erin bestond de bescherming van de gezondheid van de passagiers op de luchthaven te garanderen. Hij stelt dat dit de op hem rustende verplichting bevatte tot het uitvoeren van de temperatuurcontroles de litigieuze verwerking; en 2) het KB Toekenning Exploitatierechten. De eerste verweerder wijst erop dat artikel 4 van voormeld KB bepaalt : “De houder verzekert voor de luchthaven BrusselNationaal (…) 4° het handhaven van de veiligheid en de beveiliging op de grond (…)”. De eerste verweerder stelt ertoe gehouden te zijn dit KB na te leven en argumenteert dat de enige manier waarop hij deze bepaling in het kader van de Covid-19 pandemie kon naleven, het uitvoeren van een temperatuurscreening was. Beoordeling Geschillenkamer 1 - Algemeen 88. De Geschillenkamer wijst erop dat een verwerking van persoonsgegevens enkel rechtmatig is indien deze gebeurt conform artikel 6.1 AVG. 89. Gelet op het feit dat in casu werd vastgesteld (cf. supra) dat via het screeningssysteem bovendien bijzondere categorieën van persoonsgegevens worden verwerkt - meer bepaald gegevens over de gezondheid van de betrokkenen in de zin van artikel 4.15 AVG - dienen de verwerkingsverantwoordelijken tevens aan te tonen dat één van de uitzonderingsgronden op het principiële verwerkingsverbod voor dit type van persoonsgegevens, opgesomd in artikel 9.2 AVG, toepassing vindt. Zoals de Geschillenkamer reeds eerder stelde 34, dient een verwerking van de bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG 34 Cf. Beslissing ten gronde 76/2021, randnr. https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-76-2021.pdf. 33, Beslissing ten gronde 48/2022 - 25/75 namelijk gebaseerd te zijn op artikel 9.2 AVG in samenhang gelezen met artikel 6.1 AVG. Zulks werd vastgesteld door de Europese Commissie en de EDPB 35 en wordt eveneens bevestigd in overweging 51 AVG, dat met betrekking tot de verwerking van bijzondere categorieën van persoonsgegevens stelt dat “naast de specifieke voorschriften voor die verwerking de algemene beginselen en andere regels van deze verordening [dienen] te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking”.36 2- Wat betreft de toepassing van artikel 9.2
23. g)juncto artikel 6.1
24. e)AVG in casu 90. De Geschillenkamer wijst erop dat, teneinde zich rechtsgeldig te kunnen beroepen op de uitzonderingsgrond op het verwerkingsverbod van bijzondere categorieën van persoonsgegevens vervat in artikel 9.2
25. g)AVG, de verwerkingsverantwoordelijke dient aan te tonen dat: (
26. i)een reden van zwaarwegend algemeen belang voorhanden is; (
27. ii)een grond voorhanden is in het Unierecht of het lidstatelijk recht voor de litigieuze verwerking, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene; en (iii) de litigieuze verwerking noodzakelijk is in het kader van voormelde reden van zwaarwegend algemeen belang. 91. Zoals hierboven gepreciseerd, dient voor de verwerking van bijzondere categorieën van persoonsgegevens artikel 9 te worden toegepast in samenhang met artikel 6.1 AVG. De verwerkingsverantwoordelijken stellen zich in casu te beroepen op artikel 6.1
28. e)AVG. De Geschillenkamer wijst erop dat het gebruik van de rechtmatigheidsgrond vervat in voormelde bepaling inhoudt dat de verwerkingsverantwoordelijke dient te kunnen aantonen dat:
29. i)deze belast is met een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag; en
30. ii)de betrokken verwerking noodzakelijk is voor de vervulling van voormelde taak. 35 Cf. hieromtrent GEORGIEVA, L. en KUNER, C., “Article 9. Processing of special categories of personal data” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, p. 37: “The Commission has stated that the processing of sensitive data must always be supported by a legal basis under Article 6 GDPR, in addition to compliance with one of the situations covered in Article 9