Beslissing ten gronde nr. 57/2023

1/33 Geschillenkamer Beslissing ten gronde 57/2023 van 17 mei 2023 Deze beslissing werd bevestigd door het Marktenhof in het arrest 2023/AR/817 dd. 20 december 2023 Dossiernummer : DOS-2022-01721 Betreft : klacht inzake weigering van inzage in klankopnames De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Jelle Stassijns en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, vertegenwoordigd door Mr. Arne Saerens en Mr. Pieter Van Aerschot, beiden kantoorhoudende te 8200 Brugge, Lieven Bauwensstraat 20, hierna “de klager”; De verweerster: Y, vertegenwoordigd door Mr Benjamin Docquir en Mr. Margo Cornette, beide kantoorhoudende te 1050 Brussel, Marsveldplein 5, hierna “de verweerster”. Beslissing ten gronde 57/2023 – 2/33 I. 1. Feiten en procedure Op 7 april 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. De klager heeft met de verweerster twee overeenkomsten gesloten waarbij de verweerster zou instaan voor het ontwikkelen van een website (“…”) en bedrijfsvideo’s (“…”) voor de klager, samen ‘de overeenkomsten’ genoemd. In het kader van deze overeenkomsten vonden telefoongesprekken plaats omtrent de functionele uitwerking en vormgeving van deze website en video’s. Dergelijke telefoongesprekken werden opgenomen door de verweerster met het oog op de goede uitvoering van de wensen van de klager in het kader van de overeenkomst. De klager stelt echter dat hij niet op de hoogte was van deze opnames. Sinds 2021 bestaat er tussen de klager en de verweerster onenigheid omtrent de uitvoering van de overeenkomst. In dit kader heeft de klager zijn recht op inzage met betrekking tot de telefoonopnames uitgeoefend. De verweerster weigerde om een kopie van de telefoonopnames over te maken, maar stelt dat de klager de opnames kan komen beluisteren in haar kantoren. De klager meent dat de telefoongesprekken onrechtmatig opgenomen zijn en dat zijn recht op inzage miskend werd. Bijgevolg heeft hij klacht ingediend bij de GBA. 2. Op 28 april 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 28 april 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 4. Op 29 juni 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake zou zijn van een inbreuk op: 1. artikel 5, lid 1,

1. a)en lid 2 en artikel 6, lid 1 AVG; 2. artikel 5, artikel 24, lid 1 en 25, lid 1 en 2 AVG; 3. artikel 12, lid 1, lid 2, lid 3 en lid 4 en artikel 15 AVG; en 4. artikel 12, lid 1 en lid 2, artikel 13, lid 1 en lid 2, artikel 5, lid 2; artikel 24, lid 1 en artikel 25, lid 1 en 2. Beslissing ten gronde 57/2023 – 3/33 5. Op 4 juli 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 4 juli 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 29 augustus 2022, deze voor de conclusie van repliek van de klager op 19 september 2022 en ten slotte deze voor de conclusie van repliek van de verweerster op 10 oktober 2022. 7. Op 8 juli 2022 vraagt de klager een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 14 juli 2022, en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 8. Op 11 juli 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 9. Op 29 augustus 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De verweerster stelt dat de verwerking in haren hoofde een correcte en toegelaten gegevensverwerking uitmaakt, waarbij het rechtmatigheids- en transparantiebeginsel worden gerespecteerd. De verweerster betoogt ook dat het mogelijks onvolledig beantwoorden van een vraag van de Inspectiedienst geen schending van de verantwoordingsplicht uitmaakt. Vervolgens voert de verweerster aan dat zij het recht tot inzage niet heeft bemoeilijkt. Tot slot wijst de verweerster erop dat zij op transparantie wijze informatie verstrekt heeft aan de klager en beschikt over de nodige technische en organisatorische maatregelen om het uitoefenen van rechten van de betrokkenen te faciliteren. 10. Op 19 september 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De klager sluit zich aan bij de vaststellingen van de Inspectiedienst inzake de onrechtmatigheid van de verwerking, de verantwoordingsplicht inzake de naleving van de verplichtingen in de AVG en de transparantie- en informatieverplichtingen in hoofde van de verweerster. Voor wat betreft de vaststelling inzake het bemoeilijken van het recht tot inzage, stelt de klager? dat hij zijn recht tot inzage wenst uit te oefenen, zoals dat wordt verleend door de AVG, en dat de ingeroepen beperkingen door de verweerster disproportioneel zijn ten aanzien van zijn recht op inzage. Beslissing ten gronde 57/2023 – 4/33 11. Op 10 oktober 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht waarin de argumentatie wordt hernomen zoals uiteengezet in de conclusie van antwoord. 12. Op 28 november 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 30 januari 2023. 13. Op 30 januari 2023 worden de partijen gehoord door de Geschillenkamer. 14. Op 3 februari 2023 wordt het proces-verbaal van de hoorzitting aan de verschenen partijen voorgelegd. 15. De Geschillenkamer ontvangt vanwege de verschenen partijen geen opmerkingen met betrekking tot het proces-verbaal. 16. Op 5 april 2023 heeft de Geschillenkamer aan de verweerster het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerster de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 17. Op 25 mei 2023 ontvangt de Geschillenkamer de reactie van de verweerster op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. II. Motivering II.1. Artikel 5, lid 1, a), lid 2 en artikel 6, lid 1 AVG voor wat betreft de rechtmatigheid II.1.1. Vaststellingen in het Inspectieverslag 18. Tijdens het onderzoek heeft de verweerster toegelicht dat de verwerking van persoonsgegevens door middel van de opnames van de telefoongesprekken gebaseerd is op artikel 6, lid 1,
2. b)AVG, te weten ‘de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen’. Op basis van zijn onderzoek concludeert de Inspectiedienst dat de verweerster de verplichtingen opgelegd door artikel 5, lid 1, a), lid 2 en artikel 6 AVG niet heeft nageleefd. Uit de antwoorden van de verweerster op de onderzoeksvragen tijdens de inspectie, kan de Inspectiedienst immers niet vaststellen in welke mate telefoongesprekken effectief worden opgenomen, wat de precieze doeleinden zijn en wat de duur van de opslag van de opnames is. Bovendien zou de verweerster volgens de Inspectiedienst niet de noodzakelijkheid aantonen. Hierbij verwijst de Inspectiedienst naar artikel 10/1, §1 van de Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van Beslissing ten gronde 57/2023 – 5/33 persoonsgegevens, dat opnames van telefoongesprekken toestaat op voorwaarde dat de bij de communicatie betrokken partijen voor de registratie op de hoogte gebracht worden van de registratie, de precieze doeleinden ervan en de duur van de opslag van de registratie. De Inspectiedienst komt aldus tot de vaststelling dat verweerster de verplichtingen opgelegd door artikel 5, lid 1
3. a)en lid 2 AVG en artikel 6 AVG niet heeft nageleefd voor wat betreft het beginsel inzake rechtmatigheid. II.1.2. Standpunt van de klager 19. De klager sluit zich in zijn conclusies volledig aan bij de vaststellingen van de Inspectiedienst. II.1.3. Standpunt van de verweerster 20. De verweerster betwist deze vaststelling en betoogt in haar conclusie dat de opnames wel degelijk noodzakelijk zijn voor de correcte uitvoering van de overeenkomst. 21. Voor wat betreft de noodzakelijkheid voor de correcte uitvoering merkt de verweerster op dat de Inspectiedienst niet heeft gevraagd om het noodzakelijk karakter aan te tonen, aangezien enkel aan de verweerster werd gevraagd op welke rechtsgrond de verwerkingen, zijnde de opnames van de telefoongesprekken hebben plaatsgevonden. In haar conclusies licht de verweerster de noodzakelijkheid verder toe. De noodzakelijkheid is tweeledig: enerzijds de uitvoering van de specifieke overeenkomst tussen verweerster en klager en anderzijds de garantie van de kwaliteit van deze overeenkomst, hetgeen een noodzakelijk corollarium is van de uitvoering van de overeenkomst. Deze telefoongesprekken dienen om de wensen en de behoeften van de klant te bespreken. De verweerster illustreert dit als volgt: wanneer de partijen een contract hebben ondertekend, bijvoorbeeld voor het maken van een website, overleggen zij telefonisch over de concrete uitvoeringsmodaliteiten. Het doel van dit gesprek is essentieel, want het is op dit moment dat de klant uitlegt wat zijn activiteiten zijn, wat hij van de website verwacht, etc. Op basis van dit telefoongesprek wordt een eerste ontwerp van de lay-out van de website gemaakt. Deze werkwijze werd gekozen op basis van het cliënteel van de verweerster (vnl. zelfstandigen) die de voorkeur geven aan een snel en telefonisch onderhoud in plaats van een uitwisseling van e-mails. Deze werkwijze belet niet dat de klant een schriftelijke bevestiging ontvangt van de basisgegevens die werden verstrekt voor de ontwikkeling van de website. Door een constante communicatie tussen haar en haar klanten, kan de verweerster projecten op maat van de klant afleveren aangezien de opnames de projectmanagers de kans geven om na te gaan of voldaan is aan de noden van de klant, zoals geuit tijdens de gesprekken. Er kan aldus volgens de verweerster geen sprake zijn van een schending van artikel 5, lid 1,
4. a)(rechtmatigheid) j° artikel 6, lid 1 AVG. Beslissing ten gronde 57/2023 – 6/33 II.1.4. Beoordeling door de Geschillenkamer 22. Uitgangspunt van artikel 5, lid 1,
5. a)AVG is dat persoonsgegevens alleen op rechtmatige wijze mogen worden verwerkt. Dit betekent onder meer dat een rechtsgrond voor de verwerking van persoonsgegevens als bedoeld in artikel 6, lid 1 van de AVG aanwezig moet zijn. In verdere uitwerking van dit basisprincipe stelt artikel 6, lid 1 AVG dat persoonsgegevens enkel mogen worden verwerkt op grond van één van de in het artikel opgesomde rechtsgronden. 23. De Geschillenkamer stelt vast dat de opname van telefoongesprekken in het kader van zakelijke transacties geregeld wordt door zowel de AVG als door artikel 10/1, §1 van de Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna: WVP). 24. De beoordeling van dit dossier zal dus in eerste instantie plaatsvinden aan de hand van de bepalingen van de AVG. Daarbij stelt zich de vraag in hoeverre de verwerking van persoonsgegevens rechtmatig plaatsvond, in overeenstemming met o.a. de artikelen 5 en 6 van de AVG. De Geschillenkamer benadrukt dat de toepassing van de AVG als verordening van de Europese Unie voorgaat op de vernoemde nationale wetgeving omwille van de directe werking en primauteit ervan binnen de Europese rechtsorde. 1 25. Zoals reeds vermeld betoogt de verweerster dat de opname van de telefoongesprekken gebaseerd is op de rechtsgrond zoals begrepen in artikel 6, lid 1,
6. b)AVG, te weten ‘de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen’. Het komt dan ook toe aan de verweerster om aan te tonen dat zij zich rechtmatig op deze verwerkingsgrond beroept. 26. Wanneer persoonsgegevens noodzakelijk zijn om een overeenkomst met de betrokkene uit te voeren, vormt die overeenkomst de grondslag voor de verwerking van die persoonsgegevens, zo stelt artikel 6, lid 1,
7. b)AVG. De Geschillenkamer stelt vast dat de partijen twee overeenkomsten gesloten hebben, de (“…”) dd. 18 augustus 2021 voor wat betreft de ontwikkeling van de website en de (“…”) met het oog op het produceren van een bedrijfsvideo, eveneens gesloten op 18 augustus 2021. Beide overeenkomsten werden aan de Geschillenkamer overgemaakt. 27. Verder kan een verwerkingsverantwoordelijke zich enkel op deze rechtsgrond beroepen indien de verwerking van persoonsgegevens strikt noodzakelijk is voor het sluiten of 1 ie o.m. HvJEU van 5 februari 1963, NV Algemene Transport- en Expeditie Onderneming van Gend & Loos t. Nederlandse Administratie der Belastingen, C-26-62, ECLI:EU:C:1963:1; HvJEU van 15 juli 1964, Flaminio Costa t. E.N.E.L., C-6-64, ECLI:EU:C:1964:66; omtrent de rechtsbescherming van burgers op basis van het Unierecht en de principes van ‘directe werking’ en ‘primauteit’, zie C. BARNARD, The Substantive Law of the EU: The Four Freedoms, Oxford (5de ed.), 2016, 17. Beslissing ten gronde 57/2023 – 7/33 uitvoeren van de overeenkomst. Er moet bijgevolg een direct en objectief verband zijn tussen de verwerking van persoonsgegevens en het doel van de overeenkomst. 28. De Geschillenkamer stelt vast dat volgens de verweerster de noodzakelijkheid betrekking heeft op enerzijds de uitvoering van de specifieke overeenkomst tussen verweerster en klager en anderzijds de garantie van de kwaliteit van deze overeenkomst. Op basis van de twee overeenkomsten gesloten tussen de verweerster en de klager stelt de Geschillenkamer vast dat deze overeenkomsten verscheidene meer algemene bepalingen bevatten, zoals een beschrijving en de kost van de diensten gekozen door de klager als abonnee, de soort video die geproduceerd diende te worden, etc. Bepalingen omtrent de specifieke modaliteiten werden in deze overeenkomsten niet bedongen. De opgenomen telefoongesprekken vonden plaats in het kader van de besprekingen van de specifieke modaliteiten . Het spreekt voor zich dat niet alle klanten dezelfde wensen en vereisten stellen voor hun website of video. Ook het gebruik van een telefoongesprek laat toe om gemakkelijk te overleggen, eventuele onduidelijkheden toe te lichten of vragen te stellen, voor beide partijen. Eventuele benodigdheden voor de klant kunnen ook wijzigen waardoor de verweerster sneller op de bal kan spelen door deze gesprekken te voeren per telefoon in plaats van per mail. De opnames van deze gesprekken dienen om opnieuw te kunnen worden beluisterd indien nodig (bijvoorbeeld bij twijfel over bepaalde aspecten van de website, of om na te gaan of voldaan is aan alle verzoeken van de klant). Gelet op de efficiëntie ervan voor zowel de verwerkingsverantwoordelijke als de klant, is de Geschillenkamer van oordeel dat voldaan is aan de noodzakelijkheidsvereiste. 29. Voortvloeiend uit het bovenstaande meent de Geschillenkamer dat er geen inbreuk op artikel 5, lid 1,
8. a)voor wat betreft de rechtmatigheid, en artikel 6, lid 1 AVG werd begaan door de verweerster. II.2. Artikel 12, lid 2, lid 3 en lid 4 en artikel 15 AVG II.2.1. Vaststellingen in het Inspectieverslag 30. Op basis van zijn onderzoek stelt de Inspectiedienst vast dat de verweerster het recht van inzage van de klager ten onrechte bemoeilijkt. De verweerster weigert immers een kopie van de telefoonopnames over te maken, maar biedt enkel de mogelijkheid om de opnames te komen beluisteren in haar hoofdkantoor. De verweerster vermeldt volgens de Inspectiedienst geen elementen die verantwoorden dat het effectief onmogelijk zou zijn om de klager een kopie te bezorgen van de voormelde opnames waarin in voorkomend geval persoonsgegevens van derden onherkenbaar zijn gemaakt. Beslissing ten gronde 57/2023 – 8/33 II.2.2. Standpunt van de klager 31. De klager herinnert eraan verwerkingsverantwoordelijke dat inzage – overeenkomstig moet verlenen artikel via een 15 AVG kopie – de van de persoonsgegevens. Indien een kopie de meest aangewezen manier is om inzage te bieden, kan, mag en moet een kopie worden verstrekt. De weigering in eerste instantie van de verweerster is een flagrante miskenning van zijn rechten, aldus de klager. Het voorstel om de opnames te komen beluisteren op het hoofdkantoor voldoet niet aan de invulling van het recht op inzage zoals voorzien in de AVG en bemoeilijkt de uitoefening van het recht op inzage aanzienlijk. 32. De klager betwist niet dat het recht op inzage niet absoluut is en kan worden beperkt indien deze afbreuk zou doen aan de rechten en vrijheden van anderen. Dit mag er echter niet toe leiden dat men van alle informatie wordt onthouden. De klager stelt echter dat de beperkingen niet op onderhavige zaak van toepassing zijn. 33. Voor wat betreft de uitzondering in artikel 15, lid 4 AVG omtrent de eerbiediging van de rechten en vrijheden van derden, stelt de klager dat de verwerkte persoonsgegevens van de medewerkers in het telefoongesprek erg beperkt zijn. Het betreft immers een normaal professioneel telefoongesprek waarbij standaard aansprekingen worden gebruikt. Bijgevolg is de weigering om een kopie over te maken om deze redenen volgens de klager disproportioneel. De klager voegt hier in ondergeschikte orde aan toe dat hij ook kan instemmen om een versie te ontvangen waarbij de directe identificatiegegevens van de medewerkers weggelaten worden, of eventueel zelfs een uitgeschreven versie van de gesprekken waarbij de directe identificatiegegevens van de medewerkers zijn weggelaten, mits de tekst van de opnames door een objectieve partij gecontroleerd werd of door het laten horen van de gesprekken na het ontvangen van de geschreven tekst. 34. Omtrent het argument van de verweerster inzake het gebruik van de opnames als bewijsstuk in het kader van een gerechtelijke procedure, herinnert de klager eraan dat er nog geen sprake is van een dergelijke gerechtelijke procedure. Daarenboven staat de verweerster in voor het doorsturen van het correcte gesprek/tekst. Indien de verweerster de authentieke gesprekken doorstuurt en dit ook zo verklaart, is er voor de klager geen probleem hieromtrent. 35. De klager verwijst tot slot naar het argument van de verweerster dat het verschaffen van een kopie van de opnames een schending van het zakengeheim kan uitmaken. De klager betoogt dat dit niet het geval kan zijn. Het betreft immers standaardgesprekken tussen een klant en een bedrijf. Tijdens deze gesprekken werden vragen gesteld die iedere websitebouwer stelt om een website te bouwen of om een onderneming op een website te kunnen voorstellen. Dit kan volgens de klager geen zakengeheim uitmaken. Daarnaast acht Beslissing ten gronde 57/2023 – 9/33 de klager zichzelf gebonden door de bepalingen van de AVG bij het verkrijgen of verwerken van de kopieën en dat dit vanzelfsprekend enkel bestemd is voor eigen consultatie. 36. Voor wat betreft het vermeende rechtsmisbruik , betoogt de klager in zijn conclusies dat het de verweerster zelf is die steeds telefonisch contact heeft opgenomen met de klager. Mochten alle contacten per e-mail verlopen zijn, zou de klager over alle informatie beschikken. Aangezien de verweerster dus gekozen heeft om het contact telefonisch te laten verlopen, is het normaal dat zij dan ook moet instaan voor het vrijwaren van het recht op inzage van de klager aangezien hij dit niet zelf kan uitoefenen. De klager stelt dat het niet de rechten van verdediging van de verweerster zijn die geschonden worden, maar wel de rechten van verdediging van de klager. De klager oefent immers een persoonlijk recht uit dat hem wordt toegekend ingevolge een Europese verordening. Dit recht tot inzage van de klager wordt miskend door de verweerster louter om de bewijsgaring voor zich te houden en bemoeilijkt daardoor een eventuele toekomstige procedure. II.2.3. Standpunt van de verweerster 37. In hoofdorde voert de verweerster in haar conclusies aan dat zij het recht op inzage niet onnodig bemoeilijkt. Zoals reeds gesteld heeft zij geweigerd een kopie over te maken van de opnames, maar in de plaats nodigt zij de klager uit om in haar kantoor de opnames te komen beluisteren. Zij stelt immers dat het verlenen van inzage niet betekent dat een kopie verstrekt moet worden. Verwijzend naar artikel 15, lid 4 AVG betoogt de verweerster dat het recht op het verkrijgen van een kopie niet absoluut is en het verkrijgen van een kopie geen afbreuk mag doen aan de rechten en vrijheden van anderen. De verweerster stelt dat haar terughoudendheid om een kopie van een opname te versturen viervoudig is. 38. Ten eerste bevatten deze opnames ook persoonsgegevens over/van medewerkers van de verweerster. Volgens de verweerster is het niet wenselijk dat dergelijke opnames in het bezit komen van een (ontevreden) klant, aangezien ontevreden klanten medewerkers rechtstreeks en op ongeoorloofde wijze zouden kunnen benaderen. Bovendien zou het verstrekken van deze opnames een inbreuk vormen op de bescherming van persoonsgegevens van de medewerkers die deel uitmaken van de opnames. Hierbij heeft de verweerster de afweging gemaakt tussen het, volgens haar, oneigenlijk gebruik van het recht tot inzage enerzijds en het recht op bescherming van persoonsgegevens van de betrokken medewerkers anderzijds. 39. Ten tweede voert de verweerster aan dat de klager deze opnames wenst te gebruiken als bewijsmateriaal in een civielrechtelijk geschil of procedure. Indien het tot een gerechtelijke procedure zou kunnen, is het noodzakelijk om de authenticiteit van de opnames te bewaren. Dit wordt bemoeilijkt wanneer de persoonsgegevens van de betrokken medewerkers uit het gesprek verwijderd worden. Beslissing ten gronde 57/2023 – 10/33 40. Ten derde voert de verweerster aan dat een groot deel van het productieproces telefonisch verloopt. Op basis van de telefoonopnames kunnen de werkmethodes en knowhow, en aldus de zakengeheimen, van de verweerster afgeleid worden. 41. Ten vierde stelt de verweerster dat de uitoefening van het recht tot inzage ongegrond is daar zij een manifeste vorm van rechtsmisbruik uitmaakt. De klager en de verweerster zijn immers verwikkeld in een contractueel geschil omtrent de uitvoering van de overeenkomst. Als onderdeel daarvan wenst de klager de opnames te gebruiken als bewijs in het kader van een mogelijke gerechtelijke procedure. De regeling en beperkingen inzake de overlegging van bewijs in civielrechtelijke geschillen wordt echter uitdrukkelijk geregeld om de rechten van verdediging en het recht op tegenspraak te garanderen. Door de verplichting om deze opnames over te maken, zou het recht op een eerlijk proces zoals gewaarborgd in artikel 6 van het Europees Verdrag van de Rechten van de Mens miskend worden daar de verweerster als partij in een civiele procedure zelf het initiatief kan nemen en bepalen hoe het proces verloopt. Verweerster het recht ontzeggen om te kiezen welke bewijzen zij wilt presenteren en wanneer, is een flagrante schending van haar recht op een eerlijk proces. II.2.4. Beoordeling door de Geschillenkamer Algemene principes 42. Om te beginnen herinnert de Geschillenkamer eraan dat het recht van inzage een van de belangrijkste vereisten is van het recht op gegevensbescherming. Het is de "toegangspoort" die de uitoefening mogelijk maakt van andere rechten die de AVG aan de betrokkene toekent, zoals het recht op rectificatie, het recht op gegevenswissing en het recht op beperking van de verwerking.2 43. De klager heeft meermaals zijn recht op inzage ex artikel 15 AVG uitgeoefend ten aanzien van de verweerster door te verzoeken om hem een kopie te bezorgen van de opnames van de telefoongesprekken waaraan de klager had deelgenomen. Via zijn advocaat heeft de klager op 21 maart 2022 een laatste verzoek per e-mail en aangetekend schrijven gericht aan de klager: Mijn cliënt maant u aan om alsnog een elektronische kopie te verstrekken van alle telefoongesprekopnames waarover u beschikt en waarbij mijn cliënt betrokken is als deelnemer aan het gesprek. Mijn cliënt verzoekt omtrent de verwerking van de telefoongesprekopnames bovendien om hem bijkomend de volgende informatie te verschaffen: 2 Zie meeste recent HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 38, maar ook HvJEU, 17 juli 2014, YS et al., C-141/12 en C-372/12, EU:C:2014:2081, para 44, en HvJEU 20 december 2017, Nowak, C-434/16, EU:C:2017:994, para 57, zie ook beslissing 15/2021 dd. 9 februari 2021, para 141, en beslissing 41/2020 dd. 29 juli 2020, para 47 Beslissing ten gronde 57/2023 – 11/33 - de verwerkingsdoeleinden - de verwerkingsgronden - welke andere categorieën persoonsgegevens u met betrekking tot de gevoerde telefoongesprekken bijhoudt naast de eigenlijke opnames, - de ontvangers of categorieën van ontvangers aan wie de gegevens zijn of zullen worden verstrekt; - indien mogelijk, de periode waarin de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; - wanneer de persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, informatie over de passende waarborgen inzake deze doorgifte. 44. Volgens artikel 15, lid 1 van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Indien dat laatste het geval is, heeft de betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en van informatie die in artikel 15, lid 1
9. a)-
10. h)wordt vermeld, zoals het doeleinde van de verwerking van de gegevens en de eventuele ontvangers van de gegevens, evenals informatie over het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn gegevens te vragen, of om een klacht bij de GBA in te dienen. Het doel van het recht tot inzage is de betrokkene in staat te stellen om te begrijpen hoe zijn persoonsgegevens worden verwerkt en wat de gevolgen daarvan zijn alsook de juistheid van de verwerkte gegevens te controleren zonder dat hij zijn voornemen hoeft te rechtvaardigen.3 45. Artikel 12 van de AVG betreft de wijze waarop de betrokkenen hun rechten kunnen uitoefenen en bepaalt dat de verwerkingsverantwoordelijke de uitoefening van die rechten door de betrokkene moet faciliteren (artikel 12, lid 2 van de AVG), en hem onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet geven over de maatregelen die naar aanleiding van zijn verzoek zijn genomen (artikel 12, lid 3 van de AVG). Wanneer de verwerkingsverantwoordelijke niet van plan is om aan het verzoek te voldoen, moet hij zijn weigering binnen een maand meedelen, en de betrokkene informeren over de mogelijkheid om een klacht in te dienen tegen die weigering bij de toezichthoudende autoriteit voor gegevensbescherming of beroep in te stellen bij de rechter (artikel 12, lid 4 van de AVG). 3 EDPB Guidelines 01/2022 on data subject rights – right of access, dd 18 januari 2022, te raadplegen via https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf, para 13. Beslissing ten gronde 57/2023 – 12/33 46. De Geschillenkamer stelt vast dat het laatste verzoek tot inzage werd verstuurd per mail en per aangetekende zending op 21 maart 2022. In dit kader wijst de Geschillenkamer erop dat de European Data Protection Board (hierna: EDPB) op dat moment reeds de ‘Richtsnoeren 01/2022 met betrekking tot de rechten van betrokkenen – recht op inzage”4 had gepubliceerd die een leidraad vormt voor verwerkingsverantwoordelijken om met de uitoefening van het recht op inzage om te gaan. Modaliteit – verstrekken van een kopie 47. Voor wat betreft de modaliteiten waarop een verwerkingsverantwoordelijke dient te antwoorden op het verzoek tot inzage van een betrokkene, wijst de Geschillenkamer erop dat artikel 15, lid 3 AVG bepaalt dat de verwerkingsverantwoordelijke de betrokkene een kopie verstrekt van de persoonsgegevens die worden verwerkt. De verplichting om een kopie te verstrekken moet niet worden opgevat als een aanvullend recht van de betrokkene, maar als een manier om toegang tot de gegevens te verlenen. Bijgevolg dient de toegang tot de gegevens uit hoofde van artikel 15, lid 1 AVG de volledige informatie over alle gegevens te omvatten en kan deze toegang dus niet worden opgevat als het verlenen van toegang tot slechts een samenvatting van de gegevens. De verplichting om een kopie te verstrekken dient de doelstellingen van het recht van toegang, namelijk om de betrokkene in staat te stellen kennis te nemen van de rechtmatigheid van de verwerking en deze te controleren (overweging 63). Om deze doelstellingen te bereiken is het in de meeste gevallen niet voldoende dat de betrokkene de informatie slechts tijdelijk mag inzien. Daarom moet de betrokkene toegang krijgen tot de informatie door een kopie van de persoonsgegevens te ontvangen.5 48. De vraag rijst bijgevolg in welke vorm de kopie verstrekt moet worden. Artikel 15, lid 3 in fine AVG stelt dat wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, de informatie in een gangbare elektronische vorm dient te worden verstrekt, waarbij de gangbaarheid dient bepaald te worden vanuit het standpunt van de betrokkene en niet van de verwerkingsverantwoordelijke. 6 In sommige gevallen bepalen de omstandigheden zelf in welk formaat de persoonsgegevens moeten worden verstrekt, zoals bij audio-opnames aangezien de stem van de betrokkene zelf een persoonsgegeven uitmaakt. In sommige gevallen kan ook een transcript van de gesprekken 4 EDPB Guidelines 01/2020 on data subject rights – right of access, dd 18 januari 2022, te raadplegen via https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf 5 EDPB Guidelines 01/2020 on data subject rights – right of access, dd 18 januari 2022, te raadplegen via https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf para 21 e.v. 6 EDPB Guidelines 01/2020 on data subject rights – right of access, dd 18 januari 2022, te raadplegen https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf, para 146 e.v. Beslissing ten gronde 57/2023 – 13/33 volstaan, bijvoorbeeld wanneer dit werd overeengekomen tussen de klager en de verwerkingsverantwoordelijke.7 49. De Geschillenkamer meent dat het overmaken van een kopie van de klankopnames had moeten worden overgemaakt aan de klager. Deze klankopnames bevatten immers de persoonsgegevens die worden uitsproken, maar ook het stemgeluid van de klager, hetgeen ook een persoonsgegeven uitmaakt en niet kan worden weergegeven in transcripts. 50. Voor de volledigheid verwijst de Geschillenkamer naar het arrest gewezen in de zaak “Österreichische Datenschutzbehörde”8 waarin het Hof van Justitie heeft gesteld dat “het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, inhoudt dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen, waarbij moet worden benadrukt dat daarbij ook rekening moet worden gehouden met de rechten en vrijheden van anderen”.9 Uitzonderingen 51. Ondanks dit ruime begrip van een kopie, en niettegenstaande het feit dat het de belangrijkste modaliteit is waarmee toegang moet worden verleend, kunnen onder bepaalde omstandigheden andere modaliteiten geschikt zijn. Overweging 63 van de AVG stelt dat het recht op inzage geen afbreuk mag doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden. 52. Zoals reeds uiteengezet, voert de verweerster in haar conclusies verschillende argumenten hieromtrent aan. 53. Ten eerste voert de verweerster aan dat de telefoonopnames ook persoonsgegevens van haar medewerkers bevatten. De rechten en vrijheden van deze medewerkers dienen door de verweerster verzekerd te worden. De Geschillenkamer merkt op dat artikel 15, lid 4 van de AVG bepaalt dat het recht om een kopie te verkrijgen geen afbreuk mag doen aan de rechten en vrijheden van anderen. De algemene bezorgdheid dat de rechten en vrijheden van anderen kunnen worden aangetast door in te gaan op het verzoek tot inzage, is niet 7 EDPB Guidelines 01/2020 on data subject rights – right of access, dd 18 januari 2022, te raadplegen via https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf para 153 e.v 8 HvJEU, , 4 mei 2023, F.F. t. Österreichische Datenschutzbehörde, C-487/21, ECLI:EU:C:2023:369. 9 HvJEU, , 4 mei 2023, F.F. t. Österreichische Datenschutzbehörde, C-487/21, ECLI:EU:C:2023:369, para 45. Beslissing ten gronde 57/2023 – 14/33 voldoende om een beroep te doen op artikel 15, lid 4 AVG. De Geschillenkamer wijst er echter op dat de verwerkingsverantwoordelijke moet kunnen aantonen dat in de concrete situatie rechten of vrijheden van anderen feitelijk zouden worden aangetast. 54. Zoals kan worden afgeleid uit overweging 4 van de AVG en uit de ratio achter artikel 52, lid 1, van het Europees Handvest van de grondrechten, met name dat het recht op bescherming van persoonsgegevens geen absoluut recht is. Overweging 4 stelt meer in het bijzonder: “[…] Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen […]". Derhalve moet ook de uitoefening van het recht op toegang worden afgewogen tegen andere grondrechten overeenkomstig het evenredigheidsbeginsel. De EDPB heeft in de Richtsnoeren drie stappen voorzien om deze afweging uit te voeren. Wanneer deze afweging ex artikel 15, lid 4, AVG aantoont dat inwilliging van het verzoek negatieve gevolgen heeft voor de rechten en vrijheden van andere deelnemers (stap 1), moeten de belangen van alle deelnemers worden afgewogen, rekening houdend met de specifieke omstandigheden van het geval en met de waarschijnlijkheid en de ernst van de risico's die aan de verstrekking van de gegevens verbonden zijn. De verwerkingsverantwoordelijke moet proberen de conflicterende rechten met elkaar te verzoenen (stap 2), bijvoorbeeld door passende maatregelen te nemen om het risico voor de rechten en vrijheden van anderen te beperken, zoals bijvoorbeeld de informatie betreffende anderen zoveel mogelijk onleesbaar maken in plaats van te weigeren een kopie van de persoonsgegevens te verstrekken. Indien het echter onmogelijk is een verzoeningsoplossing te vinden, moet de verwerkingsverantwoordelijke in een volgende stap beslissen welk van de conflicterende rechten en vrijheden en vrijheden prevaleert (stap 3). 55. Toegepast op onderhavige zaak heeft de verweerster overeenkomstig het bovenstaande in stap één de aanvraag van de klager geëvalueerd en vastgesteld dat de opnames persoonsgegevens van medewerkers bevatten. 56. Om in het kader van stap 2 na te gaan of het overmaken van de kopie een impact heeft op de rechten en vrijheden van anderen, moet de verweerster als verwerkingsverantwoordelijke de conflicterende belangen trachten met elkaar te verzoenen door passende maatregelen te nemen om het risico voor de rechten en vrijheden van de betrokkene zo veel als mogelijk te beperken. Het is in dit kader dat de verweerster heeft aangeboden om de opnames te komen beluisteren in haar hoofdkantoor. De klager heeft deze mogelijkheid geweigerd, maar kon echter wel akkoord gaan om een transcript te ontvangen met weglating van de directe identificatiegegevens van de medewerkers van verweerster, mits de nodige waarborgen inzake de correctheid hiervan. Er werd echter geen manier gevonden tussen de partijen om de conflicterende rechten te verzoenen. Beslissing ten gronde 57/2023 – 15/33 57. In de derde stap diende de verweerster aldus na te gaan welke van de conflicterende rechten prevaleert. Hierbij dient rekening te worden gehouden met de waarschijnlijkheid en ernst van mogelijke risico’s met betrekking tot de rechten en de vrijheden van de medewerkers in de telefoonopnames. De verweerster concludeert dat het recht van haar medewerkers prevaleert en hen op deze wijze wenst af te schermen van (ontevreden) klanten. De Geschillenkamer volgt deze zienswijze niet. De Geschillenkamer merkt op dat er wellicht persoonsgegevens van de medewerkers in de telefoonopnames aanwezig zijn, maar dat het gaat over een beperkte hoeveelheid, zoals de stem en de naam. Bovendien is het gesprek van professionele aard. De Geschillenkamer concludeert dan ook dat er geringe tot geen nadelige gevolgen zijn voor de rechten en vrijheden van de medewerkers. De Geschillenkamer oordeelt bijgevolg dat de verweerster zich niet op deze rechten en vrijheden kan beroepen voor de weigering tot het overmaken van een kopie aan de verweerster. 58. Als tweede argument in het kader van de weigering tot verstrekking van een kopie aan de klager, werpt de verweerster op dat de Inspectiedienst tijdens het onderzoek heeft miskend dat de klager deze opnames wenst te gebruiken als bewijsmateriaal in een civielrechtelijk geschil of procedure, waarvan de authenticiteit en integriteit bewaard moet blijven. De klager werpt hieromtrent op dat er nog geen sprake is van een gerechtelijke procedure. 59. De Geschillenkamer wijst erop dat, gelet op de ruime toepassing en interpretatie van het recht op inzage, het doel waarvoor het recht op inzage wordt uitgeoefend niet moet worden beschouwd als een voorwaarde voor de uitoefening van dit recht. Het komt bijgevolg niet toe aan verwerkingsverantwoordelijken om na te gaan waarom de betrokkene inzage in zijn persoonsgegevens wenst, maar enkel op wat het verzoek tot inzage inhoudt en of hij al dan niet persoonsgegevens van de betrokkene verwerkt. In de voormelde Richtsnoeren haalt de EDPB ook als voorbeeld aan dat een verwerkingsverantwoordelijke geen inzage mag weigeren op basis van vermoedens dat de betrokken persoonsgegevens zouden gebruikt kunnen worden door de betrokkene om zichzelf te verdedigen in de rechtbank in het geval van een commercieel geschil met de verwerkingsverantwoordelijke.10 De Geschillenkamer concludeert bijgevolg dat de verweerster zich hierop niet kan beroepen voor het weigeren van het recht op inzage. 60. Ten derde werpt de verweerster op dat een groot deel van het productieproces telefonisch verloopt en als doel heeft de behoeftes, wensen, werkwijze enz. met de klant te bespreken. De producten aangeboden door de verweerster zijn immers producten gemaakt op maat voor de klant. Op basis van de gespreksinhoud, zoals de vragen die gesteld zouden worden 10 EDPB Guidelines 01/2020 on data subject rights – right of access, dd 18 januari 2022, te raadplegen via https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf para 13. AG Emiliou bevestigt deze stelling in diens conclusies in de zaak C-307/22, 20 april 2023, FT t. DW, para 28, https://eurlex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:62022CC0307. Beslissing ten gronde 57/2023 – 16/33 aan de klant, zou het dus mogelijk zijn om de werkmethodes, knowhow en aldus zakengeheimen van de verweerster af te leiden. 61. Zoals reeds vermeld stelt overweging 63 dat het recht op inzage geen afbreuk mag doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim. De AVG verduidelijkt echter niet wat onder het zakengeheim in de zin van overweging 63 AVG moet begrepen worden. In het Belgisch nationaal recht definieert artikel I.17/1 WER het bedrijfsgeheim als volgt: “Informatie die aan de volgende cumulatieve voorwaarden voldoet:
11. a)ze is geheim in die zin dat zij, in haar geheel dan wel in de juiste samenstelling en ordening van haar bestanddelen, niet algemeen bekend is bij of gemakkelijk toegankelijk is voor personen binnen de kringen die zich gewoonlijk bezighouden met de desbetreffende soort informatie;
12. b)ze bezit handelswaarde omdat zij geheim is;
13. c)ze is door de persoon die rechtmatig daarover beschikt onderworpen aan redelijke maatregelen, gezien de omstandigheden, om deze geheim te houden.” 62. De Geschillenkamer begrijpt uit de conclusies van de verweerster dat in de opnames besproken wordt hoe de website gebouwd zou worden. Hierbij zouden vragen gesteld zijn uit dewelke de knowhow en de productieprocessen van de verweerster zouden kunnen worden afgeleid. Het overmaken van een kopie van deze gesprekken zou dus een schending van het bedrijfsgeheim van de verweerster uitmaken, zo stelt de verweerster. De Geschillenkamer merkt echter op dat deze informatie niet voldoet aan de hierboven vermelde definitie van een bedrijfsgeheim. Volgens de eerste voorwaarde van de voormelde definitie is een bedrijfsgeheim geheim in die zin dat zij, in haar geheel, dan wel in de juiste samenstelling en ordening van haar bestanddelen, niet algemeen bekend is, of gemakkelijk toegankelijk is voor personen binnen de kringen die zich gewoonlijk bezighouden met de desbetreffende soort informatie. De Geschillenkamer merkt op dat deze informatie niet beperkt toegankelijk is. Deze informatie wordt immers meegedeeld in standaardgesprekken met alle klanten, waarbij het voor concurrenten ook mogelijk is om zich voor te doen als klant en zo de benodigde informatie te verkrijgen. Bovendien is deze informatie ook niet beschermd door middel van een geheimhoudingsovereenkomst. Dit zou dus betekenen dat de klanten de zogezegde zakengeheimen van verweerster zouden kunnen en mogen doorgeven naar derden. De informatie wordt immers al gegeven tijdens de gesprekken zelf zonder dat er op dat moment is overeengekomen om deze geheim te houden. Bovendien dient de informatie nog in de juiste samenstelling of ordening van haar bestanddelen geplaatst worden opdat zij relevant zou kunnen zijn om de knowhow te achterhalen. Beslissing ten gronde 57/2023 – 17/33 63. Gelet op bovenstaande, oordeelt de Geschillenkamer dat de bovenvermelde uitzonderingen op het recht op het overmaken van een kopie niet van toepassing zijn in deze zaak. Rechtsmisbruik 64. In ondergeschikte orde stelt de verweerster dat de uitoefening van het recht tot inzage ongegrond is daar zij een manifeste vorm van rechtsmisbruik uitmaakt. De verweerster voert in verband daarmee aan dat de klager op een oneigenlijke manier de betreffende opnames wenst te bekomen in het kader van het commercieel geschil. In zijn conclusies betoogt de klager dat het de verweerster zelf is die steeds telefonisch contact heeft opgenomen met de klager. Volgens de klager moet verweerster dan ook instaan voor het vrijwaren van het recht op inzage van de klager aangezien hij dit niet zelf kan uitoefenen. 65. De Geschillenkamer herinnert eraan dat het Unierecht niet met het oog op misbruik of bedrog mag worden ingeroepen.11 Advocaat-Generaal Kokott stelt in verband met het misbruik inzake het recht op toegang dat de vaststelling of er sprake is van misbruik zowel een objectief als een subjectief element vereist. Wat, ten eerste, het objectieve element betreft, moet uit een geheel van objectieve omstandigheden blijken dat in weerwil van de formele naleving van de door een Unieregeling opgelegde voorwaarden, het door deze regeling beoogde doel niet werd bereikt. Ten tweede vereist een dergelijke vaststelling ook een subjectief element, in die zin dat uit een geheel van objectieve factoren moet blijken dat het wezenlijke doel van de betrokken handelingen erin bestaat een ongerechtvaardigd voordeel te verkrijgen. Het verbod van misbruik geldt immers niet wanneer er voor de betrokken handelingen een andere verklaring kan bestaan dan de loutere verkrijging van een (ongerechtvaardigd) voordeel.12 66. Voor wat betreft het objectieve element stelt de Geschillenkamer vast dat de wensen en behoeften van de klager, die hij uit als klant van verweerster, als persoonsgegevens moeten gekwalificeerd worden aangezien die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon (namelijk de klager zelf). Deze gesprekken uiten immers de visie en gedachtegang van de klager voor wat betreft de gewenste producten. Het verzamelen van deze informatie door de verweerster heeft tot doel om een product te maken op maat van de klager. Het is immers de bedoeling van de klager om door middel van de op maat gemaakte website en video zichzelf (en zijn eenmanszaak) 13 te onderscheiden van zijn concurrenten. 11 HvJEU, 9 maart 1999, Centros, C‑212/97, EU:C:1999:126, para 24, HvJEU, 2 juni 2016, Bogendorff von Wolffersdorff, C‑438/14, EU:C:2016:401, punt 57. 12 13 AG Opinie bij HvJEU, 20 juli 2017, Nowak, C-434/16, ECLI:EU:C:2017:582, para 42 e.v. Het Hof van Justitie heeft geoordeeld dat "voor zover de officiële titel van de rechtspersoon een of meer natuurlijke personen identificeert", de rechtspersoon op grond van de artikelen 713 en 813 van het Handvest van de grondrechten van de Europese Unie aanspraak kan maken op de bescherming van gegevens die met hem verband houden.13 Aangezien de AVG een uitwerking is van de overkoepelende waarborgen die in deze Handvestbepalingen zijn neergelegd, kan een dergelijke bescherming voor rechtspersonen ook uit de AVG voortvloeien, hoewel deze bescherming niet de rechtspersoon als zodanig Beslissing ten gronde 57/2023 – 18/33 67. Deze kwalificatie als persoonsgegevens heeft tot gevolg dat de basisbeginselen van de AVG van toepassing zijn alsook dat de betrokkene zijn rechten voortvloeiend uit de AVG kan uitoefenen, zoals de evaluatie van de juistheid ervan of het recht om zich te verzetten tegen de verwerking van zijn persoonsgegevens buiten de context van de gesloten overeenkomsten om. Aldus moet worden vastgesteld dat het verlenen van een recht op toegang tot die wensen en behoeften in de opnames het doel van de AVG dient, dat erin bestaat de bescherming te garanderen van het recht op persoonlijke levenssfeer van de klager in verband met de verwerking van zijn persoonsgegevens. 68. Voor wat betreft het subjectief element, stelt de Geschillenkamer vast dat het wezenlijke doel van de betrokken handelingen er niet in bestaat een ongerechtvaardigd voordeel te verkrijgen. De Geschillenkamer stelt dat de uitoefening van het recht op inzage de enige wijze is voor de klager om na te gaan om inzage te krijgen in welke persoonsgegevens de verweerster verwerkt en op welke wijze deze verwerking desgevallend gebeurt. Aangezien de contacten telefonisch verlopen, heeft de klager zelf geen schriftelijke neerslag van de verwerking van zijn gegevens. Een verzoek kan ook niet geweigerd worden indien de betrokkene de intentie zou hebben om de persoonsgegevens te gebruiken om klacht in te dienen tegen de verweerster.14 Bijgevolg kan er geen sprake zijn van een rechtsmisbruik. 69. Het Inspectieverslag stelt vast dat er eveneens een inbreuk zou zijn van artikel 12, lid 3 en lid 4 AVG. De Geschillenkamer stelt echter vast dat de verweerster een antwoord geformuleerd heeft op het verzoek van de klager binnen de gestelde termijn van één maand, waardoor er geen sprake is van een inbreuk op artikel 12, lid 3 AVG. De verweerster heeft ook het verzoek tot inzage niet zonder meer geweigerd, maar stelde -onvoldoende gelijkwaardige - alternatieven voor, waardoor er geen sprake is van een inbreuk op artikel 12, lid 4 AVG. 70. Gelet op het bovenstaande oordeelt de Geschillenkamer dat de verweerster geen correct en rechtmatig gevolg gegeven heeft aan de uitoefening van het recht op inzage van de klager, hetgeen een inbreuk uitmaakt op artikel 12, lid 2 en op artikel 15 van de AVG. II.3. Artikel 5, lid 1,
14. a)(transparantie), artikel 12, lid 1 en artikel 13, lid 1 en lid 2, AVG 71. Op basis van artikel 12, lid 1 en artikel 13, lid 1 en lid 2 van de AVG is het noodzakelijk dat de verweerster als verwerkingsverantwoordelijke aan de betrokkenen beknopte, transparante en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt worden. De voormelde transparantieverplichtingen vormen een concretisering van de algemene transparantieverplichting van artikel 5, lid 1,
15. a)van de AVG. Zoals reeds uiteengezet moet de betreft, maar de natuurlijke perso(o)n(
16. en)die deze vormen, en zich waarschijnlijk voornamelijk voordoet in gevallen waarin de rechtspersoon in feite een eenmanszaak is of een klein familiebedrijf met een transparante "bedrijfssluier". 14 EDPB Guidelines 01/2020 on data subject rights – right of access, dd 18 januari 2022, te raadplegen via https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf, para 13. Beslissing ten gronde 57/2023 – 19/33 verweerster de passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt conform de AVG. De verweerster moet daarbij de gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk specifiek doel van de verwerking. II.3.1. Vaststellingen in het Inspectieverslag 72. De Inspectiedienst stelt ten eerste vast dat de verweerster niet aantoont dat zij de klager effectief transparant en tijdig heeft geïnformeerd over de informatie die moet worden bezorgd overeenkomstig de artikelen 12 en 13 van de AVG. II.3.2. Standpunt van de klager 73. De klager sluit zich volledig aan bij de vaststellingen van de Inspectiedienst. Hieraan voegt hij toe dat hij inderdaad niet op afdoende wijze op de hoogte gebracht was dat de gesprekken werden opgenomen. De klager betwist dat hij bij ieder telefonisch contact op de hoogte werd gesteld dat de gesprekken werden opgenomen. Het is eerst bij het erop volgend e-mailverkeer dat hij van de opnames op de hoogte gebracht werd. Bijgevolg heeft de verweerster niet voldaan aan haar informatieverplichting. II.3.3. Standpunt van de verweerster 74. De verweerster voert aan in haar conclusies dat zij haar transparantieverplichtingen ingevolge de artikelen 12 en 13 AVG niet geschonden heeft. De verweerster stelt dat zij de klager op verschillende tijdstippen en door middel van verschillende kanalen heeft geïnformeerd over de litigieuze verwerking, te weten bij het sluiten van de overeenkomsten, via de privacyverklaring op de website en via de automatische berichten bij de ontvangst van de oproepen. Wat betreft de onduidelijkheid omtrent de opnames die door de Inspectiedienst werd vastgesteld, werpt de verweerster op dat de telefoongesprekken enkel werden opgenomen bij inkomende en uitgaande oproepen van het algemeen nummer. Indien een werknemer rechtstreeks contact opnam met de klager of rechtstreeks door de klager gecontacteerd werd, werden de gesprekken niet opgenomen. Daarnaast werd de klager volgens de verweerster uitvoering geïnformeerd over zijn rechten onder de AVG teneinde de uitoefening ervan te faciliteren. De verweerster concludeert dan ook dat zij wel degelijk voldaan heeft aan haar verplichtingen krachtens de artikelen 12 en 13 van de AVG. II.3.4. Beoordeling door de Geschillenkamer 75. De Geschillenkamer moet oordelen of de klager afdoende geïnformeerd werd over de litigieuze verwerking om aan de eisen van artikel 12, lid 1, en artikel 13, lid 1 en lid 2 AVG te voldoen. Beslissing ten gronde 57/2023 – 20/33 76. Artikel 12, lid 1 AVG schrijft voor dat de verwerkingsverantwoordelijke “passende maatregelen” neemt“ opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie [...] in verband met de verwerking in een beknopte, transparante, begrijpelijk en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is”. 77. De Geschillenkamer stelt vast dat artikel 14 van beide gesloten overeenkomsten stipuleert dat de telefoongesprekken kunnen worden opgenomen met als doel de uitvoering van de overeenkomst. Dit wordt eveneens vermeld in de privacyverklaring. Hieromtrent verwijst de Geschillenkamer naar de richtsnoeren inzake transparantie van de Groep Gegevensbescherming artikel 29 waarin wordt bepaald als volgt: "Elke onderneming met een website zou op die site een verklaring of een mededeling over de bescherming van de persoonlijke levenssfeer moeten publiceren. Een rechtstreekse link naar deze verklaring of mededeling over de bescherming van de persoonlijke levenssfeer zou duidelijk zichtbaar moeten zijn op elke pagina van de website, onder een algemeen gebruikte term (bv. "Vertrouwelijkheid", "Vertrouwelijkheidsbeleid" of "Mededeling inzake de bescherming van de persoonlijke levenssfeer".15 De Groep Gegevensbescherming artikel 29 stelt dat "alle informatie die aan een betrokkene wordt toegestuurd, ook toegankelijk zou moeten zijn op een enkele plaats of in eenzelfde document (op papier of in elektronisch formaat) dat vlot kan worden geraadpleegd door deze persoon indien hij alle informatie die hem wordt toegestuurd wenst te raadplegen."16 78. De Geschillenkamer wijst erop dat de klager werd geïnformeerd over de litigieuze verwerking via de – door hem ondertekende – overeenkomsten en via de privacyverklaring. De Geschillenkamer stelt hierbij echter vast dat niet alle essentiële informatie meegedeeld werd. 79. Vooreerst stelt de Geschillenkamer in dit verband vast dat de privacyverklaring niet op voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond(en), de doeleinden van de verwerking en de persoonsgegevens die gebruikt werden, zoals vereist door artikel 13, lid 1 en 2 AVG. De Geschillenkamer stelt vast dat de privacyverklaring wel deze elementen vermeldt, maar dat de wijze waarop niet begrijpelijk en transparant is voor de betrokkenen, aangezien niet duidelijk is voor de betrokkene welke gegevens voor welk doeleinde worden verwerkt en op basis van welke rechtsgrond dit gebeurt. Idealiter voorziet de verwerkingsverantwoordelijke een oplijsting van de verschillende doeleinden waarvoor hij persoonsgegevens verwerkt, met telkens de aanduiding welke (categorieën van) 15 Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 11. 16 Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 17. Beslissing ten gronde 57/2023 – 21/33 persoonsgegevens hiervoor worden verwerkt, via welke bron zij werden verkregen, voor hoelang zij worden bewaard en met welke (categorieën van) ontvangers ze (kunnen) worden gedeeld.17 80. Ten tweede stelt de Geschillenkamer vast dat de privacyverklaring niet duidelijk melding maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel de criteria ter bepaling hiervan, zoals vereist door artikel 13, lid 2
17. a)AVG. De privacyverklaring vermeldt hieromtrent het volgende: “[Verweerster] stelt alle noodzakelijke middelen in het werk om ervoor te zorgen dat de gegevens van persoonlijke aard worden bewaard voor de hierboven beschreven doeleinden en dat ze de wettelijke termijnen niet overschrijdt.” Zoals ook uit de Richtsnoeren van de Groep Gegevensbescherming blijkt, volstaat een dergelijke formulering niet. De Groep Gegevensbescherming wijst er in dit verband op dat de (vermelding van
18. de)bewaartermijn verband houdt met het beginsel van minimale gegevensverwerking vervat in artikel 5, lid 1,
19. c)AVG alsook de vereiste van opslagbeperking van artikel 5, lid 1,
20. e)AVG. Deze preciseert dat “de opslagperiode (of de criteria om die te bepalen) kan (kunnen) worden gedicteerd door factoren als wettelijke vereisten of sectorale richtsnoeren, maar altijd zodanig moeten worden geformuleerd dat de betrokkene, op basis van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor specifieke gegevens/doeleinden is”.18 De Geschillenkamer stelt, gelet op al het voorgaande, een schending vast van artikel 5, lid 1, a), artikel 12, lid 1 en lid 2, artikel 13, lid 1,
21. c)en lid 2
22. a)van de AVG. II.4. Artikel 5 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1 en 2 AVG II.4.1. Vaststellingen in het Inspectieverslag 81. De verwerkingsverantwoordelijke moet de beginselen uit artikel 5 AVG naleven en dat kunnen aantonen. Dat volgt uit de verantwoordingsplicht zoals begrepen in artikel 5, lid 2 j° artikel 24, lid 1 AVG. Op basis van de artikelen 24 en 25 AVG moet elke verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt overeenkomstig de AVG. 82. In zijn Inspectieverslag stelt de Inspectiedienst vast dat de artikelen 5, 24, lid 1 en 25, lid 1 en 2 AVG werden geschonden. 17 Dit laat de betrokkenen toe om eventueel via een verzoek tot recht op inzage concreet te vragen met welke individuele ontvangers de persoonsgegevens meegedeeld worden, zie o.a. HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3. 18 Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260rev1 vastgesteld op 29 november 2017, p 25. Beslissing ten gronde 57/2023 – 22/33 83. In het kader van zijn onderzoek omtrent de verantwoordingsplicht in het kader van de naleving van de grondbeginselen uit artikel 5, lid 2 AVG heeft de Inspectiedienst volgende vraag overgemaakt aan de verweerster: “Een met documenten onderbouwd antwoord op de vraag welke technische en organisatorische maatregelen de [de verweerster] heeft genomen om te waarborgen dat zijn verwerkingsactiviteiten plaatsvinden in overeenstemming met de beginselen inzake verwerking van persoonsgegevens overeenkomstig artikelen 5, 24 en 25 van de AVG.” 84. De verweerster heeft op bovenstaande vraag een antwoord geformuleerd dat, aldus de Inspectiedienst, focust op de – volgens de verweerster – correcte behandeling van het verzoek inzake het recht op inzage van de klager. De Inspectiedienst stelt in zijn Inspectieverslag dat dit antwoord naast de kwestie is, aangezien de vraag betrekking had op de naleving van alle basisbeginselen van de AVG door de verweerster sinds de 25 mei 2018. Bijgevolg komt de Inspectiedienst tot de vaststelling dat er een inbreuk is op artikel 5, artikel 24, lid 1 en artikel 25, lid 1 AVG. 85. Ten tweede komt de Inspectiedienst tot de vaststelling dat de verweerster niet aantoont welke technische en organisatorische maatregelen er werden genomen om het uitoefenen van de rechten van de betrokkenen te faciliteren en adequaat te kunnen opvolgen overeenkomstig artikel 12 AVG. De Inspectiedienst verwijst in dit verband naar (
23. i)zijn eerdere vaststelling dat de verweerster het recht van inzage van de klager ten onrechte heeft bemoeilijkt en (
24. ii)het feit dat de verweerster in haar antwoord nergens melding maakt en kopie bezorgt van documenten die in de praktijk enerzijds de directie en medewerkers van de verweerster informeren en sensibiliseren over het faciliteren en adequaat opvolgen van de rechten van de betrokkenen en anderzijds ertoe bijdragen dat inbreuken en (menselijke) fouten inzake de rechten van de betrokkenen effectief en efficiënt worden opgevolgd en waar nodig worden gesanctioneerd. Bijgevolg komt de Inspectiedienst tot de vaststelling dat er een inbreuk is op artikel 24, lid 1 en artikel 25, lid 1 AVG. II.4.2. Standpunt van de klager 86. De klager sluit zich aan bij de vaststellingen in het Inspectieverslag. II.4.3. Standpunt van de verweerster 87. In haar conclusies betwist de verweerster deze vaststelling. De verweerster betreurt dat de Inspectiedienst is gekomen tot een schending van de verantwoordingsplicht zoals begrepen in artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG omwille van een misvatting van een van de vragen van de Inspectiedienst door de verweerster. De verweerster hekelt de vaststelling dat haar antwoord op de bovenvermelde vraag niet concreet genoeg was, terwijl de vraag allesbehalve specifiek geformuleerd was, aldus de verweerster. De verweerster wijst er ook op dat zij in haar antwoord had vermeld dat zij steeds beschikbaar was voor alle Beslissing ten gronde 57/2023 – 23/33 verdere informatie, maar dat geen verdere vragen gesteld werden. Bovendien werd enkele dagen later het Inspectieonderzoek afgerond. 88. Aangezien de verweerster de vaststellingen inzake de transparantie en het recht op inzage betwist, stelt zij bijgevolg ook dat zij wel de passende technische en organisatorische maatregelen getroffen heeft om de verplichtingen inzake transparantie te waarborgen en het recht op inzage te faciliteren. II.4.4. Beoordeling door de Geschillenkamer 89. De Geschillenkamer herinnert eraan dat elke verwerkingsverantwoordelijke de grondbeginselen inzake de bescherming van persoonsgegevens zoals begrepen in artikel 5, lid 1 AVG moet naleven en dat moet kunnen aantonen. Dat vloeit voort uit de verantwoordingsplicht in artikel 5, lid 2 van de AVG juncto artikel 24, lid 1 van de AVG zoals bevestigd door de Geschillenkamer 19. 90. Op basis van de artikelen 24 en 25 van de AVG moet de verweerster passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt conform de AVG. De verweerster moet daarbij de gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk specifiek doel van de verwerking. 91. In het kader van zijn onderzoek heeft de Inspectiedienst beoordeeld in welke mate de verweerster de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan deze beginselen uit artikel 5, lid 1 AVG en in het bijzonder het beginsel van rechtmatigheid en transparantie. In casu heeft de verweerster een antwoord verstrekt aan de Inspectiedienst waarin zij toelichting geeft omtrent de aspecten inzake de AVG uit de klacht, zoals de informatieverplichtingen en het recht op inzage. De Geschillenkamer leest echter in het Inspectierapport dat het antwoord dat door de verweerster geformuleerd werd, niet volstond voor de Inspectiedienst. Zoals hierboven uiteengezet is de Inspectiedienst in casu van oordeel dat bepaalde informatie, die voor de Inspectiedienst essentieel is om tot een goede beoordeling te komen, ontbreekt waardoor de Inspectiedienst geconcludeerd werd dat er sprake was van een schending van artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG. 92. De Geschillenkamer merkt hierbij op indien de Inspectiedienst vaststelt dat er geen concrete informatie werd aangeleverd door een verwerkingsverantwoordelijke, dit een aanleiding vormt om bijkomend onderzoek te doen. De Geschillenkamer stelt vast dat in casu geen bijkomende vragen werden gesteld over welbepaalde onderwerpen of dat er 19 Beslissing ten gronde 34/2020 van 23 juni 2020 beschikbaar https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. via de webpagina Beslissing ten gronde 57/2023 – 24/33 geen welbepaalde documenten werden opgevraagd om tot een goede beoordeling van de zaak te kunnen komen voor wat betreft de verantwoordingsplicht in het kader van de grondbeginselen van de AVG begrepen in artikel 5, lid 1,
25. b)t.e.m.
26. f)AVG. 93. De Geschillenkamer heeft in deel II.2.4 vastgesteld dat er sprake was van een inbreuk van de verplichting inzake het faciliteren van het verzoek tot inzage van de betrokkene ingevolge artikel 12, lid 2 j° artikel 15 AVG. De Geschillenkamer heeft in deel II.3.4 geoordeeld dat er eveneens sprake was van een inbreuk op de transparantieverplichtingen zoals begrepen in artikel 12, lid 1 en artikel 13, lid 1,
27. c)en lid 2
28. a)AVG voor wat betreft de begrijpelijke taal en de vermelding van de bewaartermijnen in de privacyverklaring. 94. De Geschillenkamer stelt dan ook vast dat de verweerder niet kon aantonen dat hij de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan deze verplichtingen. Bijgevolg besluit de Geschillenkamer dat er sprake was van een inbreuk op de artikelen 5, lid 2, 24, lid 1 en 25 lid 1 AVG voor wat betreft de verplichtingen voortvloeiend uit artikel 12, lid 2 j° artikel 15 AVG enerzijds en artikel 12, lid 1 en artikel 13, lid 1,
29. c)en lid 2
30. a)AVG anderzijds. 95. Voor wat betreft de verantwoordingsplicht in het kader van de naleving van de grondbeginselen van de AVG zoals begrepen in artikel 5, lid 1,
31. b)t.e.m.
32. f)AVG, stelt de Geschillenkamer vast dat er onvoldoende elementen zijn om tot een schending hiervan te oordelen. III. Sancties III.1. Algemeen 96. Op basis van de stukken uit het dossier stelt de Geschillenkamer vast dat er sprake is van volgende inbreuken - artikel 12, lid 2 en artikel 15 AVG voor wat betreft het recht op inzage; - artikel 5, lid 1,
33. a)(transparantie), artikel 12, lid 1 en artikel 13, lid 1,
34. c)en lid 2
35. a)AVG, voor wat betreft de begrijpelijke taal en de vermelding van de bewaartermijnen in de privacyverklaring; 97. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; Beslissing ten gronde 57/2023 – 25/33 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. III.2. Artikel 5, lid 1,
36. a)(transparantie), artikel 12, lid 1 en artikel 13, lid 1
37. c)en lid 2,
38. a)AVG in combinatie met het verantwoordingsbeginsel ex artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG 98. Voor wat betreft de inbreuk op artikel 5, lid 1,
39. a)(transparantie), artikel 12, lid 1 en artikel 13, lid 1,
40. c)en lid 2
41. a)AVG, met betrekking tot de begrijpelijke taal en de vermelding van de bewaartermijnen in de privacyverklaring, herinnert de Geschillenkamer eraan dat zij veel belang hecht aan transparantie als een van de fundamentele beginselen van de AVG. Transparantie is een overkoepelende verplichting op grond van de AVG, die van toepassing is op drie kerngebieden: 1) de verstrekking van informatie aan betrokkenen in verband met een behoorlijke verwerking; 2) de wijze waarop verwerkingsverantwoordelijken communiceren met betrokkenen over hun rechten uit hoofde van de AVG; en 3) de wijze waarop verwerkingsverantwoordelijken betrokkenen helpen om hun rechten uit te oefenen. Daarnaast stelt de transparantie de betrokkenen in staat om verwerkingsverantwoordelijken en verwerkers verantwoording te laten afleggen. Het komt dan ook toe aan de verweerster als verwerkingsverantwoordelijke om de nodige passende technische en organisatorische maatregelen te nemen om het transparantiebeginsel te waarborgen. In onderhavige zaak is de inbreuk op de transparantie niet van die aard zij de toepassing van deze kerngebieden verhinderen of zwaar bemoeilijken. In casu is de inbreuk beperkt gebleven tot het vermelden van de nodige informatie op een onoverzichtelijke wijze, alsook het niet expliciet vermelden van de bewaartermijn. Bijgevolg is de Geschillenkamer dan ook van mening dat een berisping overeenkomstig artikel 100, lid 1, 5° WOG aangewezen is voor deze inbreuk. III.3. Artikel 12, lid 2, artikel 15 AVG, in combinatie met het verantwoordingsbeginsel ex artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG Beslissing ten gronde 57/2023 – 26/33 99. Voor wat betreft artikel 12, lid 2, lid 3 en lid 4, artikel 15 AVG, in combinatie met het verantwoordingsbeginsel ex artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG voor wat betreft het recht op inzage, acht de Geschillenkamer het passend om een administratieve geldboete op te leggen ten bedrage van 40.000 EUR (artikel 83, lid 2, artikel 100, §1, 13° WOG en artikel 101 WOG). 100. Er dient in dit verband op te worden gewezen dat de administratieve geldboete er niet toe strekt om een gemaakte overtreding te beëindigen, maar wel een krachtige handhaving van de regels van de AVG beoogt. Zoals blijkt uit overweging 148 AVG, stelt de AVG immers voorop dat bij elke ernstige inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd.20 Hierna toont de Geschillenkamer aan dat de inbreuken die de verweerder heeft begaan op de voornoemde bepalingen van de AVG geenszins kleine inbreuken betreffen, noch dat de geldboete onevenredige last zou berokkenen aan een natuurlijk persoon zoals bedoeld in overweging 148 AVG, waarbij in elk van beide gevallen kan worden afgezien van een geldboete. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58, lid 2, punt
42. i)AVG. Het instrument van administratieve boete heeft geenszins tot doel inbreuken te beëindigen. Daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, §1, 8° en 9° WOG. 101. Rekening houdend met artikel 83 AVG en de rechtspraak 21 van het Marktenhof, motiveert de Geschillenkamer het opleggen van een administratieve sanctie in concreto: De ernst van de inbreuk (artikel 83, lid 2,
43. a)AVG) 102. In het kader van het transparantiebeginsel moet de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene faciliteren. Voor de gegevensbescherming is het essentieel dat betrokkenen op een gemakkelijke manier hun rechten onder de AVG kunnen uitoefenen. Hierdoor wordt de betrokkene in staat gesteld om op eenvoudige 20 Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [eigen onderlijning] 21 Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2020/1471 van 19 februari 2020. Beslissing ten gronde 57/2023 – 27/33 manier kennis te nemen welke persoonsgegeven een verwerkingsverantwoordelijke verwerkt en of deze verwerking rechtmatig is. Een goede invulling van het inzagerecht is verder noodzakelijk om andere rechten te kunnen uitoefenen, zoals het recht op rectificatie en het recht op gegevenswissing. Dit principe werd onlangs nog door het Hof van Justitie bevestigd.22 Gelet op de onderhavige overtreding was er echter naar het oordeel van de Geschillenkamer sprake van een ernstige inbreuk, waarin de verweerster de rechten van betrokkenen onvoldoende heeft gefaciliteerd. De Geschillenkamer acht het opleggen van een berisping daarom onvoldoende doeltreffend, niet evenredig en evenmin afschrikkend. De verweerster heeft met haar uitgedragen beleid het recht van inzage niet gefaciliteerd. Zij weigert immers inzage te verlenen op een wijze die de klager toestaat om de persoonsgegevens niet enkel tijdelijk te bekijken. Bijgevolg werd de uitoefening van het recht op inzage van de klager door de verweerster belemmerd. Van een professionele partij als de verweerster, die stelselmatig persoonsgegevens verwerkt in het kader van de opnames ter uitvoering van overeenkomsten uitvoert, mag verwacht worden dat zij op de hoogte is van de geldende normen en de passende technische en organisatorische maatregelen neemt om op een correcte wijze met deze persoonsgegevens om te gaan. De verweerster heeft aldus nagelaten om de waarborgen die de AVG aan het recht op inzage geeft te respecteren. Het aantal betrokkenen (artikel 83 lid 2,
44. a)AVG) De Geschillenkamer merkt op dat het opnemen van de telefoongesprekken een standaardpraktijk is van de verweerster, en dat het beleid inzake het verlenen van inzage in deze persoonsgegevens niet overeenkomstig de toepasselijke wetgeving is, waardoor het niet uit te sluiten valt dat gelijkaardige gevallen zich voorgedaan hebben of nog zullen voordoen in de toekomst. De Geschillenkamer houdt echter rekening met het feit dat maar één klacht werd ingediend. De opzettelijke of nalatige aard van de inbreuk (artikel 83, lid 2,
45. b)AVG) Met betrekking tot de vraag of de inbreuken al dan niet opzettelijk (niet door nalatigheid) zijn gepleegd, herinnert de Geschillenkamer eraan dat "niet opzettelijk" betekent dat het niet de bedoeling was de inbreuk te plegen, hoewel de verwerkingsverantwoordelijke niet had voldaan aan de zorgvuldigheidsplicht die krachtens de wetgeving op hem rustte. Met betrekking tot het nalatig karakter van de inbreuk (artikel 83.2.b AVG), begrijpt de Geschillenkamer dat de inbreuk niet gepleegd werd met kwaad opzet om de AVG te schaden. De Geschillenkamer stelt vast dat de verweerster steeds geantwoord heeft op de verzoeken van de klager, en dat zij alternatieven qua modaliteiten 22 HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 28 e.v. zie ook HvJEU, 17 juli 2014, YS et al., C-141/12 en C-372/12, EU:C:2014:2081, para 44, en HvJEU 20 december 2017, Nowak, C-434/16, EU:C:2017:994, para 57 Beslissing ten gronde 57/2023 – 28/33 met betrekking tot de inzage heeft voorgesteld, maar dat deze niet voldeden aan de modaliteiten zoals voorzien voor de AVG en de hierboven vermelde richtsnoeren van de EDPB. Genomen maatregelen om de door betrokkenen geleden schade te beperken In het kader van het transparantiebeginsel moet de verwerkingsverantwoordelijke op grond van artikel 12, tweede lid, van de AVG de uitoefening van de rechten van de betrokkene uit hoofde van - onder meer - artikel 15 van de AVG faciliteren. Zowel de klager als de verweerster stelden eventuele oplossingen voor, maar kwamen niet tot een compromis. Zo heeft de verweerster voorafgaand aan en tijdens de procedure geen gevolg gegeven aan de verschillende mogelijke oplossingen die werden voorgesteld door de klager, zoals bijvoorbeeld het overmaken van het transcript na controle op de juistheid ervan. Een mogelijke oplossing die door de verweerster werd aangereikt, was het beluisteren van de opnames in het hoofdkantoor in Drogenbos. Voor de gegevensbescherming is het essentieel dat betrokkenen op een gemakkelijke manier, en niet slechts tijdelijk, de gegevens? moeten kunnen inzien. De Geschillenkamer stelt dan ook dat een alternatieve wijze tot inzage dan van het recht op een kopie werd aangeboden, maar dat deze aangeboden modaliteit geen afdoende oplossing kon bieden. Eerdere inbreuken door de verwerkingsverantwoordelijke (artikel 83, lid 2,
46. e)AVG). De Geschillenkamer houdt ook rekening met het feit dat de verweerster nog nooit eerder het voorwerp uitmaakte van en handhavingsprocedure van de GBA. Categorieën van persoonsgegevens (artikel 83, lid 2,
47. g)AVG) De Geschillenkamer houdt rekening met het feit dat geen bewijs voorligt dat gevoelige gegevens verwerkt werden. Verzwarende omstandigheid (artikel 83, lid 2,
48. k)AVG) De Geschillenkamer wijst erop dat onderhavige zaak betrekking heeft op de rechten van betrokkenen en meer bepaald het recht op toegang. Zoals reeds vermeld is het recht van inzage de toegangspoort om andere rechten of vorderingen - al dan niet onder de AVG - uit te oefenen. Het is dan ook essentieel om deze inzage te garanderen op een wijze dat de betrokkene op een duurzame wijze toegang heeft. De Geschillenkamer houdt ook rekening met het feit dat er een onevenwicht bestond tussen de partijen in die zin van de klager niet over de gevraagde persoonsgegevens beschikte en dat ook niet zomaar kon doen, zonder tussenkomst van de verweerster. Verzachtende omstandigheden (artikel 83, lid 2,
49. k)AVG) Beslissing ten gronde 57/2023 – 29/33 De Geschillenkamer houdt eveneens rekening met het feit dat de verweerster constructief heeft samengewerkt, zowel tijdens het Inspectieonderzoek als tijdens de procedure voor de Geschillenkamer. Conclusie 103. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende, evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst erop dat de andere criteria van art. 83, lid 2 AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld. 104. Op 5 april 2023 werd een sanctieformulier (“formulier voor reactie tegen voorgenomen sanctie”) gericht aan de verweerster met daarin het voornemen om een boete van 70.000 EUR op te leggen. Zij maakte haar reactie betreffende de inhoud over op 25 april 2023. De verweerster stelt in haar reactie op het sanctieformulier samengevat dat: 1) de Geschillenkamer geen rekening heeft gehouden met de bekommernissen van de verweerster, noch met het feit dat het verzoek tot inzage in een breder civielrechtelijk geschil kadert, hetgeen geenszins in aanmerking wordt genomen door de Geschillenkamer; 2) het feit dat de klager wordt uitgenodigd om de opname te beluisteren, niet noodzakelijkerwijs betekent dat het inzagerecht slechts tijdelijk is. Klager heeft het recht om nota’s te maken tijdens het beluisteren én ontving in het verleden altijd een samenvatting via e-mail van de elementen die tijdens een telefonisch gesprek werden besproken, inclusief de persoonsgegevens die door de verweerster worden verwerkt. Het doel was niet om te voorkomen dat hij toegang had, maar om te voorkomen dat het bewijsmateriaal ongeautoriseerd zou worden verspreid, gewijzigd of gemanipuleerd. Als dit wel zou gebeuren, zou het kunnen worden gebruikt op een manier die in strijd is met de rechten van de werknemers van de verweerster; 3) uit het vermeende feit dat zij het recht op inzage zou hebben bemoeilijkt – quod certe non -, de Geschillenkamer onmogelijk kan vaststellen en besluiten dat verweerster geen gepaste procedures (krachtens artikel 24 en 25 AVG) zou hebben; 4) de advocaat van de klager nooit het voorstel om de opname te komen beluisteren beantwoord heeft; 5) de Geschillenkamer ervan uit gaat dat het stelselmatig grootschalige verwerkingen zou verrichten. Dit is niet het geval; en Beslissing ten gronde 57/2023 – 30/33 6) de voorgenomen geldboete niet in verhouding staat tot de inbreuken die zijn vastgesteld. 105. Verweerster betreurt dat bepaalde omstandigheden niet in aanmerking werden genomen, met name de duur van de inbreuk, het niet-opzettelijke karakter van de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking op heeft. 1) Vooreerst, wat betreft de duur van de inbreuk wenst verweerster nogmaals te verwijzen naar het civielrechtelijk geschil dat er heerst tussen de partijen. 2) Ten tweede, was er geen sprake van opzet of kwade wil zijdens verweerster. Verweerster heeft robuuste en adequate interne procedures, beleidsmaatregelen en regels ingevoerd om persoonsgegevens te beschermen en steeds te goeder trouw getracht de AVG zowel naar de geest als naar de letter na te leven. 3) Tot slot, zoals hierboven aangegeven, zijn de categorieën van gegevens die door verweester worden verwerkt beperkt en hebben zij meestal betrekking op het bedrijf en niet op de natuurlijke persoon zelf (bijvoorbeeld contactgegevens, bedrijfsnaam, sociaal netwerk van het bedrijf en domeinnaam). 106. De Geschillenkamer is van oordeel dat bovenstaande door de verweerder in het sanctieformulier aangevoerde elementen reeds werden behandeld in de beslissing en in aanmerking werden genomen bij de vaststelling van de geldboete overeenkomstig artikel 83, lid 2 AVG. De elementen uit het sanctieformulier waarmee de Geschillenkamer bijkomend rekening heeft gehouden worden hieronder besproken. 107. Wat betreft het door de verweester opgeworpen argument betreffende het vermeend disproportioneel karakter van de administratieve geldboete, wijst de Geschillenkamer erop dat overeenkomstig artikel 83.5 AVG zijn de inbreuken op artikel 12, lid 2, lid 3 en lid 4, artikel 15 AVG onderworpen aan administratieve geldboeten tot 20.000.000 EUR of 4% van de totale jaaromzet van het voorgaande boekjaar. 108. Wat betreft het argument van de verweerster volgens hetwelk de administratieve geldboete in casu hoger zou liggen dan in eerdere beslissingen van de Geschillenkamer, dient erop te worden gewezen dat overeenkomstig artikel 83.2 AVG alsook de richtsnoeren van de Groep 2923 ter zake geldboetes worden opgelegd “naargelang de omstandigheden van het concrete geval”. Bovendien wijst de Geschillenkamer in dit verband op de rechtspraak van het Hof van Beroep te Brussel, sectie Marktenhof, volgens dewelke “het Belgische rechtssysteem geen bindende precedentwaarde [toekent] noch aan administratieve, noch aan rechterlijke beslissingen. Elke beslissing van een rechter (en dit 23 Groep Gegevensbescherming Artikel 29, Guidelines on the application and setting of administrative fines for the purposes of Regulation 2016/679, 3 oktober 2017. Beslissing ten gronde 57/2023 – 31/33 geldt evenzo voor elke beslissing van een administratieve overheid, mits het gelijkheidsbeginsel niet wordt geschonden) is specifiek en strekt zich niet uit tot een ander dan het behandelde geval”.24 Met betrekking tot de hoogte van de opgelegde administratieve geldboete wees het Marktenhof tevens op de appreciatiemarge van de Geschillenkamer: “Dit betekent in de praktijk dat de GBA niet alleen kan beslissen om aan de overtreder geen boete op te leggen maar ook dat, als zij beslist een boete op te leggen, deze zich situeert tussen het minimum, gaande van 1 EUR, en het voorziene maximum. Welke geldboete wordt opgelegd, wordt beslist door de GBA met inachtneming van de criteria die worden opgesomd door artikel 83, lid 2 AVG”.25 109. De verweerster werpt op dat bij het bepalen van de hoogte van de boete in het sanctieformulier de geconsolideerde omzet van het Franse moederbedrijf is gebruikt in plaats van de omzet van de verweerster zelf. De verweerster wenst niet alleen te benadrukken dat zij in 2021 een dochteronderneming van Regicom Webformance was, maar ook dat de Geschillenkamer enkel rekening dient te houden met de jaarcijfers van de verweerster aangezien moederbedrijf geen beslissende invloed uitoefent over de dochteronderneming. De verweerster maakt eveneens haar jaarcijfers over die in 2021 24.683.149 EUR bedroegen. 110. Op grond van het geheel van de hierboven uiteengezette elementen beslist de Geschillenkamer de voorgenomen sanctie aan te passen van 70.000 EUR naar 40.000 EUR. De vastgestelde inbreuken rechtvaardigen een doeltreffende, evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met de daarin bepaalde beoordelingscriteria. De Geschillenkamer is van mening dat een lagere geldboete in het onderhavige geval niet zou beantwoorden aan de in artikel 83, lid 1. van de AVG vereiste criteria, volgens welke de administratieve geldboete niet alleen evenredig, maar ook doeltreffend en afschrikkend moet zijn. III.4. Overige grieven 111. De Geschillenkamer gaat over tot een sepot van de overige grieven en vaststellingen van de Inspectiedienst omdat zij op basis van de feiten en de stukken uit het dossier niet tot de conclusie kan komen dat er sprake is van een inbreuk op de AVG. Deze grieven en vaststellingen van de Inspectiedienst worden bijgevolg als kennelijk ongegrond beschouwd in de zin van artikel 57, lid 4 van de AVG. 26 24 Hof van Beroep Brussel (sectie Marktenhof), NV N.D.P.K. t. GBA, Arrest 2021/AR/320 van 7 juli 2021, p. 12. 25 Hof van Beroep Brussel (sectie Marktenhof), NV N.D.P.K. t. GBA, Arrest 2021/AR/320 van 7 juli 2021, p. 42. 26 Zie punt 3.A.2 van het Sepotbeleid van de Geschillenkamer, dd. 18 juni 2021, te https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf raadplegen via Beslissing ten gronde 57/2023 – 32/33 IV. Publicatie van de beslissing 112. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de verweerster wegens de inbreuk op artikel 5, lid 1 (transparantie), artikel 12, lid 1 en artikel 13, lid 1, c), lid 2,
50. a)AVG voor wat betreft de begrijpelijke taal en de vermelding van de bewaartermijnen in de privacyverklaring; - op grond van artikel 83 AVG en de artikelen 100, 1, 13° en 101 WOG, een administratieve geldboete van 40.000 EUR op te leggen aan de verweerster wegens de inbreuk op artikel 12, lid 2, artikel 15 AVG voor wat betreft het faciliteren van het recht op inzage van de klager; - op grond van art. 100, §1, 6° WOG de verweerster te gelasten om het recht op inzage toe te kennen aan de klager overeenkomstig artikel 12, lid 2 j° 15 AVG; en - op grond van artikel 100, §1, 1° WOG te seponeren voor de overige grieven. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 27. Het 27 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. Beslissing ten gronde 57/2023 – 33/33 verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.28, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 28 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.