← België

Beslissing ten gronde nr. 56/2026

1/34 Geschillenkamer Beslissing ten gronde 56/2026 van 12 maart 2026 Dossiernummer : DOS-2022-00003 De Geschillenkamer van de Gegevensbeschermingsautoriteit, Gelet op Verordening (EU) 2016/679 van het

, §5 van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties doordat: - De gemeente Dilbeek niet duidelijk heeft bepaald welke categorieën van persoonsgegevens in het kader van het litigieuze project worden geraadpleegd in de Kruispuntbank van de voertuigen en voor welke doeleinden; - De gemeente Dilbeek, waar deze categorieën wel bepaald zijn, aangeeft bepaalde gegevens te raadplegen waartoe zijn op basis van de toepasselijke machtiging in het kader van het litigieuze project geen toegang zou mogen hebben; - De gemeente Dilbeek bij de raadpleging van gegevens in de Kruispuntbank van de voertuigen niet kan aantonen de wettelijke Beslissing ten gronde 56/2026 — 4/34 vereiste toegangsbeveiliging door middel van het bijhouden van logbestand van de raadplegingen toe te passen. 9) Schending van art. 5.1.c AVG, art. 25 AVG en art. 17 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van natuurlijke personen doordat het door de gemeente Dilbeek gehouden consultatieregister niet alle verplichte vermeldingen bevat zoals opgesomd art. 17, lid 2 van de wet van 8 augustus 1983, waardoor geen adequate toegangsbeveiliging wordt toegepast op de raadplegingen van het Rijksregister in het kader van het litigieuze project. 10) Inbreuk op art. 35 doordat de door de gemeente Dilbeek uitgevoerde GEB niet voldoet aan de in art. 35.7 minimaal daaraan gestelde voorwaarden. 7. Het onderzoeksverslag wees ook op het strategische belang van de inbreuken, op vier verzwarende omstandigheden (duur van de inbreuk, aantal betrokkenen, ernst van de impact op de betrokkenen en gemaakte financiële winsten) en op een verzachtende omstandigheid namelijk dat het een complexe verwerking betreft met veel verschillende betrokkenen en de gemeente Dilbeek minstens formeel verschillende voorafgaande stappen genomen heeft bij de opstart van de verwerking (advies van de DPO, uitvoeren van een GEB, informeren van buurtbewoners, adviesaanvraag aan de korpschef en het afsluiten van een protocol met DIV). 8. Daarnaast identificeerde het onderzoeksverslag negen mogelijke belanghebbende derden:

  1. a)Z1: verwerker van gemeente Dilbeek;
  2. b)Z2: verwerker van Z1;
  3. c)Z3: verwerker van Z1;
  4. d)Z4: verwerker van Z5;
  5. e)Y1: verwerker van Z1;
  6. f)Z5 (Vlaams Gewest): verwerker van gemeente Dilbeek;
  7. g)FOD Mobiliteit en vervoer (DIV): verstrekker van gegevens uit de Kruispuntbank van de voertuigen (KBV);
  8. h)FOD Binnenlandse zaken (IBZ): verstrekker van gegevens uit het Rijksregister;
  9. i)9. Z6: verwerker van de gemeente Dilbeek in kader van toegang Rijksregister/KBV. Op 10 januari 2025 besloot de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed was voor behandeling ten gronde. Diezelfde dag werden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens werden zij op grond van Beslissing ten gronde 56/2026 — 5/34 artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Hierbij werden ook de hierboven genoemde mogelijke derde belanghebbenden aangeschreven, op grond van artikel 98, al. 2 WOG, met de vraag of zij wensten tussen te komen in de procedure tussen klager en verweerder. 10. De partijen werden gevraagd te concluderen aangaande de volgende vermeende schendingen:
  10. a)Schending van artikel 6.1 AVG aangezien de verweerder zich niet rechtmatig zou kunnen beroepen op de rechtmatigheidsgronden uit artikel 6.1.
  11. c)of 6.A.
  12. e)AVG;
  13. b)Schending van artikel 9.1 AVG doordat de gemeente Dilbeek binnen het vergunningensysteem nummerplaten van cliënten van gezondheidsverstrekkers zou verwerken en koppelen aan die gezondheidsverstrekker, zonder dat een geldige uitzondering in de zin van artikel 9.2 AVG kan worden ingeroepen;
  14. c)Schending van artikel 5.1.c. AVG en 25 AVG doordat de gemeente Dilbeek bij haar keuze voor de implementatie van een toegangsverbod C3 met vergunningensysteem niet zou onderzocht hebben of de omvangrijk en indringende verwerking van persoonsgegevens die daarmee gepaard ging noodzakelijk was voor het door de verwerking nagestreefde doeleinde;
  15. d)Schending van artikel 5.1.c AVG en artikel 25 AVG doordat de gemeente Dilbeek geen bewaringstermijn zou bepaald hebben voor de gegevens betreffende vergunningsaanvragen en in de praktijk een overmatige bewaringstermijn blijkt toe te passen.
  16. e)Schending van artikel 5.1.c AVG en artikel 25 AVG doordat de gemeente Dilbeek zonder aantoonbare noodzaak daartoe een bezoekerslijst aanlegt van bewoners/ondernemingen binnen de vergunningszone;
  17. f)Schending van artikel 5.1.c AVG, artikel 25 AVG en artikel 17 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van natuurlijke personen doordat het door de gemeente Dilbeek gehouden consultatieregister niet alle verplichte vermeldingen zou bevatten zoals opgesomd in artikel 17 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van natuurlijke personen, waardoor geen adequate toegangsbeveiliging wordt toegepast op de raadplegingen van het Rijksregister in het kader van het litigieuze project;
  18. g)Schending van artikel 35 AVG doordat de door de gemeente Dilbeek uitgevoerde GEB niet zou voldoen aan de in artikel 35.7 AVG minimaal daaraan gestelde voorwaarden. Beslissing ten gronde 56/2026 — 6/34 11. Op 29 september 2025 vond een hoorzitting plaats. Een proces verbaal werd opgesteld en verzonden aan de partijen. De verweerder formuleerde hierop opmerkingen. De Geschillenkamer neemt deze mee in haar beraad. Click or tap to enter a date.Click or tap to enter a date. II. Voorafgaande beschouwing 12. De onderhavige zaak speelt zich af tegen de achtergrond van een toenemende inzet van technologische middelen binnen de verkeershandhaving, in het bijzonder het gebruik van Automatic Number Plate Recognition-systemen (ANPR). Deze ontwikkeling past binnen een bredere maatschappelijke en bestuurlijke tendens waarbij digitalisering en automatisering worden aangewend om de naleving van verkeersregels efficiënter en effectiever te controleren. 13. Tegelijkertijd brengt de inzet van ANPR-systemen onmiskenbaar vergaande gevolgen met zich voor de bescherming van de persoonlijke levenssfeer. ANPR betreft immers de geautomatiseerde verwerking van kentekengegevens, die – al dan niet in combinatie met andere gegevens – kunnen worden herleid tot een geïdentificeerde of identificeerbare natuurlijke persoon en daarmee kwalificeren als persoonsgegevens in de zin van de AVG. De grootschaligheid, continuïteit en vaak ongerichte aard van dergelijke gegevensverwerkingen vergroten het risico op een verregaande inbreuk op fundamentele rechten dan bij meer traditionele vormen van toezicht. 14. Dit betekent dat de rechtmatigheid van de inzet van ANPR niet uitsluitend kan worden beoordeeld vanuit het oogpunt van handhavingseffectiviteit, maar steeds moet worden getoetst binnen het kader van de AVG en de daaruit voortvloeiende beginselen, waaronder rechtmatigheid, doelbinding, dataminimalisatie, proportionaliteit en subsidiariteit. Daarbij is van belang dat technologische mogelijkheden niet zonder meer de grenzen van toelaatbare gegevensverwerking bepalen; doorslaggevend is of de concrete toepassing, in haar specifieke context, noodzakelijk en evenredig is ter verwezenlijking van een gerechtvaardigd doel, en of voldoende waarborgen zijn getroffen ter bescherming van de betrokkenen. III. Motivering III.1. Beschrijving van de verwerking 15. Op 21 december 2021 nam de gemeente Dilbeek twee besluiten om een halt toe te roepen aan het sluipverkeer waarmee de gemeente kampt.1 De gemeente koos voor een systeem 1 Stuk 37 en 38. Beslissing ten gronde 56/2026 — 7/34 met een verbod, behoudens vergunning, op toegang in bepaalde zones, kenbaar gemaakt door het verkeersbord C3, gehandhaafd door ANPR camera’s. Het systeem combineert de duur waarin een voertuig het traject doorkruist met het al dan niet beschikken over een vergunning, geregistreerd in een vergunningslijst. 16. De gemeente maakte daarvoor vergunninghoudende groepen aan en bepaalde doorrijtijden waarin de ANPR camera’s nummerplaten registreren. Het doorrijverbod geldt op werkdagen en binnen de spitsuren tussen 6u30-9u30 en 15u30 en 19u. 17. De volgende personen en rechtspersonen vallen binnen de vergunninghoudende groepen:
  19. a)Bewoners en handelaars die in de vergunningszone wonen of werken;
  20. b)Bezoekers van bewoners en handelaars in de vergunningszone, geregistreerd door de bewoners en/of handelaars in de vergunningszone;
  21. c)Voertuigen in kader van dienstverlening;
  22. d)Intradura (intercommunale voor afvalbeheer);
  23. e)Gemeentediensten;
  24. f)Zorgverleners (diensten van OCMW, vervoer van minder mobiele personen, thuisverpleging en familiale medische ondersteuning, dokters, apothekers, kinesisten en vroedvrouwen). 18. Artikel 4 van het gemeentereglement van 21 december 2021 bepaalt het principe en stelt dat het toegangsverbod op lokale wegen binnen bepaalde zones wordt aangeduid met verkeersbord C3, aangevuld met een onderbord dat het geldende tijdsslot vermeldt, zoals vastgelegd in het aanvullend verkeersreglement.2 De naleving wordt gecontroleerd via ANPR-camera’s die nummerplaten scannen bij het in- en uitrijden van de zone. Een softwaresysteem verifieert of het voertuig over een geldige vergunning beschikt en of het de zone betreedt tijdens het geldende tijdsslot. Nummerplaten waarvoor geen vergunning is aangevraagd of toegekend en die de zone tijdens het verbodsuur doorkruisen, worden automatisch geregistreerd als overtreding.3 19. Het doel van de verwerking in casu wordt door het gemeentereglement van 21 december 2021 in artikel 10 omschreven als “het doorgaand verkeer op bepaalde wegen met 2 Stuk 38. 3 Stuk 37. Beslissing ten gronde 56/2026 — 8/34 toegangsverbod beperken”.4 In de GEB wordt als doeleinde van de verwerking de “handhaving” van sluipverkeer benoemd. 5 III.2. Verwerking van persoonsgegevens 20. Artikel 4.1 van de AVG definieert een persoonsgegeven als “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”. 21. De Geschillenkamer stelt vast op basis van de stukken in het dossier dat er niet betwist wordt dat er in het litigieuze project “Minder verkeer, beter wonen” persoonsgegevens worden verwerkt. De GEB vermeldt dat de volgende gegevens worden verwerkt: naam, voornaam, adres, rijksregisternummer, kentekenplaat, bankrekeningnummer en beeldopnames van de bestuurlijke overtreding. 6 Daarnaast blijkt uit het onderzoeksverslag dat ook beroep- en RIZIV-nummers van gezondheidsverleners worden verzameld, gegevens betreffende de werkgever van betrokkenen, en gegevens opgenomen in het kentekenbewijs (voor- en achterkant) van het voertuig van betrokkenen. Verder stelt de Inspectiedienst ook vast dat de gemeente een historiek bewaart van nummerplaten van bezoekers van bewoners en handelaars. 7 III.3. Bevoegdheid van de Geschillenkamer van de GBA 22. Vooreerst merkt de Geschillenkamer op dat de GBA bevoegd is voor het toezicht op de verwerkingen van de verweerder. De Geschillenkamer kadert de bevoegdheid van de GBA verder als volgt. 23. Het recht op bescherming van persoonsgegevens is een fundamenteel recht dat verankerd is in artikel 8 van het Handvest van de Grondrechten van de Europese Unie (hierna “het Handvest”). Dit artikel bepaalt dat eenieder recht heeft op bescherming van zijn persoonsgegevens, die eerlijk, voor welbepaalde doeleinden en op basis van een wettelijke grondslag moeten worden verwerkt. Daarnaast heeft eenieder recht op toegang tot en rectificatie van de hem betreffende gegevens. In het vierde lid van dit artikel is uitdrukkelijk bepaald dat de naleving van deze regels wordt gecontroleerd door een onafhankelijke autoriteit. Overweging 1 van de AVG verwijst naar artikel 8 van het Handvest en stelt: “De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8,

, van het Handvest van de grondrechten van de 4 Stuk

  1. 5 Stuk
  2. 6 Stuk
  3. 7 Onderzoeksverslag, p. 43-
  4. Beslissing ten gronde 56/2026 — 9/34 Europese Unie en artikel 16,

, van het Verdrag betreffende de werking van de Europese Unie (VWEU) heeft eenieder recht op bescherming van zijn persoonsgegevens.” 24. Overeenkomstig artikel 51,

AVG dient elke lidstaat één of meer onafhankelijke toezichthoudende autoriteiten aan te wijzen die verantwoordelijk zijn voor het toezicht op de toepassing van de AVG, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens te beschermen.8 Deze autoriteiten dienen te voldoen aan Hoofdstuk VI van de AVG, meer bepaald aan de vereisten van onafhankelijkheid (Afdeling 1 van dit hoofdstuk) en zij dienen te beschikken over de vereiste competentie, taken en bevoegdheden (Afdeling 2 van dit hoofdstuk). 25. Artikel 4, §1, WOG bepaalt dat de GBA verantwoordelijk is voor het toezicht op de toepassing van zowel de AVG als de nationale regelgeving inzake gegevensbescherming. 26. De GBA voldoet aan de vereisten van Hoofdstuk VI AVG. Zij vertegenwoordigt België in het Europees Comité voor Gegevensbescherming, verleent adviezen zoals bepaald in artikel 57,

AVG, en neemt deel aan het coherentiemechanisme inzake grensoverschrijdende gegevensverwerkingen.9

  1. In 2023 heeft het Grondwettelijk Hof zowel in het arrest nr. 26/2023 als het arrest nr.92/2023 geoordeeld dat (de Geschillenkamer onderlijnt en benadrukt): “Om te voldoen aan de vereisten van de AVG dienen de in België op grond van de interne bevoegdheidsverdeling ingestelde toezichthoudende autoriteiten te worden aangemeld bij de bevoegde instellingen van de Europese Unie, moet één dezer toezichthoudende autoriteiten worden aangewezen die de verschillende toezichtautoriteiten in het Europees Comité voor gegevensbescherming moet vertegenwoordigen en dient de procedure te worden vastgesteld om ervoor te zorgen dat de andere autoriteiten de regels in verband met het in artikel 63 bedoelde coherentiemechanisme naleven.”10
  2. Verder bepaalde het Hof daarbij in overweging B.30.8 dat de Vlaamse Toezichtcommissie (VTC) op dat moment niet was aangemeld bij de Europese instellingen en dat er evenmin een procedure bestond om te verzekeren dat zij de regels met betrekking tot het coherentiemechanisme, bedoeld in artikel 63 AVG, naleefde. In de afwezigheid van het vervullen van die cumulatieve voorwaarden oordeelde het Hof dat de VTC niet bevoegd was om te worden geraadpleegd bij het tot stand brengen van wetgevende maatregelen betreffende gegevensverwerking, zoals vereist op grond van artikel 36, lid 4 AVG.11 8 Artikel 51.1 AVG. 9 Vgl. Webpagina “Leden” van het Europees Comité voor Gegevensbescherming, https://www.edpb.europa.eu/about-edpb/about-edpb/members nl#member-be. beschikbaar via: 10 GwH, 16 februari 2023, nr. 26/2023, p. 84, par. B.30.7; de Geschillenkamer benadrukt en onderlijnt in de geciteerde tekst. 11 Ibid. Beslissing ten gronde 56/2026 — 10/34
  3. Samengevat, indien meer autoriteiten worden aangewezen, dienen overeenkomstig artikel 51,

AVG meerdere voorwaarden vervuld te zijn:

  1. a)De betrokken toezichthoudende autoriteiten moeten door de betrokken lidstaat worden gemeld aan de bevoegde Europese instellingen.
  2. b)Al deze autoriteiten moeten voldoen aan de vereisten van Hoofdstuk VI AVG.
  3. c)Eén van deze autoriteiten moet worden aangewezen om alle Belgische autoriteiten te vertegenwoordigen in het Europees Comité voor gegevensbescherming.
  4. d)Er moet een procedure worden ingesteld om te garanderen dat de andere autoriteiten de regels inzake het coherentiemechanisme van artikel 63 van de AVG naleven. 30. Er bestaat op heden geen samenwerkingsakkoord omtrent de samenwerking tussen de GBA en de VTC waarin met inachtneming van de bevoegdheden van beide instellingen, de nodige procedures vastgelegd zijn voor de behandeling van klachten, de formulering van adviezen en de vertegenwoordiging van België in Europese en internationale organen. Het ontbreken van een dergelijke samenwerking en de huidige institutionele context waarin de GBA de enige Belgische autoriteit is die deelneemt aan de activiteiten van de EDPB, maakt dat de voorwaarde van artikel 51, lid 3 AVG op heden niet is vervuld voor wat betreft de werkzaamheden van de VTC. Dit brengt met zich mee dat de VTC momenteel niet de hoedanigheid heeft van volwaardige toezichthoudende autoriteit in de zin van de AVG. 31. Op grond van het voorgaande is de GBA de bevoegde toezichthoudende autoriteit voor de naleving van de AVG voor wat betreft de verwerkingen van de verweerder.12 III.4. Ontvankelijkheid van de klacht 32. De Geschillenkamer wenst te verduidelijken dat er in voorliggende zaak een onderscheid moet gemaakt worden tussen enerzijds de ontvankelijkheid van de klacht die wordt beoordeeld door de ELD volgens criteria limitatief opgesomd in de WOG 13 (de versie van toepassing ten tijde van de indiening van de klacht, die voorafgaat aan de wetswijziging van 1 juni 2024), en anderzijds het procesbelang van de klager. 12 13 Zie voor een meer uitvoerige onderbouwing hiervan, Beslissing 205/2025 van de GK. De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link: https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-vaninterne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum. Beslissing ten gronde 56/2026 — 11/34 33. Om te besluiten of een klacht ontvankelijk is, ging de ELD volgens de versie van de WOG die destijds van toepassing was14, na of:
  5. a)de klacht is opgesteld is in één van de landstalen;
  6. b)een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft;
  7. c)zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit. 15 34. Over de ontvankelijkheid van de klacht stelde het Marktenhof in arrest 2022/AR/42: “[…] de WOG bepaalt niet dat de Geschillenkamer, zodra zij een klacht in behandeling heeft genomen, een beslissing kan nemen over de ontvankelijkheid van klachten die aan de GBA worden voorgelegd”16 en “Uit de lezing van artikelen 94, 95 en 100 van de WOG blijkt dat dat de wetgever de Geschillenkamer niet de mogelijkheid heeft gegeven om een beslissing te nemen over de ontvankelijkheid van de klacht die bij haar aanhangig is gemaakt […]”17. 35. De ELD gaf in haar correspondentie met de klager initieel aan dat de klacht als onontvankelijk werd beschouwd bij gebrek aan begin van bewijs dat de gegevens van de klager worden misbruikt. Als reactie hierop verduidelijkte de klager zijn grieven en stelde hij het volgende: “Sinds dat die camera’s er hangen kom ik niet meer in betrokken wijk, tenzij met de fiets. Het is nogal kort door de bocht te stellen dat daardoor mijn persoonsgegevens dus niet (meer) at stake zijn. Ik wil absoluut wél opnieuw door die wijk kunnen rijden , zonder dat mijn persoonsgegevens te moeten prijsgeven. Dat ik de klacht heb neergelegd omdat ik door een burgerinitiatief werd aangesteld als woordvoerder namens alle betrokkenen doet hier weinig ter zake.” 36. De klacht werd na bovenstaande verduidelijking ontvankelijk verklaard op 9 januari 2023. 37. Gelet op voorgaande rechtspraak van het Marktenhof, gezien de ELD geoordeeld heeft dat de klacht ontvankelijk is, kan de Geschillenkamer hier niet op terugkomen en is zij gehouden deze klacht te behandelen. Ten overvloede wijst de Geschillenkamer nog op het volgende: de verweerder stelt dat niet aan de ontvankelijkheidsvoorwaarden werd voldaan. De verweerder verwijst daarbij naar de ontvankelijkheidsvoorwaarden van de huidige WOG, die verschillen van de ontvankelijkheidsvoorwaarden die op het moment van indiening van de klacht van toepassing waren. Zelfs indien de Geschillenkamer bevoegd zou zijn de ontvankelijkheid te beoordelen, volgt zij dit argument van de verweerder niet. 14 Ibid. 15 Art. 60, tweede lid, WOG in de versie die van toepassing is op onderhavig dossier. 16 HvB Brussel, sectie Marktenhof, arrest 2022/AR/42 van 8 juni 2022, randnummer 20. Machinevertaling: “de WOG bepaalt dat de Geschillenkamer, zodra een klacht bij haar is ingediend, geen beslissing kan nemen over de ontvankelijkheid van klachten die aan de GBA zijn gericht.” 17 “Bij lezing [van de artikelen 94, 95 en 100 van de WOG] blijkt duidelijk dat de wetgever niet heeft voorzien in de mogelijkheid dat de Geschillenkamer een beslissing neemt over de ontvankelijkheid van de aan haar voorgelegde klacht.” Beslissing ten gronde 56/2026 — 12/34 III.5. Procesbelang van de klager 38. Zoals volgt uit voorgaande is de Geschillenkamer niet bevoegd om de ontvankelijkheid van een klacht te (her)beoordelen. Wel zou de Geschillenkamer kunnen overgaan tot de seponering, wanneer blijkt dat de klager onvoldoende belang heeft. 39. Artikel 77 van de AVG bepaalt dat iedere betrokkene het recht heeft om een klacht in te dienen bij een toezichthoudende autoriteit, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens een inbreuk uitmaakt op de AVG. 40. Artikel 58 van de WOG stelt dat “eenieder” een klacht kan indienen bij de GBA. Door de Geschillenkamer is eerder gepreciseerd dat het gaat om eenieder met een voldoende belang18. Een louter publiek belang volstaat hierbij niet.19 Een klager moet kunnen aantonen in welk opzicht hij persoonlijk in verband kan worden gebracht met de aangeklaagde verwerking.20 41. Door het Marktenhof werd in het arrest van 19 maart 2025 bevestigd dat het niet nodig is dat een klager kan aantonen dat zijn gegevens effectief werden verwerkt, maar dat het wel nodig is om aan te geven dat het om meer gaat dan het louter publiek belang. 21 42. In het arrest van 7 oktober 2021 oordeelde het Hof van Cassatie dat een betrokkene wiens persoonsgegevens zelf niet werden verwerkt, maar die een voordeel of een dienst niet heeft verkregen omdat hij weigerde zijn toestemming te verlenen voor een inbreukmakende verwerking, het recht heeft Gegevensbeschermingsautoriteit. 43. om een klacht in te dienen bij de 22 Het komt aan de Geschillenkamer toe om in concreto te onderzoeken of de klager een voldoende persoonlijk belang heeft.23 44. De ELD verklaarde de klacht initieel ontvankelijk omdat de klager geen begin van bewijs kon voorleggen dat wees op misbruik van zijn eigen persoonsgegevens. Pas na verduidelijking waarom de persoonsgegevens van de klager mogelijks wel in het gedrag komen door het litigieuze project verklaarde de ELD de klacht ontvankelijk. 45. De klager stelt, zoals uiteengezet in randnummer 35, dat hij sinds de plaatsing van de camera’s de betrokken wijk niet langer met de wagen betreedt en zich enkel nog per fiets 18 GBA, 17 december 2020, beslissing 80/2020, p. 11. In die gaf de klager uitdrukkelijk aan hoe dan ook niet over enig persoonlijk belang te beschikken. 19 HvB Brussel, sectie Marktenhof 19 maart 2025, ‘Mediahuis’, rolnr. 2024/AR/1690, par. 26. 20 GBA, Nota inzake de positie van de Klager in de procedure bij de Geschillenkamer, 15 februari 2021, p.2. 21 HvB Brussel, sectie Marktenhof 19 maart 2025, ‘Mediahuis’, rolnr. 2024/AR/1690, p.23. 22 Cass. 7 oktober 2021, C.20.0323.N, concl. E. Herregodts, beschikbaar via www.juportal.be; https://juportal.be/content/ECLI:BE:CASS:2021:ARR.20211007.1N.4?HiLi=eNpLtDK2qs60MrAutjI2sFJKT01PLUvNK05KLU7 OSC3KzcxLL04sLckvyixJzSxRss60MoSqdHd1dw1z9Qt2cg129nAN8vX0cw92DA3xD/IMcfUMAak0gqkkYGYtAFHdLHE= 23 HvB Brussel, sectie Marktenhof, 19 maart 2025,, rolnr. 2024/AR/1690, p.27. Beslissing ten gronde 56/2026 — 13/34 door de wijk verplaatst. De klager meent dat het kort door de bocht zou zijn om te stellen dat zijn persoonsgegevens hier niet in het geding zouden zijn. De klager wenst opnieuw vrij door de wijk te kunnen rijden zonder daarbij zijn persoonsgegevens te moeten prijsgeven. Het feit dat de klacht initieel werd ingediend in zijn rol als woordvoerder van een burgerinitiatief, doet volgens de klager geen afbreuk aan zijn persoonlijk belang. De klager meent dat het onredelijk zou zijn dat hij zich door een kennis in de wijk zou moeten laten uitnodigen, dan wel zich bewust aan een GAS-boete zou moeten blootstellen, louter om zijn persoonlijk belang te kunnen aantonen. 46. De verweerder meent dat er in casu sprake is van een actio popularis, gezien de klager in het initiële klachtenformulier verwijst naar een burgerinitiatief en in de uiteenzetting van zijn grieven de bewoording “wij” gebruikt. De verweerder argumenteert dat de klager geen bewijs kan leveren van de nodige vertegenwoordigingsbevoegdheid. Daarom meent de verweerder dat de klacht dient te worden afgewezen als onontvankelijk, minstens in die mate dat deze ook zou uitgaan van andere buurtbewoners. 47. Verder meent de verweerder dat de klacht niet ontvankelijk dient te worden verklaard omdat er in hoofde van de klager geen voldoende concreet persoonlijk belang zou bestaan in de zin van artikel 77 AVG. De verweerder komt tot dit argument gezien de klager zich niet binnen één van de zones bevindt waarvoor hij in aanmerking komt voor een vergunning en hij de vergunningszone kan betreden via alternatieve toegangswegen. De verweerder meent dat deze huidige situatie wezenlijk verschilt van de dienst of voordeel waarvan sprake is in het Cassatiearrest van 7 oktober 2021. 48. De verweerder argumenteert bovendien dat de klager het rechtens vereiste actuele belang ontbeert gezien hij zijn klacht indiende voor de effectieve start van het litigieuze project dat bovendien intussen ook werd stopgezet. 49. Uit de grieven van de klager leidt de Geschillenkamer af dat hij zijn gedrag heeft aangepast ingevolge de plaatsing van de ANPR camera’s door de verweerder. De Geschillenkamer oordeelt dat om een voldoende persoonlijk belang te hebben, niet enkel dient te worden gekeken naar puur economische of pecuniaire gevolgen. 50. Het recht op de bescherming van persoonsgegevens is een grondrecht binnen de Europese Unie (Artikel 8 van het Handvest). Dit grondrecht beoogt een reële controle aan EU-burgers toe te kennen, waarbij ook de handhaving door een onafhankelijke toezichthoudende autoriteit van dat grondrecht in het Handvest zelf verankerd is als onderdeel van het recht op gegevensbescherming (Artikel 8.3 van het Handvest). Het klachtmechanisme waarin artikel 77 AVG voorziet, is hier een veruitwendiging van. In het Schufa-arrest herinnerde het Hof van Justitie eraan dat “de klachtenprocedure, die niet te vergelijken valt met die van een Beslissing ten gronde 56/2026 — 14/34 petitie, is opgevat als een mechanisme waarmee de rechten en belangen van de betrokkenen doeltreffend kunnen worden beschermd.”24 51. Het feit dat de klager zijn gedrag aanpast door een mogelijk inbreukmakende verwerkingsactiviteit in zijn directe omgeving is hier doorslaggevend om te concluderen dat er een persoonlijk belang is. Anders oordelen zou immers betekenen dat de klager enkel klacht kan indienen nadat hij de vermeende inbreukmakende praktijk (bewust) moet ondergaan. Welnu, de klager stelt uitdrukkelijk dat hij een gedrag niet stelt (met een auto door een bepaalde zone rijden) hetwelk hij anders wel zou (kunnen) stellen. Deze gestelde gedragsaanpassing is voor de Geschillenkamer reden om te oordelen dat de klager een voldoende belang heeft om de klacht neer te leggen, gelet ook op de cruciale plaats die het klachtrecht inneemt als onderdeel van het grondrecht op de bescherming van persoonsgegevens. 52. Meer nog, het Hof van Cassatie heeft reeds bevestigd dat het ontnemen van een dienst of voordeel door het niet ondergaan van de in de klacht geviseerde gegevensverwerking volstaat om een belang te hebben bij het neerleggen van een klacht. A fortiori is de aanpassing van een gedrag in de publieke ruimte om de kwestieuze gegevensverwerking niet te moeten ondergaan dan voldoende om met het rechtens vereiste belang klacht te kunnen indienen. 53. Bovendien, mocht de noodzaak bestaan dat de klager zijn persoonsgegevens in deze context verwerkt ziet teneinde de klacht te kunnen indienen, dan zouden deze omstandigheden bewust (en dus artificieel) gecreëerd moeten worden – hetgeen juist een probleem zou kunnen uitmaken voor de klachtneerlegging. 54. Dat de klager naast een eigen persoonlijk belang, ook een publiek belang nastreeft doet niet ter zake. Het is volgens de Geschillenkamer niet van belang dat de klager zijn klacht oorspronkelijk mede heeft ingediend in het kader van een burgerinitiatief. 55. Uit bovenstaande besluit de Geschillenkamer dat de klager een voldoende persoonlijk belang heeft bij de klacht. De klager is immers een inwoner van Dilbeek die, ingevolge van de plaatsing van ANPR camera’s, zijn gedrag heeft aangepast. III.6. Verwerkingsverantwoordelijke en belanghebbende derden 56. De Geschillenkamer stelt op basis van de stukken in het dossier vast dat er geen discussie bestaat over de hoedanigheid van verwerkingsverantwoordelijke. De verweerder wordt door de Inspectiedienst, de belanghebbende derden en de klager aangeduid als verwerkingsverantwoordelijke en verzet zicht ook niet tegen deze vaststelling. Voor de 24 HvJ 7 december 2023, Schufa, C-26/22, ECLI:EU:C:2023:950, r.o. 58. Beslissing ten gronde 56/2026 — 15/34 Geschillenkamer staat voldoende vast dat verweerder doel en middelen van de verwerking bepaalt. 57. Zoals vermeld in randnummer 8 identificeerde de Inspectiedienst negen belanghebbende derden. Van deze belanghebbende derden zijn Y1, FOD Mobiliteit en vervoer en FOD Binnenlandse zaken tussengekomen in de procedure. III.7. Over de vermeende inbreuken op de AVG III.7.1. Rechtmatigheid van de verwerking 58. Iedere verwerking van persoonsgegevens dient te voldoen aan de principes opgenomen in artikel 5 van de AVG. Volgens artikel 5 1.
  8. a)van de AVG moeten persoonsgegevens worden verwerkt op een wijze die rechtmatig, behoorlijk en transparant is. 59. Een verwerking van persoonsgegevens is slechts rechtmatig indien deze gebeurt conform één van de rechtsgronden uit artikel 6.1 AVG. 60. De Inspectiedienst stelt vast dat de verweerder geen geldige rechtsgrond in de zin van artikel 6 van de AVG kon aanwijzen voor de verwerking. De Inspectiedienst merkt op dat de GEB verduidelijkt dat de verweerder zicht baseert op artikel 6.1.
  9. e)AVG, maar dat de noodzakelijkheids- en evenredigheidstoets die artikel 6.3 AVG vooropstelt bij het gebruik van de rechtsgrond uit artikel 6.1.
  10. e)AVG niet blijkt te zijn gemaakt. 61. De klager stelt in zijn klacht dat de maatregelen in kader van het project “Minder verkeer, beter wonen”, niet rijmen met de beginselen van noodzakelijkheid en evenredigheid . 62. De verweerder benadrukt dat het duidelijk is op welke rechtsgrond wordt gesteund, namelijk artikel 6.1.
  11. e)AVG: de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.25 63. In de GEB van het litigieuze project wordt voor de wettelijke basis van de verwerking verwezen naar het algemeen politiereglement en de Wet van 24 juni 2013 betreffende gemeentelijke administratieve sancties. Daarnaast verwijst de GEB ook naar de AVG en de vervulling van een taak van algemeen belang en van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. 26 In de conclusie van dupliek verduidelijkt de verweerder dat de taak van algemeen belang zijn 25 Conclusie van dupliek, p. 37. 26 Stuk 27. Beslissing ten gronde 56/2026 — 16/34 wettelijke weerslag vindt in artikel 2 en 40 van het Decreet Lokaal Bestuur en in artikel 119 samen gelezen met artikel 135 §2 van de Nieuwe Gemeentewet. 27 Beoordeling door de Geschillenkamer 64. Opdat een verwerkingsverantwoordelijke zich op artikel 6.1
  12. e)van de AVG zou kunnen beroepen om persoonsgegevens te verwerken, moet deze verwerking noodzakelijk zijn voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. De verwerking moet in deze gevallen altijd een grondslag hebben in het recht van de Europese Unie of dat van de betreffende lidstaat, waarin ook het doel van de verwerking moet neergeschreven staan. 65. Krachtens artikel 6.3 en overweging 45 van de AVG moet een verwerking op grond van artikel 6.1.
  13. e)AVG dus aan volgende voorwaarden voldoen:
  14. a)De verwerkingsverantwoordelijke moet belast zijn met de vervulling van een opdracht van algemeen belang of een opdracht die deel uitmaakt van de uitoefening van het openbaar gezag op grond van een rechtsgrondslag, ongeacht of die in het recht van de Europese Unie dan wel in het recht van de lidstaten is vervat;
  15. b)De doeleinden van de verwerking worden in de rechtsgrond vastgelegd of moeten noodzakelijk zijn voor de uitvoering van de opdracht van algemeen belang of de uitoefening van het openbaar gezag. 66. Er moet bijgevolg worden nagegaan of in casu aan bovenstaande voorwaarden is voldaan. 67. Volgens artikel 2 van het Decreet Lokaal Bestuur kunnen gemeenten bevoegdheden uitoefenen die hen door een wet of een decreet zijn toevertrouwd. Artikel 40 van het Decreet Lokaal Bestuur stelt dat de gemeenteraad de volheid van bevoegdheid heeft, behoudens andere hogere regels, over de gemeentelijke aangelegenheden. Hij bepaalt het gemeentelijk beleid en kan hiervoor algemene regels vastleggen. Daarnaast stelt de gemeenteraad gemeentelijke reglementen vast, onder meer over beleid, belastingen, retributies en het interne bestuur, met respect voor hogere formeelrechtelijke normen. Artikel 119 samen gelezen met artikel 135§2 van de Nieuwe Gemeentewet vertrouwt een gemeente de bevoegdheid toe om te voorzien in een goede politie. Artikel 135 § 2, 1° van de Nieuwe Gemeentewet specifieert: “Meer bepaald, en voor zover de aangelegenheid niet buiten de bevoegdheid van de gemeenten is gehouden, worden de volgende zaken van politie aan de waakzaamheid en het gezag van de gemeenten toevertrouwd: 1° alles wat 27 Conclusie van dupliek, p. 38. Beslissing ten gronde 56/2026 — 17/34 verband houdt met een veilig en vlot verkeer op openbare wegen, straten, kaden en pleinen…” 68. De Geschillenkamer oordeelt dat de aangehaalde rechtsgrond aan de voorwaarden van artikel 6.3 van de AVG voldoet. 69. Naast de verplichte voorwaarden van artikel 6.3 van de AVG, bepaalt ditzelfde artikel eveneens dat bijkomende elementen “kunnen” worden bepaald in de rechtsnorm: “Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.” 70. De Geschillenkamer wijst erop dat overeenkomstig artikel 6.3 dan de AVG, samen gelezen met artikel 22 van de Grondwet en in het licht van artikel 7 en 8 van het Europees Handvest, een wetgevende norm de essentiële kenmerken van een gegevensverwerking moet vastleggen die noodzakelijk is voor de uitvoering van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is toevertrouwd. De Geschillenkamer benadrukt dat de betrokken verwerking dient te worden omkaderd door een norm die voldoende duidelijk en nauwkeurig is waarvan de toepassing voor de betrokken personen voorzienbaar is. Overeenkomstig artikel 6.3 van de AVG dienen de precieze doeleinde(
  16. n)van de verwerking in de wettelijke norm zelf te worden opgenomen. Verder dienen volgende elementen voorzienbaar te zijn:
  17. a)de identiteit van de verwerkingsverantwoordelijke;
  18. b)de categorieën van verwerkte gegevens, met dien verstand dat deze in overeenstemming moeten zijn met artikel 5.1 van de AVG, “toereikend, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt”;
  19. c)de categorieën betrokkenen van wie de gegevens zullen worden verwerkt;
  20. d)de bewaartermijn van de gegevens;
  21. e)de ontvangers of categorieën ontvangers aan wie hun gegevens worden meegedeeld;
  22. f)de omstandigheden waarin en de redenen waarvoor ze zullen worden meegedeeld en; Beslissing ten gronde 56/2026 — 18/34
  23. g)de eventuele beperking van de verplichtingen en/of rechten vermeld in de artikelen 5, 12 tot en met 22 en 34 van de AVG. 71. De Geschillenkamer stelt vast dat de wetgever voor de artikelen waarop de verweerder zich beroept, heeft nagelaten deze essentiële kenmerken van de verwerking van persoonsgegevens te bepalen. 72. De Geschillenkamer heeft er al op gewezen dat taken van algemeen belang of openbaar gezag waarmee verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig omschreven verplichtingen of wetgevende normen, die de essentiële kenmerken van de gegevensverwerking vastleggen. 28 Veeleer vinden verwerkingen plaats op basis van een meer algemene machtiging om te handelen, zoals voor de vervulling van een taak die noodzakelijk is. Dit leidt ertoe dat de desbetreffende wettelijke basis in de praktijk veelal geen concreet omschreven bepalingen bevat omtrent de noodzakelijke gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke wettelijke grondslag beroep willen doen op artikel 6.1.
  24. e)van de AVG moeten dan zelf een afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen belang en de belangen van de betrokkenen. 73. In het arrest Huber sprak het Hof van Justitie zich uit over de voorwaarde van noodzakelijkheid: “Gelet op het doel, een gelijkwaardige bescherming te bieden in alle lidstaten, kan het begrip noodzakelijkheid zoals dit naar voren komt uit artikel 7, sub e, van richtlijn 95/46, dat een nauwkeurige afbakening wil geven voor een van de gevallen waarin de verwerking van persoonsgegevens geoorloofd is, dus niet een inhoud hebben die verschilt van lidstaat tot lidstaat. Het gaat bijgevolg om een autonoom begrip van het gemeenschapsrecht, dat moet worden uitgelegd op een wijze die volledig beantwoordt aan het doel van de richtlijn zoals omschreven in artikel 1,

.”29 74. Deze rechtspraak blijft tot op vandaag relevant gezien artikel 6,

van de AVG de bewoording van artikel 7 van Richtlijn 95/46/EG overneemt en het effect van de rechtspraak die betrekking heeft op de eerder geldende bepaling, relevant behoudt is ten aanzien van de vandaag geldende bepaling. 75. In het arrest Schecke verduidelijkt het Hof van Justitie dat als er realistische en minder ingrijpende alternatieven zijn, de verwerking niet noodzakelijk is.30 28 Zie o.a. beslissing van de Geschillenkamer 149/2022 van 18 oktober 2022 en beslissing van de Geschillenkamer 124/2021 van 10 november 2021. 29 HvJ 16 december 2008, Huber, C-524/06, ECLI:EU:C:2008:724. 30 HvJ 9 november 2010, Schecke en Eifert, C-92/09 en C-93/09, ECLI:EU:C:2010:662, r.o. 86. Beslissing ten gronde 56/2026 — 19/34 76. Hoewel de verweerder zoals eerder uiteengezet meent te beschikken over een rechtsgrond conform artikel 6.1

  1. e)AVG, stelt de Geschillenkamer dat de vereiste afweging tussen de noodzakelijkheid van de verwerking voor de taak van algemeen belang en de belangen van de betrokkenen niet is gemaakt, althans dat daarover niets is gedocumenteerd en hij dus in ieder geen bewijs kan overleggen dat een belangenafweging zou zijn gemaakt. In de conclusie van dupliek erkent de verweerder dit ook, en verontschuldigt hij zich voor het niet documenteren. 31 77. Op basis van bovenstaande overwegingen oordeelt de Geschillenkamer dat er sprake is van een schending van artikelen 5.1
  2. a)en 6.1 van de AVG aangezien de verweerder zich niet kan beroepen op de rechtmatigheidsgrond 6.1.
  3. e)AVG omdat de vereiste belangenafweging niet werd gemaakt . 78. Wat betreft de mogelijke verwerking van gezondheidsgegevens in kader van de litigieuze verwerking wijst de Geschillenkamer op artikel 4.15 van de AVG en bijhorende overweging 35 en artikel 9.1 van de AVG. 79. Artikel 4.14 van de AVG bepaalt dat gegevens over de gezondheid persoonsgegevens zijn die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven. 80. Overweging 35 van de AVG specificeert dat persoonsgegevens over gezondheid alle gegevens dienen te omvatten die betrekking hebben op de gezondheidstoestand van een betrokkene en die informatie geven over de lichamelijke of geestelijke gezondheidstoestand van de betrokkene in het verleden, het heden en de toekomst. Dit omvat informatie over de natuurlijke persoon die is verzameld in het kader van de registratie voor of de verlening van gezondheidszorgdiensten. 81. Uit het onderzoeksverslag blijkt dat kader van het project drie adressen vallen onder de NACE-code voor “praktijken van artsen en tandartsen” en twee adressen die vallen onder NACE-categorie “overige menselijke gezondheidszorg”. Aangezien vaststaat dat de vereiste belangenafweging niet werd gemaakt en het slechts gaat over enkele adressen in een kort traject, gaat de Geschillenkamer niet over tot de beoordeling of er al dan niet gezondheidsgegevens worden verwerkt en of deze verwerking rechtmatig is. In de omstandigheden dat dit het geval zou zijn, zou er hoe dan ook geen belangenafweging zijn die een toepassing van de uitzonderingen in artikel 9.2 AVG toe laat. 31 Conclusie van dupliek p. 42. Beslissing ten gronde 56/2026 — 20/34 III.7.2. Beginsel van minimale gegevensverwerking (artikel 5.1.
  4. c)AVG) en gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG) 82. Volgens artikel 5 1.
  5. c)AVG moet de verwerking van persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit beginsel geeft verder uiting aan het beginsel van proportionaliteit, dat vereist dat de verwerking van persoonsgegevens noodzakelijk is om het doel te bereiken. Artikel 8 van het EU-Handvest garandeert het recht op bescherming van persoonsgegevens en stelt dat deze gegevens eerlijk en transparant moeten worden verwerkt voor specifieke doeleinden, met toestemming van de betrokkene of op basis van een andere wettelijke grondslag. Artikel 52 regelt de reikwijdte en interpretatie van de in het Handvest opgenomen rechten en beginselen, en bepaalt dat beperkingen op deze rechten alleen bij wet mogen worden ingesteld, de wezenlijke inhoud van de rechten moeten eerbiedigen en voldoen aan het proportionaliteitsbeginsel. 83. In casu komt het aan de Geschillenkamer toe om te beoordelen of de litigieuze verwerking voldoet aan het beginsel van minimale gegevensverwerking uit artikel 5.1.
  6. c)AVG samen gelezen met het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen uit artikel 25 AVG. III.7.2.1. 84. Keuze voor een toegangsverbod C3 met vergunningensysteem De Inspectiedienst stelt vast dat nergens uit de voorbereidende interne documentatie van het litigieuze project, inclusief de GEB, blijkt dat er aandacht werd geschonken aan de gevolgen inzake gegevensbescherming die verbonden zijn aan de gekozen werkwijze. De gemeente Dilbeek had deze gevolgen, gelet op het beginsel van minimale gegevensverwerking uit art. 5.1.c AVG, moeten betrekken bij het bepalen van de geschiktheid van de maatregel voor de bestrijding van sluipverkeer. 85. De klager voert aan dat de gemeente het evenredigheidsbeginsel miskent omdat minder ingrijpende maatregelen, zoals verkeersborden “uitsluitend plaatselijk verkeer” met tijdelijke intensieve politiecontroles, een haalbaar en minder privacy-invasief alternatief vormen. Volgens hem wordt het argument dat handhaving te arbeidsintensief zou zijn niet gedragen door feiten, zeker gelet op de hoge kosten van de ANPR-camera’s, die volgens klager evengoed kunnen worden aangewend voor extra politiecapaciteit. 86. Verder betwijfelt klager de effectiviteit van de camera’s: ze zouden vooral inkomsten genereren en het sluipverkeer slechts verschuiven naar andere straten. Hij benadrukt dat de AVG de bescherming van alle betrokkenen vereist en dat de stijgende klachten aantonen dat de privacy-impact wordt onderschat. De gemeente zou waarschuwingen van Beslissing ten gronde 56/2026 — 21/34 toezichthouders en burgers over de groei van cameratoezicht negeren en daarmee de privacybelangen van haar inwoners minimaliseren. 87. Volgens de verweerder werd het beginsel van minimale gegevensverwerking wel gerespecteerd omdat de keuze voor een vergunningensysteem met ANPR-camera’s het resultaat is van een zorgvuldig en langdurig voortraject. De verweerder geeft aan dat vooraf minder ingrijpende maatregelen zijn onderzocht en getest, zoals eenrichtingsverkeer, een knip en een bovenlokale ingreep. Geen van deze alternatieven bleek effectief of haalbaar, mede doordat buurtgemeenten geen medewerking verleenden. 88. Tot slot benadrukt de verweerder dat hij binnen zijn discretionaire bevoegdheid een ruime beoordelingsmarge heeft bij reglementaire besluiten. Er is niet aangetoond dat geen enkele redelijk handelende overheid tot dezelfde keuze zou kunnen komen, temeer omdat vergelijkbare ANPR-systemen elders reeds worden toegepast. Beoordeling door de Geschillenkamer 89. Eerst en vooral erkent de Geschillenkamer samen met de Inspectiedienst dat sluipverkeer een complex verkeerskundig probleem vormt, en dat verschillende maatregelen denkbaar zijn om dit fenomeen aan te pakken.32 Die vaststelling ontslaat een verwerkingsverantwoordelijke evenwel niet van zijn verplichtingen onder de AVG. 90. Volgens het beginsel van minimale gegevensverwerking, vastgelegd in artikel 5.1.
  7. c)van de AVG, moeten persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor het nagestreefde doel. Overweging 39 van de AVG preciseert bovendien dat persoonsgegevens slechts mogen worden verwerkt wanneer het doe niet redelijkerwijs op een andere, minder ingrijpende wijze kan worden bereikt. Deze beoordeling moet plaatsvinden voor de aanvang van de verwerking en dient het voorwerp uit te maken van een voorafgaande, concrete en gedocumenteerde motivering. Het is niet toelaatbaar om de noodzakelijkheid van een gegevensverwerking achteraf te reconstrueren of te verantwoorden in kader van een geschilprocedure. 91. Uit het dossier blijkt dat de gemeente in het verleden verschillende verkeersmaatregelen heeft onderzocht. De Geschillenkamer stelt evenwel vast dat nergens uit de stukken blijkt dat, voorafgaand aan de beslissing tot invoering van een toegangsbord C3 met vergunningensysteem, een specifieke toetsing heeft plaatsgevonden van de daarmee gepaard gaande omvangrijke verwerking van persoonsgegevens in het licht van het beginsel van minimale gegevensverwerking en gegevensbescherming door en ontwerp en door standaardinstellingen. Met andere woorden werd er niet voorafgaandelijk gemotiveerd waarom het beoogde doel niet kon worden bereikt met een maatregel die minder of geen 32 Onderzoeksverslag p. 61-62. Beslissing ten gronde 56/2026 — 22/34 persoonsgegevens zou verwerken. Dat alternatieven vanuit verkeerskundig oogpunt werden onderzocht, volstaat niet. Een voorafgaande beoordeling vanuit het oogpunt van gegevensbescherming was hier vereist. Bij gebreke hieraan besluit de Geschillenkamer tot een inbreuk van artikel 5.1. c van de AVG en daarmee samenhangend artikel 25 van de AVG. III.7.2.2. 92. Keuze inzake technische organisatorische maatregelen In verband met het beginsel van minimale gegevensverwerking moet verder aandacht besteed worden aan artikel 25 AVG, dat het principe van gegevensbescherming door ontwerp en door standaardinstellingen inhoudt. Dit artikel bepaalt dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen neemt om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. 93. De EDPB Richtsnoeren stellen aangaande de gegevensbescherming door ontwerp en door standaardinstellingen stellen : “De kern van de bepaling is te zorgen voor een passende en doeltreffende gegevensbescherming, zowel door ontwerp als door standaardinstellingen, wat betekent dat verwerkingsverantwoordelijken moeten kunnen aantonen dat zij bij de verwerking over passende maatregelen en waarborgen beschikken om ervoor te zorgen dat de gegevensbeschermingsbeginselen en de rechten en vrijheden van betrokkenen doeltreffend zijn.”33 94. De Inspectiedienst stelt in het onderzoeksverslag verschillende inbreuken vast op artikel 5.1
  8. c)samen gelezen met artikel 25 van de AVG. Het onderzoeksverslag wijst op de bewaartermijn, het koppelen van gegevens van bezoekers en bewoners, de gebreken in de vereisten voor de raadpleging van de Kruispuntbank van de Voertuigen, en ten slotte ook op de gebreken in de vereisten voor de raadpleging van het Rijksregister.
  9. a)Bewaartermijn 95. Wat betreft de keuzes inzake technische organisatorische maatregelen voor het bewaren van gegevens over de nummerplaten van bezoekers van bewoners en ondernemingen binnen de vergunningszone, stelt de Geschillenkamer samen met de Inspectiedienst vast dat de verweerder nergens expliciet een bewaartermijn heeft bepaald. Daarnaast blijkt uit het onderzoeksverslag dat historische vergunningsaanvragen worden bijgehouden voor 33 EDPB, Richtsnoeren 4/2019 inzake artikel 25: Gegevensbescherming door ontwerp en door standaardinstellingen, versie 2.0, vastgesteld op 20 oktober, randnummer 2. Beslissing ten gronde 56/2026 — 23/34 meer dan 2 jaar en blijken bepaalde gegevens zoals “verwijderde kentekens” voor onbepaalde duur verder bewaard.34 96. De Geschillenkamer oordeelt dat de verweerder een inbreuk heeft gemaakt op artikel 25 AVG, in samenhang gelezen met artikel 5.1 daarvan, doordat de gemeente Dilbeek niet heeft aangetoond een bewaringstermijn te hebben bepaald voor de gegevens betreffende vergunningsaanvragen en bovendien in de praktijk een overmatige bewaringstermijn blijkt toe te passen.
  10. b)Koppeling van de gegevens van bezoekers met de gegevens van de bewonersaanvragers 97. De Inspectiedienst stelt vast dat door de technische keuze van de verwerkingsverantwoordelijke om de gegevens van bezoekers te koppelen aan gegevens van de bewoners-aanvragers, de verwerkingsverantwoordelijke een systeem van contacttracering in het leven roept, zonder dat daartoe enige noodzaak bestaat in het licht van het doel van de litigieuze verwerking. 98. De verweerder stelt dat het noodzakelijk is om de gegevens van de bewoner-aanvrager te koppelen aan de nummerplaat van de bezoeker omdat het vergunningensysteem anders zijn doel volledig zou missen. De kern van het systeem is dat enkel bezoekers die daadwerkelijk een bewoner binnen de vergunningszone komen opzoeken, tijdens specifieke tijdsblokken toegang kunnen krijgen. Zonder koppeling zou elke willekeurige passant een bezoekersvergunning kunnen aanvragen, waardoor misbruik niet kan worden uitgesloten en de toegangsbeperking de facto wordt uitgehold. De koppeling is daarom volgens verwerende partij zowel technisch als organisatorisch noodzakelijk om de rechtmatigheid van een aanvraag te controleren en het systeem effectief te laten functioneren. 99. Daarnaast verwerpt de verweerder de vergelijking met contacttracering: dat systeem had tot doel fysieke contacten en besmettingsketens te monitoren en omvatte grootschalige gegevensverwerking, terwijl het vergunningensysteem enkel registreert of een voertuig op een bepaald moment over een geldige vergunning beschikt, zonder verdere opvolging van bewegingen of interacties. Van bredere surveillance of secundair gebruik is geen sprake. De verweerder vraagt dat deze nuanceringen worden meegenomen bij de beoordeling van de vaststellingen van de Inspectiedienst en geeft aan hiermee rekening te houden bij toekomstige gegevensverwerkingen. 100. De Geschillenkamer volgt de verweerder dat de vergelijking met contacttracering in het kader van Covid 19 niet relevant is, maar oordeelt desalniettemin dat ook hier is van een inbreuk op artikel 25 AVG, in samenhang gelezen met art 5.1.c daarvan. In de conclusie van 34 Onderzoeksverslag p. 68 en stuk 34. Beslissing ten gronde 56/2026 — 24/34 dupliek stelt de verweerder bovendien dat naast het koppelen van de gegevens, deze ook samen worden bewaard.35 Het gezamenlijk opslaan van gegevens van bewoners en hun bezoekers vormt een verregaande inmenging in de persoonlijke levenssfeer. Dit systeem verschilt ook wezenlijk van dat van bijvoorbeeld een parkeervergunning van verzoekers, waar steeds een vrije keuze bestaat voor de betrokkenen.
  11. c)Raadpleging van de Kruispuntbank van de Voertuigen 101. Binnen het project “Minder verkeer, beter wonen” worden gegevens geraadpleegd uit de Kruispuntbank van de Voertuigen die beheerd wordt door de Directie voor de Inschrijving van Voertuigen van de Federale Overheidsdienst Mobiliteit en Vervoer (hierna “DIV”). 102. De Inspectiedienst merkt op dat uit het vergunningsreglement noch uit de GEB duidelijk blijkt welke gegevens in de Kruispuntbank van de Voertuigen (hierna “KBV”) precies worden geraadpleegd en voor welke doeleinden. Zowel het vergunningsreglement, de offerte van Z1 (verwerker van de gemeente Dilbeek), als de GEB hanteren dezelfde bewoordingen, namelijk: ”De backoffice maakt gebruik van een DIV koppeling waarna mits de gemeente over de aansluiting bij de desbetreffende Algemene Machtiging beschikt, in een tweetrapsbevraging volgende gegevens bekomen worden: naam, adres, chassisnummer (trap 1), technische kenmerken van het voertuig (trap 2).”36 103. Volgens het onderzoeksverslag steunt de gemeente Dilbeek voor de raadpleging van gegevens in de KBV op haar toetreding tot beraadslaging 18/2015 van 28 mei 2015 van het (tot 2018 bestaande) Sectoraal comité voor de Federale Overheid (hierna “SCFO”). Op het moment van die toetreding was evenwel al een nieuwe, aangepaste versie van deze beraadslaging van kracht, namelijk beraadslaging nr. 21/005 van 4 mei 2021 betreffende de uitbreiding van beraadslaging nr. 18/2015. Deze beraadslaging van het Informatieveiligheidscomité bevat bijkomende beperkingen ten opzichte van de vorige beraadslaging. 104. Zoals hierboven vermeld, raadpleegt de gemeente Dilbeek van de (mogelijke) overtredersnatuurlijke personen de volgende gegevens: de naam, het adres, het chassisnummer, en technische kenmerken van het voertuig. 105. Uit het onderzoeksverslag blijkt dat Beraadslaging 18/2015 géén machtiging geeft voor de raadpleging van het chassisnummer. 106. Verder verduidelijkt de gemeente Dilbeek niet wat bedoeld wordt met “technische kenmerken van het voertuig”. Volgens de GEB zou het met name kunnen gaan over de massa van het voertuig. Gebaseerd op Beraadslaging 21/005 kunnen enkele technische 35 Conclusie van dupliek p. 51. 36 Stuk 27. Beslissing ten gronde 56/2026 — 25/34 kenmerken worden geraadpleegd, doch enkel met het oog op GAS-boetes voor stilstaan en parkeren. 107. Het vergunningsreglement geeft verdere indicaties van wat door de verweerder wordt bedoeld met “technische kenmerken van het voertuig”. Bepaalde voertuigen zoals bromfietsen, landbouwvoertuigen en taxi’s, krijgen een automatische permanente toegang tot de vergunningszone en moeten hiervoor géén vergunning aanvragen.37 108. Het systeem zal dus vermoedelijk toegang moeten hebben tot het type voertuig om deze categorieën te kunnen uitfilteren. In ieder geval is deze filtering gelet op de technische werking van het ANPR- en vergunningensysteem volgens de Inspectiedienst niet mogelijk louter op basis van de gegevens waarvan de raadpleging wordt toegestaan door Beraadslaging 18/2015. 109. Beraadslaging 18/2015 stelt verder een aantal veiligheidsmaatregelen voorop die in acht dienen te worden genomen door de gebruikers die op grond van deze machtiging toegang krijgen tot de KBV. Het protocol dat tussen DIV en de gemeente Dilbeek werd afgesloten verwijst hier ook naar. De Inspectiedienst stelt echter vast dat er over de concrete toepassing van de beveiligingsmaatregelen door de verweerder van de raadpleging van de KBV nergens in de GEB of het vergunningsreglement iets wezenlijks terug te vinden is. 110. Daarnaast blijkt uit het verslag van de Inspectiedienst dat de verweerder niet kon aantonen de wettelijk vereiste controle uit te oefenen op het correct gebruik van haar toegang tot de KBV overeenkomstige artikel 19/1,

§ 5

van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties (hierna “GAS wet”), en kwam hij de belofte ten aanzien van de Inspectiedienst om hierover in gesprek te gaan met de verwerker niet na.

  1. Verder stelt het onderzoeksverslag vast dat het voor medewerkers van de verweerder mogelijk is om de chronologische lijst van nummerplaten van bezoekers uit de vergunningszones door raadpleging van de KBV terug te voeren naar de eigenlijke houders van de kentekenplaten.
  2. De tweede belanghebbende derde, de Federale Overheidsdienst Mobiliteit en Vervoer, beheerder van de KBV, wenst zich te gedragen naar de wijsheid van de Geschillenkamer en ontwikkelt verder geen middelen. De tweede belanghebbende derde vermeldt wel niet in kennis te zijn gesteld van de verwerkingsovereenkomst van de verweerder met Z
  4. Artikel 19/1,

, § 5 van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties bepaalt dat de verwerkingsverantwoordelijke bij de verwerking van persoonsgegevens passende technische en organisatorische beveiligingsmaatregelen moet treffen. De verwerkingsverantwoordelijke moet aangeven welke concrete acties 37 Gemeentereglement van 21 december 2021, p. 4, stuk

  1. Beslissing ten gronde 56/2026 — 26/34 worden ondernomen om deze categorieën van persoonsgegevens te beschermen. Daarnaast moet een logbestand worden bijgehouden waarin minstens de verzameling, wijziging, raadpleging, bekendmaking (inclusief doorgiften), combinatie en wissing van gegevens worden geregistreerd.
  2. Die logbestanden moeten het mogelijk maken om na te gaan waarom, wanneer en door wie persoonsgegevens zijn verwerkt, welke categorieën van personen toegang hadden en wat de identiteit is van de raadplegende persoon, uit welke bron de gegevens afkomstig zijn en aan welke categorieën van ontvangers, en indien mogelijk welke specifieke ontvangers — de gegevens werden verstrekt. De logbestanden mogen maximaal vijf jaar worden bewaard, te rekenen vanaf het verstrijken van de bewaartermijn van de betrokken gegevens, en moeten zelf adequaat worden beveiligd om ongeoorloofde verwerking te voorkomen en de integriteit ervan te waarborgen.
  3. De Geschillenkamer stelt op basis van het onderzoeksverslag 38 vast dat de verweerder de verplichtingen in artikel 19/1,

, § 5 van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties niet kon aantonen, onder andere kon de verweerder niet de vereiste logbestanden overmaken aan de Inspectiedienst.

  1. Bovendien blijkt uit het dossier dat, naar aanleiding van de vastgestelde inbreuk wegens het ontbreken van een essentiële beveiligingsmaatregel bij de toegang tot de KBV en het Rijksregister, de Inspecteur-Generaal op 24 oktober 2024 heeft geoordeeld dat de verdere uitvoering van het project “Minder verkeer, beter wonen” de betrokkenen zou blootstellen aan een onmiddellijk, ernstig en moeilijk herstelbaar nadeel in de zin van artikel 70 van de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit. Bij aangetekend schrijven van diezelfde datum werd een bevel tot opschorting betekend voor een minimale duur van drie maanden.
  2. Nadat de Inspectiedienst op 7 november 2024 had vastgesteld dat de voorlopige maatregel niet volledig was uitgevoerd, ontving zij op 8 november 2024 bevestiging en documentatie van de gemeente inzake de uitvoering van de opschorting. Bij gebrek aan enige mededeling dat de wettelijk vereiste beveiligingsmaatregelen effectief waren geïmplementeerd, werd de voorlopige maatregel op 6 februari 2025 verlengd met een bijkomende termijn van drie maanden. De gemeente liet diezelfde dag weten deze verlenging niet te betwisten en erkende dat de gevraagde aanpassingen nog niet waren afgewerkt. Op 8 mei 2025 verstreek de geldigheidsduur van de voorlopige maatregel definitief, zonder dat nadien enige verdere communicatie werd ontvangen waaruit de effectieve en volledige naleving van de vereiste beveiligingsmaatregelen bleek. 38 Onderzoeksverslag p.81-
  3. Beslissing ten gronde 56/2026 — 27/34
  4. Op basis van bovenstaande overwegingen oordeelt de Geschillenkamer dat de verweerder een inbreuk heeft begaan op artikel 5.1 c) AVG, artikel 25 AVG gelezen in samenhang met artikel 19/1,

, § 5 van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties. Deze inbreuk bestaat erin dat de verweerder niet duidelijk heeft vastgesteld welke categorieën persoonsgegevens werden geraadpleegd in de Kruispuntbank van de Voertuigen en voor welke doeleinden. Daarnaast heeft de verweerder bepaalde gegevens geraadpleegd waarvoor hij op basis van de toepasselijke machtiging geen toegang zou mogen hebben zoals het chassisnummer.39 Tot slot kon ook niet worden aangetoond dat de wettelijk vereiste toegangsbeveiliging via het bijhouden van een logbestand van de raadplegingen werd toegepast.

  1. d)Raadpleging Rijksregister 119. Tot slot, wat betreft de technische en organisatorische maatregelen met betrekking tot de raadpleging van het Rijksregister, stelt het onderzoeksverslag vast dat ook het Rijksregister op systematische wijze wordt geraadpleegd in het kader van de litigieuze verwerking.40 120. De verweerder erkent de door de Inspectiedienst vastgestelde technische tekortkomingen in de gegevensverwerking, zoals het ontbreken van bepaalde verplichte vermeldingen in het consultatieregister en het ontbreken van rechtens vereiste logbestanden. 41 De verweerder benadrukt echter dat deze tekortkomingen niet het gevolg zijn van onwil, maar samenhangen met het evolutieve karakter van de regelgeving en met de afhankelijkheid van diverse externe partners die instaan voor de technische uitvoering van de verwerkingsactiviteiten. Zo werd de verweerder pas maanden na de vraag van de Inspectiedienst door zijn technische partner Y1 in het bezit gesteld van het consultatieregister van het Rijksregister, waardoor informatie laattijdig kon worden bezorgd. Toen vervolgens bijkomende onvolledigheden werden vastgesteld, trad de verweerder onmiddellijk in overleg met zijn betrokken diensten en leveranciers. Dit leidde tot aanpassingen bij één partner, terwijl andere noodzakelijke wijzigingen door een leverancier werden geweigerd omwille van een eigen kosten-batenafweging en de nakende vervanging van het bestaande systeem. 121. De verweerder onderstreept dat hij steeds te goeder trouw heeft gehandeld en actief te heeft getracht de vastgestelde problemen te verhelpen. Daarbij stelt hij dat hij in meerdere gevallen werd geconfronteerd met autonome beslissingen en beperkingen van de betrokken (sub)verwerkers. Bovendien komen samenwerkingen met deze partijen doorgaans tot stand via aanbestedingsprocedures. Hierdoor beschikte de verweerder niet over volledige vrijheid bij de keuze van partners. De verweerder heeft na gunning slechts 39 Onderzoeksverslag p. 75. 40 Onderzoeksverslag p. 93- 105 en stuk 21. 41 Conclusie van dupliek p. 52. Beslissing ten gronde 56/2026 — 28/34 beperkte invloed op operationele beslissingen en kan lopende contractuele relaties niet zonder meer eenzijdig wijzigen of beëindigen. 122. De derde belanghebbende meent dat de inbreuk op artikel 17 van de Rijksregisterwet genoegzaam is aangetoond en vraagt de Geschillenkamer een inbreuk vast te stellen op de artikelen 5.1
  2. c)en 25 van de AVG en artikel 17 van de Rijksregisterwet. 123. De Geschillenkamer verwijst naar randnummers 117 en 118 voor een toelichting van de voorlopige maatregel die voor de raadpleging van de Kruispuntbank van de Voertuigen en het Rijksregister werd opgelegd door de Inspecteur-Generaal. 124. Op grond van artikel 17 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen dient de gemeente Dilbeek een consultatieregister bij te houden waarin de raadplegingen van het Rijksregister worden gelogd: Elke openbare overheid, openbare of private instelling die de machtiging heeft gekregen om toegang te hebben tot de informatiegegevens van het Rijksregister van de natuurlijke personen, met inbegrip van de politiediensten, alsook de justitiediensten vermeld in de artikelen 5 en 8 moet de uitgevoerde consultaties kunnen verantwoorden, ongeacht of die uitgevoerd zijn door een individuele gebruiker of door een automatisch informaticasysteem. Daartoe houdt elke gebruiker een consultatieregister bij teneinde de traceerbaarheid van de consultaties te verzekeren. Dit register vermeldt de identificatie van de individuele gebruiker of van het proces of systeem dat toegang tot de gegevens heeft gehad, de gegevens die geraadpleegd werden, de wijze waarop ze geraadpleegd werden, met name voor lezing of voor wijziging, de datum en het uur van de consultatie, alsook het doeleinde waarvoor de gegevens van het Rijksregister van de natuurlijke personen geraadpleegd werden. Het consultatieregister wordt minstens 10 jaar bewaard vanaf de datum van de consultatie. Het wordt tevens gecertificeerd. Het consultatieregister wordt ter beschikking gehouden van de Gegevensbeschermingsautoriteit. De diensten van het Rijksregister van de natuurlijke personen houden eveneens een consultatieregister van de gebruikers en uitgevoerde mededelingen bij. Dit register vermeldt de identificatie van de gebruiker die toegang tot de gegevens heeft gehad of mededeling ervan gekregen heeft, de gegevens die geraadpleegd of meegedeeld werden, de wijze waarop ze geraadpleegd, met name voor lezing of voor wijziging, of meegedeeld werden, de datum en het uur van de raadpleging of de mededeling. 125. Uit dit artikel volgt dat het logbestand de volgende elementen dient te bevatten:
  3. a)De identificatie van de individuele gebruiker of van het proces of systeem dat toegang tot de gegevens heeft gehad; Beslissing ten gronde 56/2026 — 29/34
  4. b)De gegevens die geraadpleegd werden;
  5. c)De wijze waarop ze geraadpleegd werden, met name voor lezing of voor wijziging;
  6. d)De datum en het uur van de consultatie;
  7. e)Het doeleinde waarvoor de gegevens van het Rijksregister van de natuurlijke personen geraadpleegd werden. 126. Het onderzoeksverslag stelt vast dat de verweerder twee types raadplegingen doet in het Rijksregister. Het gaat hierbij ten eerste om raadplegingen rechtstreeks in het Rijksregister en ten tweede om raadplegingen in een lokale kopie van het Rijksregister. Uit het onderzoeksverslag blijkt dat in het eerste logbestand de volgende verplichte velden ontbreken: de gegevens die geraadpleegd werden, de wijze waarop ze geraadpleegd werden en het doeleinde waarvoor de gegevens van het Rijksregister van de natuurlijke personen geraadpleegd werden.42 Wat het tweede logbestand 43 betreft stelt de Inspectiedienst vast dat de volgende verplichte informatie ontbreekt: de gegevens die geraadpleegd werden, de wijze waarop ze geraadpleegd werden en het doeleinde waarvoor de gegevens van het Rijksregister van de natuurlijke personen geraadpleegd werden.44 127. De Geschillenkamer stelt op basis van het onderzoekverslag en de relevante stukken in het dossier vast zowel in het eerste als het tweede logbestand niet aan de verplichtingen van artikel 17 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen werd voldaan. 128. Derhalve oordeelt de Geschillenkamer dat de verweerder een inbreuk heeft gemaakt op artikel 5.1
  8. c)en 25 van de AVG omdat het door de gemeente Dilbeek gehouden consultatieregister niet alle verplichte vermeldingen bevat zoals opgesomd art. 17, lid 2 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van natuurlijke personen, waardoor geen adequate toegangsbeveiliging wordt toegepast op de raadplegingen van het Rijksregister in het kader van het litigieuze project. III.7.3. Gegevensbeschermingseffectenbeoordeling 129. In de AVG wordt het concept GEB niet formeel gedefinieerd, maar artikel 35.7 van de AVG bepaalt de minimale inhoud van een GEB. Overweging 84 van de AVG verduidelijkt de betekeneis en rol van de GEB: “Teneinde de naleving van deze verordening te verbeteren indien de verwerking waarschijnlijk gepaard gaat met hoge risico’s in verband met de rechten en vrijheden van natuurlijke personen, dient de verwerkingsverantwoordelijke of de 42 Onderzoeksverslag p. 106- 110 en stukken 53, 54, 56, 67, 68, 69. 43 Stuk 53. 44 Onderzoeksverslag p. 110 – 122 en stukken 53, 56,68, 69. Beslissing ten gronde 56/2026 — 30/34 verwerker verantwoordelijk te zijn voor het verrichten van een GEB om met name de oorsprong, de aard, het specifieke karakter en de ernst van dat risico te evalueren…” 130. De Inspectiedienst stelt vast dat de GEB die uitgevoerd werd door de verweerder niet voldoet aan de minimale vereisten zoals vooropgesteld in artikel 35. 7 AVG en verder toegelicht in Aanbeveling van de GBA nr. 01/2018 van 28 februari 2018 met betrekking tot de GEB en voorafgaande raadpleging.45 Beoordeling door de Geschillenkamer 131. De Geschillenkamer stelt op basis van het onderzoeksverslag vast dat er wat betreft de verplichting om in het kader van het litigieuze project een GEB uit te voeren, geen betwisting lijkt te bestaan. Daarnaast verwijst zij samen met de Inspectiedienst naar randnummer 38 van Beraadslaging nr. 21/005 van 4 mei 2021, betreffende de uitbreiding van beraadslaging nr. 18/2015 door het Informatieveiligheidscomité, een beraadslaging waarbij de gemeente Dilbeek zich heeft aangesloten, waarin de uitvoering van een GEB uitdrukkelijk als voorwaarde voor toetreding wordt opgelegd. 132. Artikel 35.7 bepaalt dat een GEB tenminste de volgende elementen moet bevatten: - een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd; - een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden; - een beoordeling van de in

bedoelde risico’s voor de rechten en vrijheden van betrokkenen; - de beoogde maatregelen om de risico’s aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie. 133. Aangaande deze minimale elementen die een GEB moet bevatten stelt de Geschillenkamer samen met de Inspectiedienst vast dat: - Er geen voldoende systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden aanwezig is. De systematische raadpleging van persoonsgegevens uit het Rijksregister wordt niet omschreven in de GEB. Het 45 https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-01-2018.pdf. Beslissing ten gronde 56/2026 — 31/34 vergunningensysteem wordt slechts beperkt beschreven want de registratie in een historisch overzicht van de aanvraaghistoriek van een gebruiker gekoppeld aan de nummerplaat van diens klanten of bezoekers komt niet aan bod. Een duidelijke omschrijving van welke categorieën van persoonsgegevens binnen de vergunningsprocedure worden opgevraagd bij de betrokkenen ontbreekt. Verder ontbreekt ook een duidelijke omschrijving van de rol van iedere betrokken partij in de verwerking. - Zoals eerder aan bod gekomen in randnummers 90 en 91 vond er geen beoordeling plaats van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden. 134. Gelet op de vastgestelde tekortkomingen op de eerste twee elementen van artikel 35.7 AVG, oordeelt de Geschillenkamer dat de risico’s voor de rechten en vrijheden van betrokkenen en de maatregelen om deze aan te pakken ook niet correct beoordeeld kunnen worden indien die elementen van artikel 35. 7

  1. a)en 35.7
  2. b)onvolledig werden beschreven. 135. De Geschillenkamer oordeelt dat de verweerder een inbreuk heeft begaan tegen artikel 35.7 AVG vanwege ernstige tekortkomingen inzake de systematische beschrijving van de verwerkingen, de beoordeling van de noodzaak en evenredigheid van de verwerkingen, de beoordeling van de risico’s op de rechten en vrijheden van de betrokkenen en de beoogde maatregelen om deze risico’s aan te pakken. 136. De Geschillenkamer merkt daarbij op dat met een correcte en ernstige uitvoering van een GEB de verweerder de mogelijkheid zou hebben gehad om de noodzaak en evenredigheid van de verwerking te beoordelen. II.4. Corrigerende maatregelen en sancties 137. De Geschillenkamer wijst op de voorlopige maatregel naar aanleiding van de door de Inspectiedienst vastgestelde inbreuken op de vereiste beveiligingsmaatregelen voor de toegang tot de KBV en het Rijksregister. Naar aanleiding daarvan oordeelde de InspecteurGeneraal op 24 oktober 2024 dat de verdere uitvoering van het project “Minder verkeer, beter wonen” de betrokkenen zou blootstellen aan een onmiddellijk, ernstig en moeilijk herstelbaar nadeel (artikel 70 Wet van 3 december 2017). Bij aangetekend schrijven werd het project daarom voor minimaal drie maanden opgeschort. Na een gedeeltelijke uitvoering werd de maatregel op 6 februari 2025 met drie maanden verlengd, waarna zij op 8 mei 2025 definitief afliep. 138. De verweerder benadrukt dat hij het bevel volledig heeft nageleefd door de ANPR-camera’s uit te schakelen en dat sinds de tussenkomst van het voorlopige opschortingsbevel geen Beslissing ten gronde 56/2026 — 32/34 gegevens van de KBV of het Rijksregister meer werden verzameld of verwerkt in het kader van het project, een situatie die voortduurt tot op heden. 139. Volgens de bewoordingen van artikel 100, §1 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° de opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissing bekend te maken op de website van de Gegevensbeschermingsautoriteit. 140. Het is aan de Geschillenkamer om te beslissen over de meest geschikte sanctie in het licht van de inbreuken op artikelen 5.1 a), 5.1 c), 6.1, 25 en 35.7 van de AVG, gelezen in samenhang met artikel 19/1,

§ 5

van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties, en met artikel 17 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en alle omstandigheden van de zaak. Beslissing ten gronde 56/2026 — 33/34

  1. De Geschillenkamer heeft aandacht voor het feit dat het een complexe verwerking betreft met veel verschillende betrokken partijen en dat de gemeente voorafgaande stappen genomen heeft bij de opstart van het project waaronder het bekomen van het advies van de DPO, uitvoeren van het GEB, het informeren van buurtbewoners, de adviesaanvraag aan de korpschef en het afsluiten van een protocol met DIV. De Geschillenkamer heeft begrip voor de technische afhankelijkheid van de gemeente van haar verwerkers en subverwerkers die de gemeente opwerpt in haar conclusies.46 Desalniettemin ontneemt dit de gemeente niet van haar verantwoordelijkheden als verwerkingsverantwoordelijke onder de AVG.
  2. Het voornaamste verwijt aan de verweerder is dat hij niet voorafgaand een concrete en gedocumenteerde noodzakelijkheidsafweging heeft gemaakt, terwijl het project een grootschalige verwerking van persoonsgegevens met zich meebracht inclusief het aanleggen van een bezoekerslijst. Hierdoor ontbreekt een onderbouwde motivering dat de verwerking proportioneel, doelgericht en onvermijdelijk was, zoals vereist onder artikel 5,

, c) AVG. 143. In deze omstandigheden en omwille van de vastgestelde inbreuken op artikelen 5.1 a), 5.1 c), 6.1, 25 en 35.7 van de AVG, gelezen in samenhang met artikel 19/1,

§ 5

van de wet van 24 juni 2013 betreffende de gemeentelijke administratieve sancties en artikel 17 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en alle omstandigheden van de zaak, besluit de Geschillenkamer om op grond van artikel 100, §1, 5° een berisping te formuleren ten aanzien van de verweerder. IV. Publicatie van de beslissing 144. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit, waarbij de directe identificatiegegevens van de genoemde partijen en personen, zowel natuurlijke als rechtspersonen, zullen worden verwijderd, met uitzondering van de verweerder en de tweede en derde belanghebbende. De Geschillenkamer is namelijk van mening dat voor de voorlichting van het publiek, voor een goed begrip van haar beslissing de vermelding van de gemeente Dilbeek, FOD Mobiliteit en vervoer (DIV) en FOD Binnenlandse zaken (IBZ) niet kan worden weggelaten. De Geschillenkamer meent evenwel dat overheidsinstellingen en besturen in de eerste plaats in het algemeen belang moeten handelen. De werking van deze instellingen wordt met publieke middelen gefinancierd. Bijgevolg heeft het publiek dus onmiskenbaar belang bij de kennisneming van de werkzaamheden van deze instellingen. 46 Conclusie van dupliek, p. 52-55.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.