← België

Beslissing ten gronde nr. 51/2025

1/18 Geschillenkamer Beslissing ten gronde 51/2025 van 13 maart 2025 Dossiernummer : DOS-2021-04719 Betreft : Klacht wegens het vermeend verplicht aanvaarden van algemene voorwaarden De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager”; en De verweerder: Y, hierna “de verweerder”. Beslissing ten gronde 51/2025 — 2/18 I. 1. Feiten en procedure Op 16 juni 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. 2. De klager stelt in zijn klacht dat hij zijn zoon online wilde inschrijven voor het conservatorium. Aan het begin van de online inschrijvingsprocedure wordt de klager gevraagd een account aan te maken en wordt hiervoor naar de website van Z doorverwezen, een platform voor communicatie tussen de leerlingen en ouders enerzijds en de Vlaamse academies voor beeldende kunsten, muziek, woordkunst-drama en dans anderzijds, dat beheerd wordt door de verweerder. Bij het aanmaken van het account is het verplicht de algemene voorwaarden te accepteren, anders kan het account niet online worden aangemaakt. De klager begrijpt na verloop van tijd dat hij geen account heeft aangemaakt bij het conservatorium zelf maar dus wel bij Z. De klager heeft vervolgens aan de verweerder verzocht om zijn eigen persoonsgegevens te verwijderen omdat hij meent dat hij geen binding met verweerder heeft, aangezien hij enkel zijn zoon wil inschrijven in het conservatorium. In reactie hierop heeft de verweerder toegelicht welke rol zij speelt in het administratieve beheer van de inschrijvingen, in opdracht van de academie, en welke rol zij vervult als verwerkingsverantwoordelijke en verwerker van persoonsgegevens binnen het kader van Z. De klager is van mening dat er sprake is van inbreuken op de AVG en heeft daarom een klacht ingediend. 3. Op 5 juli 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 4 augustus 2021 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 7 september 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake is van: 1. een inbreuk op de artikelen 5.1.a), 5.1.b), 5.2 en 6.1 AVG; Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van: 2. een inbreuk op de artikelen 12.1, 13.1, 13.2, 14.1, 14.2, 5.2, 24.1 en 25.1 AVG; 3. een inbreuk op de artikelen 4.11), 5.1.a), 5.2, 6.1.a), 7.1 en 7.3 AVG; Beslissing ten gronde 51/2025 — 3/18 4. een inbreuk op de artikelen 30.1 en 30.3 AVG. 6. Op 24 mei 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 7. Op 24 mei 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 4 juli 2022, deze voor de conclusie van repliek van de klager op 25 juli 2022 en ten slotte deze voor de conclusie van repliek van de verweerder op 16 augustus 2022. 8. Op 25 mei 2022 vraagt verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 13 juni 2022. 9. Op 25 mei 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 10. Op 25 mei 2022 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak. 11. Op 3 juli 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Deze conclusie bevat eveneens de reactie van de verweerder omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. 12. Op 26 juli 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager, voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht en waarin de klager zijn verzoek tot gegevenswissing herhaalt. 13. Op 9 augustus 2022 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. 14. Op 13 december 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 22 januari 2025. 15. Op 22 januari 2025 wordt de verweerder gehoord door de Geschillenkamer. 16. Op 5 februari 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 17. De Geschillenkamer ontvangt vanwege de verweerder geen opmerkingen met betrekking tot het proces-verbaal. Beslissing ten gronde 51/2025 — 4/18 II. Motivering II.1. Voorwerp van de beslissing 18. De klacht betreft het feit dat de klager de algemene voorwaarden van het platform Z diende te aanvaarden om een account op het platform aan te maken enerzijds, en het feit dat zijn persoonsgegevens verwerkt werden terwijl hij zijn zoon wenste in te schrijven. Tijdens de hoorzitting kwamen deze aspecten uitgebreid aan bod. 19. De Inspectiedienst stelde verscheidene inbreuken van de AVG en de toepasselijke wetgeving inzake cookies vast. Om een doeltreffende en doelmatige handhaving van de rechten van de klager te waarborgen, beslist de Geschillenkamer om niet alle vaststellingen door de Inspectiedienst die verder gaan dan het voorwerp van de klacht te behandelen. Dit laat evenwel onverlet dat het aan de verweerder is om, waar nodig, maatregelen te nemen voor de volledige naleving van alle verplichtingen die uit de AVG voortvloeien. II.2. Identificatie van de verwerkingsverantwoordelijke 20. De vraag rijst wie als verwerkingsverantwoordelijke dient aangeduid te worden voor de verwerkingen op het platform Z. 21. In haar conclusies voert de verweerder aan dat twee relevante periodes waarin verwerkingsactiviteiten plaatsvinden onderscheiden moeten worden: enerzijds vanaf het aanmaken van een account op Z zolang het account van de betrokkene nog niet gekoppeld is aan een bepaalde school of academie en anderzijds van zodra de accountgegevens van de betrokkene gekoppeld worden aan één of meerdere scholen/academies, waardoor de school of academie onder andere de inschrijvingen kan beheren, maar ook kan communiceren met ouders en leerlingen. 22. De verweerder licht toe dat voor de eerste periode van verwerkingsactiviteiten, dus tussen de aanmaak van het account en de koppeling aan een academie, zij de verwerkingsverantwoordelijke is omdat zij bepaalt dat, als een persoon toegang wil hebben tot het platform Z, er een account aangemaakt moet worden. De verweerder bepaalt welke gegevens er worden gevraagd en doet dit niet in opdracht van de school of academie. Deze verwerkingen zijn gebaseerd op artikel 6.1.

  1. b)AVG, aldus de verweerder. 23. Zodra het account gekoppeld wordt aan de academie of school, dus tijdens de tweede periode van verwerkingsactiviteiten, verandert de positie van de verweerder van verwerkingsverantwoordelijke naar verwerker. Bijgevolg kon de verweerder zelf niet ingaan op het verzoek tot gegevenswissing van de klager aangezien zij op dat moment geen verwerkingsverantwoordelijke was voor die verwerkingen. Beslissing ten gronde 51/2025 — 5/18 24. Tijdens de hoorzitting herhaalt de verweerder dit standpunt. De verweerder preciseert dienaangaande dat er met de inrichtende macht van de school voor 165 academies een verwerkersovereenkomst werd afgesloten. Er zijn iets minder dan 165 verwerkersovereenkomsten omdat bijvoorbeeld de teken- en muziekacademie in dezelfde gemeente valt onder eenzelfde inrichtende macht, namelijk de gemeente, en dus één verwerkersovereenkomst volstaat. De verweerder benadrukt ook dat de database met inschrijvingsgegevens in de relatie tussen de school en de leerling onderscheidbaar is van de database van het Z-platform (platform voor communicatie met de leerlingen en ouders van de academies) dat enkel als een doorgeefluik fungeert. Daardoor kunnen de persoonsgegevens waarvoor de verweerder verwerkingsverantwoordelijke is enerzijds en verwerker is anderzijds gescheiden worden gehouden. 25. Enkel voor de login-gegevens van het account op het platform Z is de verweerder de verwerkingsverantwoordelijke. Zodra de betrokkene daarop inlogt om toegang te krijgen tot een academie, verstrekt de betrokkene de inschrijvingsgegevens die wettelijk nodig zijn om een inschrijving te doen bij een academie. Voor deze gegevens is de academie de verwerkingsverantwoordelijke. Er wordt ook aangestipt door de verweerder dat in geval van keuze voor een nieuwe school, de betrokkene via het bestaande account de leerling volledig opnieuw moet registreren. De verweerder stelt uitdrukkelijk dat er geen persoonsgegevens worden uitgewisseld tussen academies. De inschrijving gebeurt per academie. 26. De Geschillenkamer volgt deze uitleg en concludeert, gelet op het bovenstaande, dat de verweerder enkel voor de eerste bovenvermelde verwerking, namelijk het aanmaken van het account, verwerkingsverantwoordelijke is. Zodra het account gekoppeld is aan een school of academie, is die school of academie de verwerkingsverantwoordelijke en de verweerder de verwerker. 27. De klacht betreft het verplicht aanvaarden van de algemene voorwaarden op het platform van de verweerder om een account aan te maken, dus in de periode waarin de verweerder optreedt als verwerkingsverantwoordelijke aangezien het account nog niet gekoppeld werd aan een school of academie. II.3. Rechtmatigheid van de verwerking (artikel 5.1.a), 5.2, 6.1 AVG) 28. De klager hekelt dat hij de algemene voorwaarden van de verweerder moet accepteren om zijn zoon in te schrijven bij de academie. De Geschillenkamer zal de rechtmatigheid hiervan beoordelen. 29. De klager stelt in zijn klacht en in zijn conclusies dat hij niet akkoord is met het feit dat hij verplicht is de algemene voorwaarden van de verweerder te accepteren om zijn zoon te kunnen inschrijven in de academie. Hij stelt dat de inschrijving van zijn zoon in een academie Beslissing ten gronde 51/2025 — 6/18 niet afhankelijk mag worden gemaakt van het verplicht verstrekken van zijn eigen persoonsgegevens aan een andere verwerkingsverantwoordelijke dan de academie zelf. Zijn doel is immers om zijn zoon in te schrijven in de academie zodat hij de lessen daar kan volgen. 30. Voor wat betreft het verplicht accepteren van de algemene voorwaarden van de verweerder voor een online inschrijving, stelt de Inspectiedienst vast dat er geen sprake is van een inbreuk. Er wordt immers een overeenkomst afgesloten tussen de verwerkingsverantwoordelijke (in casu de verweerder) en de gebruiker van Z (in casu de klager), en daarvoor is de verwerking van persoonsgegevens noodzakelijk. 31. De verweerder werpt eveneens op dat het aanvaarden van algemene voorwaarden als voorwaarde voor het sluiten van een overeenkomst geen inbreuk op de AVG uitmaakt. 32. De Geschillenkamer stelt vast, zoals de verweerder aanhaalt en zoals ook werd vastgesteld door de Inspectiedienst, dat de klager aan de verweerder verwijt dat hij verplicht zou zijn om de algemene voorwaarden van de verweerder te accepteren voor de inschrijving van zijn zoon op de academie naar zijn keuze, en dat zijn eigen persoonsgegevens hiervoor verwerkt worden door de verweerder. 33. De Geschillenkamer merkt op dat de academie waar de klager zijn zoon wenst in te schrijven, net zoals alle andere academies, verenigingen en federaties, dient in te staan voor het ledenbeheer en de afhandeling van administratie. Zij kunnen beslissen om deze taken zelf uit te voeren of zij kunnen beslissen om hiervoor een beroep te doen op een gespecialiseerd bedrijf zoals de verweerder. De academie waar de klager zijn zoon wenst in te schrijven, doet voor deze taken een beroep op de diensten van de verweerder, die het platform Z heeft ontwikkeld en beheert. De verweerder biedt aldus haar diensten aan inzake ledenbeheer en administratie-afhandeling aan academies die hierop beroep willen doen. Nieuwe leden dienen eerst een account aan te maken op Z, waarna dit account gekoppeld kan worden aan de academie(
  2. s)waar zij zich willen inschrijven. De verweerder heeft eveneens toegelicht dat zij handelt in de hoedanigheid van verwerkingsverantwoordelijke voor de aanmaak van het account, aangezien zij het doel en de middelen van deze verwerking (i.e. de aanmaak van het account) bepaalt, hetgeen ook niet wordt betwist. Zodra het account gekoppeld is aan een academie, handelt de verweerder als verwerker in opdracht van die academie, die dan handelt als verwerkingsverantwoordelijke. 34. Zoals de verweerder toelicht in haar mail dd. 15 juni 2021 en in haar conclusies, is zij verwerkingsverantwoordelijke voor de verwerkingen van persoonsgegevens in het kader van de aanmaak van het account, voordat het account gekoppeld is aan de desbetreffende academie. Hieruit volgt dat indien een betrokkene, als nieuw lid bij een academie, zich online wenst in te schrijven, en dus een account aanmaakt op Z, hij een overeenkomst afsluit met de verweerder. Artikel 6.1.
  3. b)van de AVG voorziet in een rechtsgrondslag voor de verwerking Beslissing ten gronde 51/2025 — 7/18 van persoonsgegevens indien de “verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen.” 1 35. Contractuele verplichtingen jegens een betrokkene kunnen soms niet worden uitgevoerd zonder dat de betrokkene bepaalde persoonsgegevens verstrekt. 2 Indien de specifieke verwerking onderdeel uitmaakt van de verlening van de gevraagde dienst, is het in het belang van beide partijen om die gegevens te verwerken, aangezien de dienst anders niet kan worden verleend en de overeenkomst niet kan worden uitgevoerd. Zoals vereist in artikel 6.1.
  4. b)AVG dient de verwerking objectief noodzakelijk te zijn voor de uitvoering van de overeenkomst. Dit is in onderhavige zaak het geval. Het is immers noodzakelijk om de dienstige persoonsgegevens (i.e. identiteits- en contactgegevens) te verwerken bij het uitvoeren van diensten inzake ledenbeheer. De verwerking van deze gegevens stelt de verweerder in staat om haar activiteiten inzake ledenbeheer uit te oefenen zodat de academie in kwestie de ingeschreven leden kan identificeren en contacteren via het platform Z. In dit geval maakt de verwerking van de persoonsgegevens deel uit van de overeenkomst, aangezien zonder de verwerking van persoonsgegevens geen account kan aangemaakt worden die dan later gekoppeld wordt aan de academie in kwestie. Voorts wijst de Geschillenkamer erop dat het aanvaarden van algemene voorwaarden als noodzakelijke voorwaarde voor het sluiten van een overeenkomst, zoals in casu het gebruik van Z, op zich geen schending van de AVG uitmaakt. 36. Zoals ook vastgesteld door de Inspectiedienst en aangemerkt door de verweerder, wijst de Geschillenkamer op de mogelijkheid voor elke betrokkene om ‘offline’, dus via het secretariaat van de academie in kwestie, in te schrijven. Op die manier kan een inschrijving via Z voorkomen worden, indien de betrokkene dat zou wensen. 37. Voor wat betreft de aanklacht van de klager dat ook zijn persoonsgegevens worden verwerkt terwijl hij zijn zoon wenst in te schrijven, en dus zelf geen binding met de academie zou hebben, merkt de Geschillenkamer op dat de klager de vader is van de leerling. De Geschillenkamer gaat er vanuit dat de zoon op het moment van inschrijven minderjarig was en dus zelf geen rechtsgeldige overeenkomsten zou kunnen sluiten. Bovendien valt de beslissing om de zoon in te schrijven bij de academie in kwestie onder het ouderlijk gezag van de klager. Bijgevolg dient de verweerder ook de persoonsgegevens van de ouder(
  5. s)van minderjarige leerlingen te verwerken om haar dienstverlening te kunnen uitvoeren. 1 2 Zie ook overweging 44. Richtsnoeren 2/2019 betreffende de verwerking van persoonsgegevens op grond van artikel 6, lid 1, onder b), van de AVG in het kader van de verlening van onlinediensten aan betrokkenen https://edpsedpb.acc.fpfis.tech.ec.europa.eu/sites/default/files/files/file1/edpb guidelines-art 6-1-badopted after public consultation nl.pdf, randnr. 2. Beslissing ten gronde 51/2025 — 8/18 38. De Geschillenkamer merkt op dat de Inspectiedienst heeft vastgesteld dat er geen sprake is van een inbreuk op artikel 6.1.
  6. b)AVG met betrekking tot het aanmaken van het account op Z. De klager draagt geen aanwijzingen aan waaruit wel een inbreuk zou kunnen blijken. De Geschillenkamer is dan ook van oordeel dat er geen sprake is van een inbreuk op artikel 6.1.
  7. b)AVG. II.4. Artikel 12.1, 13.1, 13.2, 14.1, 14.2, 5.2, 24.1, 25.1 AVG II.4.1. Vaststelling door de Inspectiedienst 39. In uitvoering van het transparantiebeginsel uit artikel 5.1.
  8. a)AVG is het, op basis van artikel 12.1, artikel 13.1, artikel 14.1 en 14.2 AVG, noodzakelijk dat de verwerkingsverantwoordelijke, in casu de verweerder, de betrokkenen beknopte, transparante en begrijpelijke informatie verstrekt over de persoonsgegevens die verwerkt worden. In haar hoedanigheid van verwerkingsverantwoordelijke (voor het aanmaken van het account voor het gekoppeld is aan een academie) moet de verweerder de artikelen 12, 13 en 14 van de AVG ten uitvoer brengen. 40. De Inspectiedienst stelt vast dat de privacyverklaring van de verweerder niet transparant en begrijpelijk is voor de betrokkenen, hetgeen niet in overeenstemming is met artikel 12.1 AVG. Hiervoor verwijst de Inspectiedienst naar de volgende elementen: In de privacyverklaring ontbreekt een inhoudstafel met links die de betrokkenen in staat moet stellen om door te klikken naar het relevante onderdeel van de tekst onder de hoofdtitel "Privacybeleid". Deze handelswijze is volgens de Inspectiedienst niet transparant en bovendien worden de rechten van de betrokkenen op die manier niet gefaciliteerd. Vervolgens stelt de Inspectiedienst dat de privacyverklaring onduidelijk is voor de betrokkenen, aangezien de privacyverklaring niet verduidelijkt hoe de betrokkenen kunnen vaststellen welke wijzigingen er aan de privacyverklaring zijn aangebracht en wanneer deze hebben plaatsgevonden. Ook dit faciliteert de rechten van de betrokkenen niet. Tot slot wijst de Inspectiedienst erop dat de betrokkenen niet adequaat worden geïnformeerd over hoe ze een klacht kunnen indienen en wat ze daarvan kunnen verwachten. 41. Vervolgens stelt de Inspectiedienst vast dat de privacyverklaring van de verweerder eveneens onvolledig is, omdat niet alle volgens de artikelen 13 en 14 AVG verplicht te vermelden informatie in de privacyverklaring is opgenomen. De Inspectiedienst komt tot deze conclusie op basis van de volgende vaststellingen. Ten eerste merkt de Inspectiedienst op dat de privacyverklaring geen informatie bevat over wie concreet de ontvangers of categorieën van ontvangers van persoonsgegevens zijn, zoals vereist door artikel 13.1.
  9. e)AVG en artikel 14.1.
  10. e)AVG. De privacyverklaring bevat volgens het Inspectieverslag evenmin informatie over het feit of de betrokkene verplicht is de persoonsgegevens te Beslissing ten gronde 51/2025 — 9/18 verstrekken en wat de mogelijke gevolgen zijn wanneer deze persoonsgegevens niet worden verstrekt (artikel 13.2.
  11. e)AVG). Ten tweede stelt het Inspectieverslag vast dat de privacyverklaring ten onrechte vermeldt dat de betrokkene pas het recht heeft om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit nadat eerst een melding is gedaan bij de verweerder, hetgeen niet in overeenstemming zou zijn met artikel 13.2.
  12. d)AVG en artikel 14.2.
  13. e)AVG. Ingevolge artikel 77.1 AVG kan de betrokkene contact opnemen met de toezichthoudende autoriteit in de lidstaat waar hij gewoonlijk verblijft, waar hij zijn werkplek heeft of waar de beweerde inbreuk is begaan. De Inspectiedienst stelt dan ook dat de verwijzing naar de website van de GBA behouden kan blijven, maar dat er ook verwezen moet worden naar de andere toezichthoudende autoriteiten. II.4.2. Standpunt van de klager 42. In zijn conclusies stelt de klager dat de gelaagde structuur van de aangepaste algemene voorwaarden onduidelijk is omdat deze geen duidelijk overzicht verschaft van de persoonsgegevens die verwerkt worden. II.4.3. Standpunt van de verweerder 43. De verweerder betoogt in algemene termen in haar conclusies dat artikel 12.1 AVG vereist dat de informatie in de privacyverklaring beknopt, transparant en op een begrijpelijke manier beschikbaar is voor de betrokkenen. De verweerder wijst erop dat er op het moment van het inspectieverslag weinig concrete jurisprudentie of richtlijnen van (Europese) rechters en toezichthoudende overheden hieromtrent beschikbaar waren. Daarnaast zijn de begrippen “begrijpelijk" en "beknopt” volgens de verweerder subjectieve begrippen. Niettemin heeft de verweerder wegens organisatorische veranderingen haar privacyverklaring aangepast. Zij verwijst naar de privacyverklaring die door de Inspectiedienst beoordeeld werd als "de oude privacyverklaring." De verweerder betwist de vaststellingen van de Inspectiedienst dat de oude privacyverklaring van de verweerder niet transparant en begrijpelijk zou zijn voor betrokkenen. Voor wat betreft het gebrek aan een inhoudstafel wijst de verweerder erop dat de Inspectiedienst niet motiveert waarom een inhoudstafel nodig zou zijn. De verweerder vermoedt dat de reden voor een inhoudstafel zou kunnen zijn dat betrokkenen sneller zouden kunnen navigeren in de privacyverklaring. De verweerder wijst erop dat haar (oude) privacyverklaring niet van die aard is dat een inhoudstafel vereist is. De privacyverklaring zou immers enkel de hoofdzaken moeten benoemen uit de relevante artikelen uit de AVG (artikel 12, 13 en 14 AVG). Bovendien, zo meent zij, zou een inhoudstafel ervoor kunnen zorgen dat de privacyverklaring juist onnodig langer wordt gemaakt. Met het oog op de transparantie en het faciliteren van de rechten van betrokkenen heeft de verweerder wel tussentitels gebruikt. Tot slot, met betrekking tot dit punt, wijst de Beslissing ten gronde 51/2025 — 10/18 verweerder erop dat de privacyverklaring van de GBA geen inhoudstafel bevat, waardoor zij van oordeel is dat het hebben van een inhoudstafel geen bekende best practice is. 44. Voor wat betreft de vaststelling van de Inspectiedienst omtrent wijzigingen van de privacyverklaring voert de verweerder aan dat de privacyverklaring wel degelijk duidelijk is. Zo worden de betrokkenen zich ervan bewust dat een privacyverklaring een voortdurend veranderend document is en dat men het af en toe moet raadplegen. Op de nieuwe versie van de privacyverklaring heeft de verweerder bovenaan de versie de datum van de laatste update (juni 2022) vermeld. Volgens de verweerder is het niet vermelden of bijhouden van een versiebeheer en het aanduiden van de specifieke wijzigingen geen inbreuk op artikel 12 AVG en wijst erop dat de privacyverklaring van de GBA ook geen ‘duidelijk versiebeheer’ of manier toont om te zien wat er precies is gewijzigd. 45. De verweerder betwist eveneens de vaststelling van de Inspectiedienst dat betrokkenen niet worden geïnformeerd over hoe ze een klacht kunnen indienen en wat ze daarvan mogen verwachten. De verweerder wijst erop dat haar oude privacyverklaring vermeldt wat de rechten van de betrokkenen zijn, hoe ze bij haar terecht kunnen (met vermelding van emailadres en postadres). Daarnaast vermeldt de oude privacyverklaring ook de termijn waarbinnen de verweerder op het verzoek zal antwoorden. De verweerder stelt dat de Inspectiedienst niet aangeeft welke informatie zou ontbreken en welke informatie niet transparant zou zijn. In de oude privacyverklaring had de verweerder vermeld dat, indien de betrokkene opmerkingen of klachten zou hebben over de wijze waarop zij met de persoonsgegevens omgaat, zij de betrokkene verzocht dit eerst aan haar te melden om op die manier via overleg tot een minnelijke oplossing te komen. De verweerder wijst erop dat het doel van deze vermelding is om te goeder trouw een oplossing te vinden tussen de betrokkene en haarzelf. Dit hoeft echter niet te betekenen dat de toegang tot de bevoegde toezichthoudende autoriteit bemoeilijkt wordt. Integendeel, de oude privacyverklaring vermeldt het recht van de betrokkenen om een klacht in te dienen bij een toezichthoudende autoriteit. Uit deze procedure blijkt ook dat de betrokkene in kwestie niet gehinderd werd om een klacht in te dienen bij de GBA. 46. Voor wat betreft de onvolledigheid van de oude privacyverklaring wijst de verweerder erop dat bij de update van de privacyverklaring de door de Inspectiedienst ontbrekende informatie is opgenomen. II.4.4. Beoordeling door de Geschillenkamer 47. De Geschillenkamer stelt vast dat de Inspectiedienst een schending vaststelt van artikel 12.1 AVG, omdat het privacybeleid irrelevante en onjuiste informatie zou bevatten, namelijk het gebrek aan een inhoudstafel, een gebrek aan versiebeheer en de afwezigheid van informatie over hoe betrokkenen een klacht kunnen indienen en wat ze daarvan mogen verwachten. Beslissing ten gronde 51/2025 — 11/18 48. Artikel 12.1 AVG vereist dat de informatie beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk is, en dat er duidelijke en eenvoudige taal wordt gebruikt. De vereiste dat de verstrekking van informatie aan en de communicatie met betrokkenen “in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm” moet geschieden, betekent dat verwerkingsverantwoordelijken de informatie/communicatie op een efficiënte en bondige wijze moeten weergeven om informatiemoeheid te voorkomen. In een onlinecontext zal het gebruik van een gelaagde privacyverklaring/mededeling een betrokkene de mogelijkheid bieden om direct naar het specifieke onderdeel van de privacyverklaring/mededeling te navigeren dat hij of zij wil lezen, in plaats van door grote lappen tekst te moeten scrollen op zoek naar specifieke onderwerpen.3 49. Voor wat betreft het gebrek aan inhoudstafel merkt de Geschillenkamer op dat dit geen formele vereiste is van een privacyverklaring. Er moet steeds per geval worden bekeken of een privacyverklaring voldoet aan de vereisten van artikel 12.1 AVG. In onderhavige zaak stelt de Geschillenkamer vast dat de oude privacyverklaring vijf pagina’s telt en dat gebruik is gemaakt van tussentitels en korte, duidelijke alinea’s, waardoor de betrokkene gemakkelijk de informatie kan terugvinden die hij zoekt. Een inhoudstafel zou volgens de Geschillenkamer geen essentiële meerwaarde hebben voor wat betreft de vereisten van artikel 12.1 AVG in dit specifiek geval. 50. Ten tweede stelde de Inspectiedienst vast dat de oude privacyverklaring onduidelijk was voor wat betreft eventuele wijzigingen, alsook dat er niet gewerkt werd met een duidelijk versiebeheer, dat bedoeld moet zijn om de rechten van de betrokkenen te faciliteren. De Geschillenkamer herinnert eraan dat in de AVG geen vereisten worden vastgesteld inzake het moment waarop (en de methoden waarmee) kennisgevingen van veranderingen in informatie die eerder op grond van de artikelen 13 en 14 aan een betrokkene zijn verstrekt, moeten worden gedaan. Wel dient de verwerkingsverantwoordelijke in dit geval de beginselen van behoorlijkheid en verantwoordingsplicht in acht te nemen, door rekening te houden met de redelijke verwachtingen van de betrokkene of het potentiële effect van de veranderingen op de betrokkene. Een kennisgeving van veranderingen in de privacyverklaring dient volgens de richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 van de Groep Gegevensbescherming Artikel 29 altijd plaats te vinden via een geschikt medium (bijv. per e-mail, een papieren brief, een pop-up op een webpagina of een andere modaliteit die de veranderingen effectief onder de aandacht van de betrokkene zal brengen) en moet voldoen aan de vereisten van artikel 12 van beknoptheid, transparantie, begrijpelijkheid, gemakkelijke toegankelijkheid en duidelijke en 3 WP29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, p.7, te raadplegen via https://ec.europa.eu/newsroom/article29/items/622227/en#:~:text=Guidelines%20on%20Transparency%20under. Beslissing ten gronde 51/2025 — 12/18 eenvoudige taal.4 Vermeldingen in de privacyverklaring met de strekking dat de betrokkene regelmatig moet controleren of de privacyverklaring/mededeling is gewijzigd of geactualiseerd, worden in het kader van artikel 5.1.a), niet alleen als onvoldoende, maar ook als onbehoorlijk beschouwd. 5 51. De Geschillenkamer merkt in dit kader op dat in de versie van de oude privacyverklaring, zoals onderzocht door de Inspectiedienst, het volgende is opgenomen: “Via deze Privacyverklaring brengen we je op de hoogte van de verwerkingsactiviteiten die wij kunnen doorvoeren met jouw persoonsgegevens. We behouden het recht om deze Privacyverklaring te allen tijde aan te passen. Elke substantiële wijziging zullen we je duidelijk melden. We raden je aan dit document regelmatig te raadplegen”. 52. De Geschillenkamer oordeelt dat in de versie van de oude privacyverklaring, zoals onderzocht door de Inspectiedienst, de verwijzing naar wijzigingen ervan an sich niet voldoet aan de vereisten van het verstrekken van informatie op transparante wijze, zoals begrepen uit artikel 12.1 AVG, zoals ook aangehaald door de klager. De methode die gebruikt wordt om de veranderingen onder de aandacht van de betrokkene te brengen, moet expliciet en doeltreffend zijn. Dit moet ervoor zorgen dat de betrokkene de verandering niet “mist” en een redelijke termijn krijgt om
  14. a)de aard en het effect van de verandering te begrijpen, en
  15. b)zijn of haar rechten uit hoofde van de AVG in verband met de verandering uit te oefenen (bv. door de toestemming voor de verwerking in te trekken of bezwaar te maken tegen de verwerking.6 Zoals de verweerder aangeeft, zou dit desgevallend kunnen via het tijdig versturen van een e-mail naar de betrokkenen voorafgaand aan de wijziging van de privacyverklaring, of via een pop-up op de website. 53. Voor wat betreft het gebrek aan versiebeheer in de oude privacyverklaring, zoals vermeld door de Inspectiedienst, stelt de Geschillenkamer vast dat de AVG geen vereiste inhoudt tot het bijhouden van een versiebeheer. Indien de wijzigingen aan de privacyverklaring op een doeltreffende manier worden meegedeeld, met inachtneming van de bovenstaande punten, is de Geschillenkamer van oordeel dat versiebeheer van de gepubliceerde privacyverklaring niet noodzakelijk is. 54. Voor wat betreft de vaststelling dat de toegang tot de bevoegde toezichthoudende autoriteit wordt bemoeilijkt door het feit dat de oude privacyverklaring de betrokkene verzoekt gebruik te maken van de mogelijkheid om bij opmerkingen of klachten eerst met hem contact op te nemen alvorens een klacht in te dienen bij de GBA, wijst de Geschillenkamer erop dat dit slechts een verzoek van de verweerder is en geen 4 WP29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, p.7, te raadplegen via https://ec.europa.eu/newsroom/article29/items/622227/en#:~:text=Guidelines%20on%20Transparency%20under. 5 WP29; Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 , p. 20. 6 WP29; Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679,, p. 20. Beslissing ten gronde 51/2025 — 13/18 voorafgaande voorwaarde. Bovendien moedigt de Geschillenkamer een dialoog tussen de verwerkingsverantwoordelijken en de betrokkenen aan in het geval van vragen, opmerkingen of klachten, om een oplossing te vinden die voor alle partijen zo veel mogelijk passend is.7 De Geschillenkamer is van oordeel dat dit verzoek de toegang tot de GBA niet belemmert. 55. Vervolgens behandelt de Geschillenkamer de vaststellingen in het Inspectieverslag waarin de oude privacyverklaring niet alle volgens artikel 13 en 14 AVG verplicht te vermelden informatie effectief vermeldt. De Inspectiedienst stelt vast dat de privacyverklaring geen informatie geeft over wie concreet de ontvangers of categorieën van ontvangers van de persoonsgegevens zijn (artikelen 13.1.
  16. e)en 14.1.
  17. e)AVG). De Geschillenkamer stelt vast dat de oude privacyverklaring bepaalt dat de persoonsgegevens van betrokkenen uitsluitend worden verwerkt voor intern gebruik binnen de organisatie van verweerder en dat de persoonsgegevens niet zullen worden verkocht, doorgegeven of gecommuniceerd aan derde partijen, behalve indien de betrokkene daarvoor expliciete toestemming heeft gegeven of wanneer de doorgifte noodzakelijk is voor de uitvoering van de overeenkomst of wettelijk verplicht is. De Geschillenkamer merkt op dat in de privacyverklaring van juni 2022 de verweerder de opmerkingen van de Inspectiedienst ter harte heeft genomen, aangezien zij een overzicht heeft opgenomen van de ontvangers van de persoonsgegevens, hun rol, een verwijzing naar de privacyverklaring van de ontvangers en de rechtsgrondslag op basis waarvan zij de persoonsgegevens ontvangen. 56. De Inspectiedienst stelde eveneens vast dat er een inbreuk was op artikel 13.2.
  18. e)AVG, aangezien geen informatie werd gegeven over of de betrokkene verplicht is om de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt. De Inspectiedienst wijst in dit kader naar het feit dat onder titel 4 “Welke persoonsgegevens worden verwerkt, met welk doel en op welke juridische basis” van de oude privacyverklaring enkel vermeld wordt dat het verwerken van persoonsgegevens noodzakelijk is “voor de uitvoering van de overeenkomst tussen de Gebruiker en [de verweerder]”. De Geschillenkamer stelt vast dat er in de oude privacyverklaring weliswaar opgenomen was dat het verstrekken van de persoonsgegevens door de betrokkene nodig is voor de uitvoering van de overeenkomst, maar daarentegen niet werd vermeld wat de gevolgen zijn indien deze gegevens niet door de betrokkene 7 Zie ook: https://www.gegevensbeschermingsautoriteit.be/burger/acties/bemiddeling-aanvragen: ‘Indien je een bemiddeling wenst aan te vragen en deze heeft betrekking op de uitoefening van jouw rechten, vragen wij je in elk geval om eerst jouw rechten uit te oefenen voordat je een bemiddeling aanvraagt. Indien het over een andere kwestie gaat (bijv: je vindt dat jouw gegevens zonder jouw toestemming worden verwerkt), dan nodigen we je ook uit om eerst met de verwerkingsverantwoordelijke contact te zoeken, alvorens een bemiddeling aan te vragen. De ingediende documenten kunnen worden meegedeeld aan de verwerkingsverantwoordelijke in het kader van de bemiddeling.’; en https://www.gegevensbeschermingsautoriteit.be/burger/acties/klacht-indienen: “Indien je een klacht wenst in te dienen en deze heeft betrekking op de uitoefening van jouw rechten, vragen wij je in elk geval om eerst jouw rechten uit te oefenen voordat je een klacht indient. Indien jouw klacht over een andere kwestie gaat (bijv: je vindt dat jouw gegevens zonder jouw toestemming worden verwerkt), dan nodigen we ook uit om eerst met de verwerkingsverantwoordelijke contact te zoeken, alvorens een klacht in te dienen.” (eigen onderlijning). Beslissing ten gronde 51/2025 — 14/18 verstrekt werden, zoals vereist door artikel 13.2.
  19. e)AVG. Intussen werd de nodige informatie toegevoegd in de privacyverklaring van juni 2022 die luidt als volgt: “Het verstrekken van je persoonsgegevens is verplicht als je wenst een account aan te maken op [platform]. Op het moment dat je ons je persoonsgegevens niet verstrekt, is het helaas niet mogelijk om een account op [platform] aan te maken. Hierdoor krijg je dus ook geen toegang tot ons platform.” De Geschillenkamer stelt vast dat in de privacyverklaring van juni 2022 aldus voldaan is aan artikel 13.2.
  20. e)AVG, waardoor een sprake is van een historische inbreuk op dit artikel aangezien deze inbreuk intussen verholpen werd. 57. Het Inspectieverslag stelt ook vast dat de privacyverklaring ten onrechte vermeldt dat de betrokkene pas het recht heeft om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit nadat eerst een melding is gedaan bij de verweerder, hetgeen niet in overeenstemming zou zijn met artikel 13.2.
  21. d)AVG en artikel 14.2.
  22. e)AVG en dat een overzicht van de bevoegde toezichthouders ontbreekt. 58. De Geschillenkamer stelt vast dat artikel 13.2.
  23. d)AVG voorschrijft dat de betrokkene moet worden geïnformeerd dat hij het recht heeft om een klacht in te dienen bij een toezichthoudende autoriteit. Gelet op het gebied waarin de verweerder actief is, namelijk het Vlaams deeltijds kunstonderwijs, volstaat de verwijzing naar alleen de GBA in deze specifieke omstandigheden. De Geschillenkamer is van oordeel dat het in casu niet nuttig is om een verwijzing naar andere toezichthoudende autoriteiten in de Europese Unie op te nemen. Een verwijzing naar alle mogelijke toezichthoudende autoriteiten zou de vereiste van beknopte, begrijpelijke en transparante informatie immers kunnen bemoeilijken. 59. Voor wat betreft de aanklacht van de klager dat de oude privacyverklaring de verschillende verwerkingen en bijbehorende informatie per verwerking niet duidelijk weergeeft, stelt de Geschillenkamer vast dat dit inderdaad het geval was, hetgeen een inbreuk uitmaakt op artikel 12.1 AVG. De Geschillenkamer stelt vast dat de verweerder in de privacyverklaring versie 2022 deze informatie op een duidelijke en overzichtelijke wijze weergeeft, waardoor deze inbreuk verholpen is. 60. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er sprake was van een inbreuk op artikel 12.1 AVG, enerzijds wegens de vermelding in de oude privacyverklaring, zoals onderzocht door de Inspectiedienst, van de passage dat de betrokkenen regelmatig moeten controleren of de privacyverklaring gewijzigd of geactualiseerd is, en anderzijds wegens de onduidelijke weergave van de informatie betreffende de verwerkingen van persoonsgegevens. Daarnaast stelt de Geschillenkamer vast dat er sprake was van een inbreuk op artikel 13.2.
  24. e)AVG, aangezien geen informatie werd gegeven over de verplichting voor de betrokkene om de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt. Tot slot komt de Geschillenkamer tot de vaststelling dat het gebrek aan concrete informatie in de Beslissing ten gronde 51/2025 — 15/18 privacyverklaring, zoals onderzocht door de Inspectiedienst, over de ontvangers van persoonsgegevens een inbreuk uitmaakte op artikel 13.1.
  25. e)en 14.1.
  26. e)AVG. De Geschillenkamer merkt op dat deze historische inbreuken intussen verholpen zijn. II.5. Artikel 17 AVG: Recht op gegevenswissing 61. Artikel 17.1 AVG bepaalt dat de betrokkene van de verwerkingsverantwoordelijke zonder onredelijke vertraging het wissen van zijn betreffende persoonsgegevens kan verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer de persoonsgegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt. 62. Overeenkomstig artikel 12.3 AVG verstrekt de verwerkingsverantwoordelijke de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 AVG informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn, indien nodig, met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven (artikel 12.4 AVG). 63. De klager heeft op 7 juni 2021 aan de verweerder verzocht om zijn persoonsgegevens te verwijderen. Diezelfde dag heeft de verweerder geantwoord op het verzoek van de klager, en vervolgens heeft zij dit antwoord verduidelijkt op 15 juni 2021. De verweerder stelt dan ook dat zij binnen de voorgeschreven periode van één maand overeenkomstig artikel 12.4 AVG heeft geantwoord op het verzoek van de klager, namelijk dat zij geen gevolg kan geven aan het verzoek, aangezien zij voor die verwerking niet optreedt als verwerkingsverantwoordelijke. Voor wat betreft het beheer van de inschrijvingen is de academie in kwestie de verwerkingsverantwoordelijke, aangezien het account dan gekoppeld is aan de academie. De verweerder verduidelijkt dat de enige rol die zij heeft in het kader van het beheer van inschrijvingen, het verwerken van persoonsgegevens is in opdracht van de academie. De verweerder treedt in dat geval dus op als verwerker. De verweerder heeft de klager vervolgens geïnformeerd om zijn verzoek tot gegevenswissing te richten aan de academie, zodat het account kan worden ontkoppeld. Zodra het account ontkoppeld zou zijn, zou de verweerder de persoonsgegevens, waarvoor zij verwerkingsverantwoordelijke is, kunnen verwijderen. 64. De Geschillenkamer stelt vast dat artikel 17.1 AVG voorschrijft dat de verwerkingsverantwoordelijke de persoonsgegevens dient te wissen op verzoek van de Beslissing ten gronde 51/2025 — 16/18 klager. Aangezien de verweerder geen verwerkingsverantwoordelijke was voor de verwerking van persoonsgegevens op het moment van het verzoek, kan de verweerder geen inbreuk verweten worden dat zij de wissing niet heeft uitgevoerd. De verweerder heeft eveneens binnen de in artikel 12.4 AVG voorgeschreven termijn van één maand de klager geïnformeerd over de redenen waarom zij niet kan ingaan op het verzoek tot wissing. 65. De Geschillenkamer besluit dan ook dat er geen sprake is van een inbreuk op artikel 12.4 AVG j° artikel 17.1 AVG. 66. De Geschillenkamer wijst er echter op dat het toekomt aan de verwerkingsverantwoordelijke om overeenkomstig artikel 12.2 AVG de uitoefening van rechten door betrokkenen te faciliteren, ook wanneer dit recht wordt uitgeoefend ten aanzien van een verwerker. Het komt toe aan de verwerkingsverantwoordelijke en de verwerker om hieromtrent de nodige afspraken te maken in de verwerkersovereenkomst overeenkomstig artikel 28.3.
  27. e)AVG. 67. Tijdens de hoorzitting lichtte de verweerder toe dat zij intussen haar werkwijze heeft bijgesteld. Voortaan wordt bij een verzoek tot gegevenswissing het account gewist op het Z-platform; echter de gegevens in de academie van de inschrijving blijven bewaard omdat hiervoor een andere rechtsgrond geldt, zoals de uitvoering van de overeenkomst tussen de academie en de betrokkene (artikel 6.1.
  28. b)AVG), of zoals een decretale verplichting om bepaalde persoonsgegevens van leerlingen gedurende een bepaalde periode te bewaren8 (artikel 6.1.
  29. c)AVG). Er wordt door de verweerder aan de betrokkene gemeld dat diens account is verwijderd en dat indien in de toekomst desgewenst opnieuw toegang nodig is, een nieuw account kan worden gemaakt en dat er dan opnieuw een koppeling daaraan van de leerlingen nodig is. Eens een account is verwijderd, is het volledig verwijderd. De gegevens worden wel nog verwerkt door de scholen, omdat het decreet deeltijds kunstonderwijs bepaalt wat er met die gegevens moet gebeuren en ook een bepaalde bewaartermijn voorschrijft. III. Sancties 68. Uit de dossierstukken concludeert de Geschillenkamer dat er meerdere overtredingen van de AVG hebben plaatsgevonden. 69. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° de klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 8 Zie bijvoorbeeld artikel 49 van het Vlaams decreet betreffende het deeltijds kunstonderwijs van 9 maart 2018. Beslissing ten gronde 51/2025 — 17/18 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings van Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 70. Uit de dossierstukken concludeert de Geschillenkamer dat er meerdere overtredingen van de AVG hebben plaatsgevonden. Meer bepaald was er sprake van een schending van artikel 12.1 AVG wegens enerzijds de vermelding in de oude privacyverklaring, zoals onderzocht door de Inspectiedienst, van de passage dat de betrokkenen regelmatig moeten controleren of de privacyverklaring gewijzigd is of geactualiseerd is, en anderzijds de onduidelijke weergave van de informatie betreffende de verwerkingen van persoonsgegevens. Daarnaast was er sprake van een inbreuk op artikel 13.2.
  30. e)AVG aangezien geen informatie werd gegeven of de betrokkene verplicht is om de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt, maar deze inbreuk werd door de verweerder verholpen. Vervolgens komt de Geschillenkamer tot de vaststelling dat het gebrek aan concrete informatie in de oude privacyverklaring over de ontvangers van persoonsgegevens een inbreuk uitmaakte op artikel art. 13.1.
  31. e)en 14.1.
  32. e)AVG. De Geschillenkamer merkt op dat deze inbreuken intussen verholpen zijn. 71. De Geschillenkamer beslist in dit geval een berisping te formuleren voor de hierboven geïdentificeerde inbreuken op de AVG. Het feit dat de feiten al enige tijd geleden hebben plaatsgevonden en vooral het feit dat de verweerder tijdens de procedure en de vastgestelde inbreuken verholpen heeft, rechtvaardigen dat geen zwaardere sanctie wordt opgelegd. IV. Publicatie van de beslissing

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.