Beslissing ten gronde nr. 53/2025

1/14 Geschillenkamer Beslissing ten gronde 53/2025 van 14 maart 2025 Dossiernummer : DOS-2019-04744 Betreft : het verwerken van persoonsgegevens door een erotische sauna De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Jelle Stassijns en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”1; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, vertegenwoordigd door Mr. Davina Claus, hierna “de klager”; De verweerder: Y, vertegenwoordigd door Mr. Henk de Kesel, hierna “de verweerder”. 1 De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link: https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-vaninterne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum. Beslissing ten gronde 53/2025 — 2/14 I. 1. Feiten en procedure Het voorwerp van de klacht betrof de installatie van twee bewakingscamera’s die de openbare weg filmden. Buiten de omvang van de klacht heeft deze beslissing, genomen na onderzoek door de Inspectiedienst, eveneens betrekking op de verwerking van persoonsgegevens door de verweerder op haar website, gezien haar activiteiten als erotische sauna. 2. Op 14 oktober 2019 diende de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. De camera’s van de verweerder zouden op de openbare weg zijn gericht, er zou tijdelijk geen pictogram ter aanduiding van camerabewaking aanwezig zijn, er werden geen gegevens van de verwerkingsverantwoordelijke ingevuld op het eerder aanwezige pictogram en de klager werd nooit geraadpleegd over de installatie van de camera’s. De klager vroeg dan ook om de camera’s te verwijderen. 3. In de klacht was een e-mail van de buurtinspecteur bijgevoegd met de volgende informatie: • De camera’s waren aangevraagd en geplaatst conform de wetgeving en waren correct geregistreerd bij de politie. • De camera’s waren niet gericht op de naburige huizen maar wel op “het voetpad en de openbare weg langs de kant van de [straat klager] en op het voetpad op de hoek van de [straat klager] en de [straat]”. • Er was een pictogram aanwezig met het adres en de telefoonnummer van de verantwoordelijke ingevuld. 4. Op 29 oktober 2019 werd de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikel 58 en 60 van de WOG en werd de klacht op grond van artikel 62, § 1 van de WOG overgemaakt aan de Geschillenkamer. 5. Op 8 november 2019 besliste de Geschillenkamer op grond van artikel 63, 2° en 94, 1° van de WOG een onderzoek te vragen aan de Inspectiedienst. Overeenkomstig artikel 96, § 1 van de WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 6. Op 6 maart 2020 werd het onderzoek door de Inspectiedienst afgerond, werd het verslag bij het dossier gevoegd en werd het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 van de WOG). Het verslag bevatte vaststellingen met betrekking tot het voorwerp van de klacht en besloot dat: 1. Y de verwerkingsverantwoordelijke was voor de persoonsgegevens door middel van de geïnstalleerde camera’s. verwerking van Beslissing ten gronde 53/2025 — 3/14 2. er een schending was van artikel 8 van de Camerawet2 en artikel 1 van het Camerabesluit3 gezien de afwezigheid van een pictogram dat de camerabewaking aan zou moeten geven. 3. er een schending was van artikel 7.2° en 8.1° van het Camerabesluit gezien de verwerkingsdoeleinden en de wettelijke basis voor de verwerking niet duidelijk waren gedefinieerd. Het verslag bevatte daarnaast vaststellingen die verder gingen dan het voorwerp van de klacht. De Inspectiedienst stelde, in hoofdlijnen, vast dat: 1. er een schending was van artikel 12, 13 en 14 van de AVG gezien de privacyverklaring niet voldoende transparant en begrijpelijk was en onvolledig was. 2. er een schending was van artikel 30.4 en 31 van de AVG gezien er geen register van verwerkingen werd voorgelegd aan de Inspectiedienst en gezien er geen gemotiveerd antwoord werd gegeven over het al of niet hebben van een functionaris voor de gegevensbescherming. 7. Op 2 juni 2020 werden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 van de WOG. Tevens werden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De reikwijdte van de zaak werd vastgesteld op de volgende vermeende inbreuken: • Mogelijke inbreuk op bepalingen van de camerawet • Mogelijke inbreuk op artikel 12, 13, 14, 20 en 31 van de AVG De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd vastgelegd op 3 juli 2020, deze voor de conclusie van repliek van de klager op 17 juli 2020 en ten slotte deze voor de conclusie van repliek van de verweerder op 31 juli 2020. 8. Op 29 juni 2020 werden de termijnen om verweermiddelen in te dienen op verzoek van de verweerder verlengd. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd vastgelegd op 17 juli 2020, deze voor de conclusie van repliek van de klager op 7 augustus 2020 en ten slotte deze voor de conclusie van repliek van de verweerder op 28 augustus 2020. 2 3 Wet van 21 maart 2007 tot regeling van de plaatsing en het gebruik van bewakingscamera’s. Koninklijk besluit van 8 mei 2018 betreffende de aangiften van de plaatsing en het gebruik van bewakingscamera’s en betreffende het register van beeldverwerkingsactiviteiten van bewakingscamera’s. Beslissing ten gronde 53/2025 — 4/14 9. Op 15 juli 2020 ontving de Geschillenkamer de conclusie van antwoord vanwege de verweerder aangaande de vermeende inbreuken binnen de omvang van de klacht en aangaande de vermeende inbreuken buiten de omvang van de klacht. 10. Op 6 augustus 2020 ontving de Geschillenkamer de conclusie van repliek van de klager. 11. Op 28 augustus 2020 ontving de Geschillenkamer de syntheseconclusie van de verweerder aangaande de vermeende inbreuken binnen de omvang van de klacht. 12. Op 31 augustus 2020 verzocht de klager om een extra conclusietermijn. Op 9 september 2020 verzette de verweerder zich tegen het toekennen van een extra conclusietermijn. Diezelfde dag voegde de klager een nieuw stuk toe aan haar stukkenbundel. De Geschillenkamer weigerde op 14 september 2020 om een bijkomende conclusietermijn toe te kennen aan de klager en verwees naar de hoorzitting die nog zou plaatsvinden. 13. Op 22 oktober 2020 werden de partijen ervan in kennis gesteld dat de hoorzitting zou plaatsvinden op 30 november 2020. 14. Op 30 november 2020 werden de partijen gehoord door de Geschillenkamer. 15. Op 6 december 2020 werd het proces-verbaal van de hoorzitting aan de partijen voorgelegd. Diezelfde dag werden de partijen uitgenodigd bijkomend te concluderen aangaande: • de rechtmatigheidsgrond voor de verwerking van persoonsgegevens door de bewakingscamera’s, • het standpunt van de partijen over de toepasselijkheid van het verwerkingsverbod van artikel 9.1 van de AVG en eventuele uitzonderingen op dit verwerkingsverbod van artikel 9.2 van de AVG, • de maatregelen die werden genomen om de persoonsgegevens in het gastenboek conform artikel 5 en 6 van de AVG te verwerken. De uiterste datum voor ontvangst van de bijkomende conclusie van antwoord van de verweerder werd vastgelegd op 22 december 2020, deze voor de conclusie van repliek van de klager op 29 december 2020 en ten slotte deze voor de conclusie van repliek van de verweerder op 5 januari 2021. 16. Op 22 december 2020 ontving de Geschillenkamer de bijkomende conclusie van antwoord van de verweerder. 17. Op 5 januari 2021 ontving de Geschillenkamer de bijkomende conclusie van repliek van de klager. 18. Op 13 januari 2021 liet de verweerder weten geen bijkomende conclusie van repliek meer in te dienen. Beslissing ten gronde 53/2025 — 5/14 II. Motivering II.1. Beschrijving van de verwerking 19. De initiële klacht betrof het verwerken van beelden van twee bewakingscamera’s op de buitengevel van het pand van de verweerder met als doel “verdere schade aan ons pand en aan publieke eigendommen te voorkomen”4. Deze twee camera’s waren correct aangevraagd en aangegeven bij de lokale politie. Tijdens de hoorzitting bleek dat er een derde camera aanwezig was in het toegangssas van het pand, gericht op de ingang van het pand. 20. In het pand werd een erotische sauna uitgebaat. Op de website van de erotische sauna was een privacyverklaring opgenomen en werd ook een gastenboek bijgehouden. II.2. De klacht en de vermeende inbreuken 21. Artikel 58 van de WOG bepaalt: ”Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een verzoek indienen bij de Gegevensbeschermingsautoriteit”. Conform artikel 60.2 van de WOG is een klacht ontvankelijk wanneer zij: a. opgesteld is in één van de landstalen; b. een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft; c. 22. zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit. De Geschillenkamer heeft in een eerdere beslissing als volgt overwogen : “Hoewel de AVG de ‘klacht’ benadert vanuit het standpunt van de betrokkene, door de controleautoriteiten verplichtingen op te leggen wanneer een persoon een klacht indient (zie de artikelen 57, 1.,

1. f)en 77 van de AVG), belet de AVG niet dat het nationaal recht andere personen dan de betrokkenen de mogelijkheid geeft om een klacht in te dienen bij de nationale controleautoriteit. De mogelijkheid van een dergelijke aanhangig making stemt overigens overeen met de opdrachten die door de AVG aan de controleautoriteiten worden toegekend. In dat opzicht en algemeen genomen, zorgt elke controleautoriteit voor: de monitoring en handhaving van de toepassing van de AVG (artikel 57, 1.,
2. a)AVG), en de verrichting van alle andere taken die verband houden met de bescherming van persoonsgegevens (artikel 57, 1.,
3. v)AVG).”5 4 5 Stuk 16, Verslag van het onderzoek, p. 12. Zie o.a. Beslissing van de Geschillenkamer 106/2022 van 28 juni 2022; Beslissing van de Geschillenkamer 117/2021 van 22 oktober 2021 en Beslissing van de Geschillenkamer 80/2020 van 17 december 2020. Beslissing ten gronde 53/2025 — 6/14 23. Kortom, de WOG sluit niet uit dat een ander dan de betrokkene of de persoon die door de betrokkene gemachtigd is, zoals bedoeld in artikel 80 van de AVG en uitgewerkt in artikel 220 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, een klacht kan indienen bij de GBA. 24. Meer bepaald oordeelt de Geschillenkamer dat artikel 58 WOG elke persoon de mogelijkheid biedt een klacht in te dienen, op voorwaarde dat de klager blijk geeft dat hij voldoende belang heeft. 25. De Geschillenkamer stelt vast dat de klager in het pand naast de erotische sauna woont en dus dagelijks de bewakingscamera’s moet passeren.6 De klager wijst ook specifiek op de privacy schendingen die zij ondervindt in dat verband. De Geschillenkamer oordeelt dat de klager voldoende belang aantoont om een klacht tegen de verwerking van de camerabeelden in te dienen. 26. De verweerder wijst in zijn conclusies op de voorgeschiedenis van de klacht en het al of niet aanbrengen van nieuwe elementen na deze procedure, alsook op de verzuurde relatie tussen de klager en de verweerder. Volgens de Geschillenkamer beperken geen van beide overwegingen de klager in zijn recht om een klacht in te dienen tegen een vermeende onrechtmatige verwerking van persoonsgegevens waarbij de klager een belang kan aantonen. 27. Buiten de omvang van het voorwerp van de klacht is het niet uitgesloten dat een klacht aanleiding geeft tot een meer integrale en substantiële controle door de Inspectiedienst in het geval van een klacht, zo bevestigde ook het Marktenhof. 7 In casu stelde de Inspectiedienst ook mogelijke inbreuken vast tegen de transparantieplicht van artikel 12, 13 en 14 van de AVG en tegen de medewerkingsplicht om het register van verwerkingen voor te leggen aan de toezichthouder van artikel 30.4 en 31 van de AVG. 28. Tenslotte stelde de Geschillenkamer tijdens de hoorzitting vast dat er elementen ontbraken om een gemotiveerde beslissing te nemen. Het recht op verdediging indachtig, werd de partijen nog een extra conclusietermijn toegekend om hun standpunt te verduidelijken inzake • de rechtsgrond van de verwerking van de camerabeelden, • een eventuele uitzondering op het principiële verwerkingsverbod van gegevens van de bijzondere categorieën van persoonsgegevens en 6 In beslissing 29/2025 van 18 februari 2025 besliste de Geschillenkamer dat een buurtbewoner voldoende belang had aangezien hij in de buurt van de opnamezone woonde en regelmatig door deze zone passeerde. 7 Hof van Beroep Brussel (Kamer 19A, Sectie Marktenhof), Arrest van 14 juni 2023, nr. 2023/4583, p. 29-30: “Bedrijven moeten er zich echter van bewust zijn dat één bepaald incident aanleiding kan geven tot een integrale inspectie en substantiële controle van de AVG-naleving van een onderneming of organisatie, die op zijn beurt dan weer kan leiden tot sancties wegens de niet-naleving van bepaalde AVG-verplichtingen die initieel niet de trigger waren van de inspectie.” Beslissing ten gronde 53/2025 — 7/14 • de getroffen maatregelen teneinde te garanderen dat de verwerking van persoonsgegevens in het gastenboek conform artikel 5 en 6 van de AVG is. II.3. Bepaling van de verwerkingsverantwoordelijke 29. Overeenkomstig artikel 4.7 van de AVG dient als verwerkingsverantwoordelijke te worden beschouwd: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. 30. Het Hof van Justitie heeft in zijn rechtspraak 8 het begrip “verwerkingsverantwoordelijke” meermaals ruim uitgelegd teneinde een doeltreffende en volledige bescherming van de betrokkenen te verzekeren. 31. Overeenkomstig richtsnoer 7/2020 van de EDPB dient de hoedanigheid van de betrokken verwerkingsverantwoordelijke(
4. n)in concreto te worden beoordeeld.9 Overeenkomstig hetzelfde advies dienen de concepten “het doel” en “de middelen” onlosmakelijk samen te worden behandeld en dient hierbij te worden vastgesteld wie het ‘waarom’ (het doel) en het ‘hoe’ (de middelen) van de verwerking bepaalt. 10 32. De Inspectiedienst stelde op basis van de gegevens in de kruispuntbank der ondernemingen vast dat de verweerder de verwerkingsverantwoordelijke is van de verwerking van de camerabeelden aan het pand. Tijdens de hoorzitting bleek dat de verweerder zichzelf beschouwde als de verwerkingsverantwoordelijke van de verwerking van de camerabeelden. 33. De verweerder baat echter niet zelf de erotische sauna uit. Voor deze activiteit verhuurt hij het pand aan de eigenlijke uitbater. Aangaande de website en het gastenboek is de verweerder dan ook de mening toegedaan dat de uitbater van de erotische sauna als verwerkingsverantwoordelijke moet worden beschouwd. In de conclusie na de hoorzitting, waar bijkomende vragen werden gesteld aangaande de verwerking van de persoonsgegevens via het gastenboek, verduidelijkt de verweerder dat in de privacyverklaring wordt gemeld dat [C. S.], in casu de uitbater van de erotische sauna, de ‘gegevensverwerker’ is voor de persoonsgegevens aangaande de website en het gastenboek. 34. Inzake de camerabeelden stelt de Geschillenkamer vast dat de verweerder het doel en de middelen van de verwerking van de camerabeelden heeft bepaald, de contacten met de 8 Zie o.a. HvJEU, Arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, randnummer 2729. 9 EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, versie 2.0, Vastgesteld op 7 juli 2021, randnummer 12. 10 Ibid, randnummer 36. Beslissing ten gronde 53/2025 — 8/14 installatiefirma verzorgt en ook heeft besloten de camera’s, via de installatiefirma, uit te schakelen. 35. Inzake de persoonsgegevens die via de website worden verwerkt, stelt de Geschillenkamer vast dat: • de verweerder in zijn schrijven aan de Inspectiedienst stelt dat hij ook zaakvoerder is van de sauna: “Ik schrijf U als zaakvoerder van sauna […] mbt de klacht in bijlage.”11, waarna de verweerder ingaat op de vragen aangaande de website en de privacyverklaring op de website. • in de kruispuntbank der ondernemingen de hoofdactiviteit van de verweerder bestaat uit: ‘Sauna’s, solaria, baden enz’. 12 • de raadsheer van de verweerder de volledige verdediging van de verweerder op zich heeft genomen, inclusief de verdediging tegen de vermeende inbreuken op de website en de privacyverklaring van de erotische sauna, zonder enige voorbehoud. • de verweerder tijdens de hoorzitting laat vallen dat de uitbaters “allebei loontrekkenden zijn van de vennootschap” 13. 36. Gezien het voorgaande oordeelt de Geschillenkamer dat de verweerder eveneens verwerkingsverantwoordelijke is voor de gegevens die verwerkt worden op de website van de erotische sauna, inclusief de privacyverklaring en het gastenboek. II.4. Aangaande de verwerking van de camerabeelden 37. Het filmen van de openbare weg door middel van bewakingscamera’s die beelden opslaan betreft een zeer gevoelige materie. Op grond van de vaststellingen van de Inspectiedienst is er sprake van een historische overtreding van bepalingen van de Camerawet. Op het einde van de hoorzitting had de verweerder echter aan de Geschillenkamer de intentie geuit om de camera’s te deactiveren “zodat de hele problematiek wegvalt”14. In de conclusie na de hoorzitting kwam de verweerder terug op dit voornemen en bevestigde dat de camera’s werden gedeactiveerd. De verweerder toonde dit aan met een attest van de installateur op datum van 8 december 2020. De camera’s werden ontkoppeld en de bekabeling werd afgeknipt. De harde schijf van het opnamesysteem werd verwijderd en vernietigd. 38. Op basis van deze genomen maatregelen beveelt de Geschillenkamer conform artikel 100.1.2 van de WOG de buitenvervolgingstelling aangaande de verwerking van de 11 Stuk 12, E-mail met eerste reactie bij de vragen van de Inspectiedienst en vermelding dat de plaatsingsdienst van de veiligheidscamera’s […] asap alle gevraagde info zal bezorgen via afzonderlijke e-mail, p. 1. 12 Stuk 16, Verslag van het onderzoek, p. 5. 13 Stuk 54, Mail naar de partijen PV hoorzitting 30 november 2020 en bijkomende vragen, p. 10. 14 Stuk 54, Mail naar de partijen PV hoorzitting 30 november 2020 en bijkomende vragen, p. 11. Beslissing ten gronde 53/2025 — 9/14 camerabeelden. De Geschillenkamer zal, gezien deze buitenvervolgingstelling, niet meer ingaan op de rechtmatigheid van de verwerking van de camerabeelden. 39. Artikel 4, §1 van de WOG bepaalt: “De Gegevensbeschermingsautoriteit is verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens.” Op het moment dat de camera’s zijn afgeschakeld, verwerken deze geen persoonsgegevens meer en stopt de bevoegdheid van de GBA. De Geschillenkamer is niet bevoegd om de verwijdering van de afgeschakelde camera’s te bevelen, zoals de klager vordert in haar conclusies, aangezien de camera’s waarvan sprake niet langer persoonsgegevens verwerken. II.5. Aangaande het register van verwerkingen 40. De Inspectiedienst had vastgesteld dat de verwerkingsverantwoordelijke op haar vraag enkel het register van de beeldverwerkingsactiviteiten kon voorleggen en niet het register van verwerkingen zoals bepaald in artikel 30 van de AVG. De Inspectiedienst stelt om die redenen een inbreuk vast op artikel 30 en 31 van de AVG. 41. De verweerder wees op een misverstand aangaande het register van verwerkingen en gaf aan dat dit misverstand was ontstaan vanuit de overtuiging dat er geen persoonsgegevens worden verwerkt. 42. De Geschillenkamer stelt vast dat de verweerder op twee benen hinkt. Enerzijds is hij ervan overtuigd dat hij geen persoonsgegevens verwerkt en dus geen register van verwerkingen kan of moet hebben, anderzijds meldt hij in de privacyverklaring dat de naam (bij voorkeur alias of afkorting), de gemeente en het e-mailadres van betrokkenen worden verwerkt om contact te kunnen hebben via e-mail en om het gastenboek online in te kunnen vullen. Ook het gastenboek zelf kan gegevens bevatten die kunnen leiden tot de identificatie van een klant van de erotische sauna. 43. De Geschillenkamer oordeelt dat de verweerder geen register van verwerkingen heeft bijgehouden en daarmee een inbreuk heeft gepleegd op artikel 30 van de AVG. II.6. Aangaande de privacyverklaring op de website van de verweerder 44. De Inspectiedienst had in haar onderzoek buiten de omvang van de klacht een beoordeling gemaakt van de privacyverklaring op de website van de verweerder op 13 november 2019. Na haar tussenkomst, stelde de Inspectiedienst vast dat de privacyverklaring door de verweerder werd aangepast. Op 27 februari 2020 beoordeelde de Inspectiedienst deze nieuwe privacyverklaring. Beslissing ten gronde 53/2025 — 10/14 45. Het inspectieverslag stelde enerzijds vast dat de privacyverklaring niet transparant en begrijpelijk was aangezien verschillende termen niet werden verklaard en aangezien werd geponeerd dat enkel de verantwoordelijke van de afdeling klanten en de zaakvoerder toegang hadden tot het gastenboek, terwijl dit gastenboek publiek toegankelijk is op de website. Anderzijds ontbrak er informatie die verplicht is volgens artikel 13 of 14 van de AVG, met name over de identiteit van de verwerkingsverantwoordelijke, over de opslagtermijnen van de persoonsgegevens, over de verwerkingsdoeleinden, over de rechtsgrond van de verwerking en over de rechten van de betrokkenen. 46. De verweerder wees op de discretie die gepaard gaat met de aard van de zijn activiteiten en bijgevolg op het beperkt verwerken van persoonsgegevens. Daarenboven werd de privacyverklaring nogmaals aangepast op 12 juni 2020. Met deze nieuwe aanpassing meende de verweerder dat hij de tekortkomingen vermeld in het inspectieverslag had verholpen. 47. De Geschillenkamer stelt vast dat in de privacyverklaring van 12 juni 2020 de identiteit van de verwerkingsverantwoordelijke (of zijn vertegenwoordiger), de bewaartermijnen en de rechten van betrokkene zijn opgenomen. Er werd ook verduidelijkt hoe een betrokkene zijn rechten kan uitoefenen. De Geschillenkamer vindt echter geen melding terug van de rechtsgrond waarop de verwerking van de persoonsgegevens gebeurt. 48. De Geschillenkamer oordeelt bijgevolg dat de verweerder een inbreuk heeft gepleegd op artikel 13.1.c van de AVG vanwege het ontbreken in de privacyverklaring van de rechtsgronden van de verwerking van persoonsgegevens door de verweerder. II.7. Aangaande het gastenboek op de website van de verweerder 49. In zijn syntheseconclusie vermeldde de verweerder het bestaan van een gastenboek op de website van zijn erotische sauna. Tijdens de hoorzitting stelde de verweerder dat het niet mogelijk was te reageren in het gastenboek. De bedoeling van de verweerder was om zo weinig mogelijk persoonsgegevens te verwerken. In zijn conclusie na hoorzitting overliep de verweerder de maatregelen die zijn genomen in deze zin aangaande het gastenboek. De klanten worden aangemaand met een alias te werken en geen identiteitsgegevens op te nemen in hun bericht. Wanneer dit toch gebeurt, kan de verweerder tussenkomen door het bericht niet te publiceren of meteen te verwijderen. 50. De Geschillenkamer stelt vast dat er een gastenboek beschikbaar was op de website waar klanten van de erotische sauna berichten konden achterlaten. Gezien de aard van de activiteiten van de verweerder, betreffen persoonsgegevens in dit verband gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, zoals verduidelijkt door de voorzitter van de Geschillenkamer tijdens de hoorzitting, wanneer het ging over eventuele Beslissing ten gronde 53/2025 — 11/14 camerabeelden van klanten. In het verleden werd het e-mailadres van de klant die een bericht postte reeds verwijderd, na de hoorzitting werd aangedrongen op het gebruik van een alias en het vermijden van persoonsgegevens. Consultatie van het openbaar gastenboek leert de Geschillenkamer dat veelal gewerkt wordt met voornamen, initialen of aliassen, in veel gevallen in combinatie met de gemeente en mogelijk met persoonlijke opmerkingen die terug kunnen leiden tot de bewuste klant. 51. Na de hoorzitting had de Geschillenkamer bijkomende conclusies gevraagd aangaande dit gastenboek, meer in het bijzonder werd gevraagd naar de garantie dat dit gastenboek voldeed aan de principes van artikel 5 en 6 van de AVG. Het beperkte antwoord van de verweerder bevatte geen enkele indicatie van een rechtsgrond voor deze verwerking, noch van een uitzonderingsgrond op het verwerkingsverbod van artikel 9.1 van de AVG. Artikel 5.2 stelt echter duidelijk dat de verweerder als verwerkingsverantwoordelijke de naleving van artikel 5.1, in casu de rechtmatigheid van de verwerking van artikel 5.1.a van de AVG, moet kunnen aantonen. De Geschillenkamer oordeelt dat de verweerder een inbreuk heeft begaan tegen artikel 5.1.a, artikel 6.1 en artikel 9.2 juncto artikel 5.2 van de AVG. III. Corrigerende maatregelen en sancties 52. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; Beslissing ten gronde 53/2025 — 12/14 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 53. Aangaande de verwerking van persoonsgegevens door middel van de bewakingscamera’s beveelt de Geschillenkamer de buitenvervolgingstelling aangezien het voorwerp van de klacht is verdwenen als gevolg van de maatregelen die door de verwerkingsverantwoordelijke werden genomen. 54. Het is aan de Geschillenkamer om te beslissen over de meest geschikte sanctie in het licht van de inbreuken op artikel 5.1.a, 6.1 en 9.2 juncto 5.2, artikel 13.1.c, en artikel 30 van de AVG en alle omstandigheden van de zaak. 55. De Geschillenkamer is gevoelig voor het feit dat de verweerder reeds verschillende verbeteringen heeft aangebracht aan zijn beleid inzake gegevensbescherming tijdens de procedure, dat de verweerder actief de verwerking van persoonsgegevens tracht te minimaliseren en dat onderhavige beslissing vier jaar op zich heeft laten wachten. 56. In deze omstandigheden waarschuwt de Geschillenkamer de verweerder op grond van artikel 100.1.5° van de WOG dat: • gezien de activiteiten van de verweerder, hij enkel gegevens rechtmatig mag verwerken op basis van een rechtsgrond uit artikel 6.1 van de AVG samen met een uitzonderingsgrond uit artikel 9.2 van de AVG en dit moet kunnen aantonen conform artikel 5.2 van de AVG, • de rechtsgrond van de verwerkingen duidelijk moet zijn voor de betrokkene waarvan de verweerder persoonsgegevens verwerkt conform artikel 13.1.c van de AVG, • de verweerder ten allen tijde een volledig verwerkingsregister moet bijhouden en kunnen voorleggen aan de GBA conform artikel 30 van de AVG. Beslissing ten gronde 53/2025 — 14/14 overeenkomstig artikel 1034quinquies van het Ger.W.16, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Voorzitter van de Geschillenkamer 16 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.