Beslissing ten gronde nr. 59/2025

1/22 Geschillenkamer Beslissing ten gronde 59/2025 van 24 maart 2025 Dossiernummer : DOS-2022-02230 Betreft : Gebruik van gegevens voor commerciële communicatie (direct marketing) De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, alleenzetelend voorzitter; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager”; en De verweerder: Y N.V, vertegenwoordigd door Mr. Peter van Dyck en Mr. Margaux Dejonghe, beiden kantoor houdende te Tervurenlaan 268A, 1150 Brussel, hierna “de verweerder”. Beslissing ten gronde 59/2025 – 2/22 I. 1. Feiten en procedure Op 18 mei 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. 2. In zijn klacht stelt de klager dat hij in juli 2018 een bril kocht in een vestiging van de verweerder. Bij het afrekenen wordt zijn e-mailadres gevraagd om de klager op de hoogte te houden van de levering van zijn aankoop. De klager stelt dat hij in de jaren daarna geen contact heeft gehad met de verweerder, geen account heeft aangemaakt, en zich niet ingeschreven heeft voor de nieuwsbrief van de verweerder. Op 6 december 2021 ontvangt de klager echter een direct marketing-e-mail van de verweerder zonder dat hij zijn toestemming hiervoor verleend heeft. Vervolgens richt de klager op 19 december 2021 een verzoek tot inzage aan de verweerder, onder andere met de bedoeling te achterhalen waarom hij deze direct marketing e-mail ontving. De verweerder maakt de gevraagde informatie over op 18 januari 2022. De klager merkt op dat deze informatie geanonimiseerd is en bevraagt de verweerder hierover. De verweerder geeft aan dat de informatie is geanonimiseerd omwille van een menselijke fout. De klager stelt vervolgens dat de verweerder er uiteindelijk in geslaagd is om (bepaalde) gegevens te herstellen maar dat zij niet in staat is om hem te informeren over de rechtsgrond op basis waarvan de direct marketingberichten verstuurd werden. De klager stelt dat ook het privacybeleid hierover geen informatie verschaft. 3. Op 15 mei 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 20 juni 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 10 augustus 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake is van: 1. een inbreuk op artikel 5.1.

1. a)en 5.2, en artikel 6.1 AVG; 2. een inbreuk op artikel 5, artikel 24.1 en artikel 25.1 en 25.2; 3. een inbreuk op artikel 12.1, 12.2 en 12.3, artikel 15.1 AVG; en 4. een inbreuk op artikel 12.1, artikel 13.1 en 13.2, artikel 5.2, artikel 25.1 en artikel 25.2 AVG. Beslissing ten gronde 59/2025 – 3/22 Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van: 5. een inbreuk op artikel 30.1, 30.3 en 30.4 AVG; en 6. een inbreuk op artikel 38,.1 en artikel 39 AVG. 6. Op 22 augustus 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 7. Op 22 augustus 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 17 oktober 2022, deze voor de conclusie van repliek van de klager op 7 november 2022 en ten slotte deze voor de conclusie van dupliek van de verweerder op 28 november 2022. Voor wat betreft de vaststellingen buiten het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusies van antwoord van de verweerder vastgelegd op 17 oktober 2022. 8. Op 7 oktober 2022 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 10 oktober 2022. 9. Op 17 oktober 2022 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder met betrekking tot de vaststellingen ten aanzien van het voorwerp van de klacht. De verweerder voert in hoofdorde aan dat zij geen inbreuk op de AVG heeft begaan. Zij voert aan dat de verwerking van de persoonsgegevens van de klager voor direct marketingdoeleinden een rechtmatige verwerking in haar hoofde uitmaakt, conform artikel 5.1.
2. a)AVG, artikel 5.2 AVG en artikel 6.1 AVG. Vervolgens stelt de verweerder dat zij voldoende technische en organisatorische maatregelen heeft getroffen, en op doorlopende basis blijft treffen, om de privacy van de betrokkenen te beschermen en zodoende conform artikel 5, artikel 24.1 en artikel 25.1 en 25.2 van de AVG handelt. Daarnaast stelt de verweerder dat er geen inbreuk, en al zeker geen substantiële inbreuk, op de artikelen 12 en 13 AVG voorligt. De conclusie van antwoord bevat eveneens de reactie van de verweerder op de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. Wat betreft de vastgestelde inbreuken van de Inspectiedienst betreffende het register van verwerkingsactiviteiten, stelt de verweerder dat het register voldoet aan alle vereisten van de AVG en zelfs nog een stapje verder gaat dan hetgeen wettelijk vereist is, waardoor geen sprake is van een schending van artikel 30 AVG. Tot slot betoogt de Beslissing ten gronde 59/2025 – 4/22 verweerder dat er eveneens geen inbreuk voorligt op artikel 38.1 en artikel 39 AVG. 10. Op 2 november 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager, waarin voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht de klager het standpunt van de verweerder betwist. Hij stelt dat er zich wel een inbreuk voordoet op artikel 5.1.
3. a)en artikel 6.1 AVG. Vervolgens voert de klager aan dat niet voldaan is aan zijn verzoek tot inzage ingevolge artikel 15 AVG, noch aan de vereisten van artikel 17 AVG, waardoor er wel sprake is van een inbreuk op de AVG. 11. Op 28 november 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Hierin herneemt de verweerder haar standpunten uit de conclusies van antwoord. 12. Op 16 december 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 19 februari 2025. 13. Op 19 februari 2025 wordt de verweerder gehoord door de Geschillenkamer. De verweerder heeft van de gelegenheid gebruik gemaakt om de organisatie van haar bedrijf, actief in meerdere EU-lidstaten, nader toe te lichten, inclusief de wijze waarop de gegevensbescherming in de organisatie is ingebed. De klager is, hoewel behoorlijk opgeroepen, niet verschenen. 14. Op 27 februari 2025 wordt het proces-verbaal van de hoorzitting aan de aanwezige partij voorgelegd. 15. Op 7 maart 2025 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal dewelke zij beslist mee op te nemen in haar beraad. II. Motivering II.1. Artikel 5.1.
4. a)(rechtmatigheid) j° artikel 6.1 AVG 16. Uit de klacht begrijpt de Geschillenkamer dat de klager aankaart dat de verweerder zijn persoonsgegevens, die hij had verstrekt in het kader van een aankoop bij de verweerder, enkele jaren later heeft gebruik voor het versturen van direct marketing. 17. Het komt daarom toe aan de Geschillenkamer om te beoordelen of het versturen van de voormelde direct marketingmails door de verweerder aan de klager een rechtmatige verwerking in haar hoofde uitmaakt. Beslissing ten gronde 59/2025 – 5/22 18. Tijdens het inspectieonderzoek werpt de verweerder op dat zij zich beroept op de gerechtvaardigde belangen, zoals bedoeld in artikel 6.1.
5. f)AVG, als rechtsgrond voor de verwerking van de persoonsgegevens van de klager voor het versturen van direct marketingmails. De Inspectiedienst stelt echter vast dat de verweerder zich onrechtmatig op deze rechtsgrond beroept. De Inspectiedienst neemt het standpunt in dat niet voldaan is aan de derde voorwaarde voor een rechtmatig beroep op artikel 6.1.
6. f)AVG, namelijk de belangenafweging, aangezien het feit dat de persoonsgegevens van de klager zijn verwerkt in 2018 in het kader van een aankoop, niet impliceert dat hij kan verwachten dat die persoonsgegevens zonder zijn toestemming nog worden gebruikt in 2021 en 2022 in het kader van direct marketing. 19. De klager verwijst naar de algemene voorwaarden bij de verkoopbon waarin het volgende is opgenomen: “Doeleinden. Door ondertekening van deze orderbon verstrekt de klant [de verweerder] de uitdrukkelijke toestemming tot de voormelde verwerking van zijn persoonsgegevens, inzonderheid de persoonsgegevens die zijn gezondheid betreffen, erkent hij zijn voorafgaande, vrije, specifieke en geïnformeerde toestemming te hebben gegeven voor de ontvangst van commerciële communicaties per elektronische post, en aanvaardt hij bovendien de toepassing van de op deze orderbon afgedrukte algemene voorwaarden”. De klager stelt dat de verweerder is ‘overgestapt’ van de toestemming als rechtsgrond naar het gerechtvaardigd belang. 20. De verweerder herhaalt in haar conclusies dat zij, in tegenstelling tot wat de klager beweert, zich niet beroept op de toestemming als rechtsgrondslag voor de direct marketingmails, maar wel op het gerechtvaardigd belang. 21. De verweerder stelt dat toestemming inderdaad vermeld wordt als een rechtsgrond in de verkoopbon, maar dat de privacyverklaring verduidelijkt dat de toestemming alleen opgevraagd wordt indien dit wettelijk vereist is: “Voor zover wettelijk vereist vraagt [de verweerder] uw toestemming voordat zij uw persoonsgegevens voor deze doeleinden gebruikt.” In de verkoopbon, de privacyverklaring en de communicatie met de klager in de winkels wordt telkens verwezen naar de verwerking voor direct marketingdoeleinden en het verlenen van diensten in het belang van de betrokkene en de verwerkingsverantwoordelijke, hetgeen de rechtsgrond van gerechtvaardigde belangen veronderstelt. 22. De Geschillenkamer herinnert eraan dat het aan de verwerkingsverantwoordelijke toekomt om de gepaste rechtsgrond te identificeren. De keuze voor de gepaste rechtsgrond moet gemaakt worden voor de aanvang van de verwerkingsactiviteit en op transparante wijze meegedeeld worden aan de betrokkenen (bijvoorbeeld via de privacyverklaring 1). De 1 Voor wat betreft de transparantieverplichtingen verwijst de Geschillenkamer naar deel II.3 van deze beslissing. Beslissing ten gronde 59/2025 – 6/22 Geschillenkamer stelt vast dat de verweerder zich in de verkoopbon beroept op de toestemming als rechtsgrond voor het versturen van de direct marketing. Hierin staat immers het volgende opgenomen: “[…] erkent hij zijn voorafgaande, vrije, specifieke en geïnformeerde toestemming te hebben gegeven voor de ontvangst van commerciële communicaties per elektronische post,[…]”. Anderzijds beroept de verweerder zich tijdens deze procedure op het gerechtvaardigd belang (artikel 6.1.
7. f)AVG als rechtsgrond voor de verwerking van persoonsgegevens in het kader van direct marketing. De Geschillenkamer zal beoordelen of de verweerder zich rechtmatig op één van beide rechtsgronden kon beroepen. 23. De Geschillenkamer stelt vast dat de verweerder zich tijdens het inspectieonderzoek, in haar conclusies en tijdens de hoorzitting beroept op de rechtsgrond van het gerechtvaardigd belang ex artikel 6.1.
8. f)AVG waardoor de Geschillenkamer overgaat tot een beoordeling van de toepassing van deze rechtsgrond. 24. De litigieuze (ongevraagde) communicatie is gericht op het informeren van klanten over promotionele acties georganiseerd door de verweerder. De boodschap is gericht aan geïdentificeerde natuurlijke personen (cfr. de aanspreking bij naam) en wordt verstuurd via elektronische communicatie, meer bepaald per e-mail. De Geschillenkamer stelt daarom vast dat de mails, zoals ontvangen door de klager, direct marketing uitmaken. Daarom kan de verweerder zich rechtmatig beroepen op het gerechtvaardigd belang ex artikel 6.1.
9. f)AVG, indien aan de voorwaarden is voldaan, waardoor de klager hieromtrent geen toestemming hoeft te geven. 25. Voor een rechtmatig beroep op artikel 6.1.
10. f)AVG dient voldaan te worden aan drie voorwaarden: doeltoets, noodzakelijkheidstoets, belangenafweging. Voor wat betreft de doeltoets verwijst de Geschillenkamer naar overweging 47 AVG die uitdrukkelijk bepaalt dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang (artikel 6.1
11. f)AVG), waardoor voldaan is aan de doeltoets. Ook aan de tweede voorwaarde lijkt te zijn voldaan, aangezien de naam en het e-mailadres noodzakelijk zijn voor het versturen van direct marketing per e-mail. Tot slot mogen de belangen of fundamentele rechten van de betrokkene niet zwaarder wegen dan de belangen van de verwerkingsverantwoordelijke of de derde om zich succesvol te kunnen beroepen op artikel 6.1.
12. f)AVG, hetgeen steeds beoordeeld moet worden in het licht van de concrete omstandigheden van het geval. De verweerder voert aan dat de belangenafweging in het kader van de algemene praktijk van het versturen van direct marketing moet uitvallen in haar voordeel. Zij stelt dat de betrokkenen worden geïnformeerd via de winkelbediende, de verkoopbon en de privacyverklaring omtrent het feit dat direct marketing verstuurd wordt, dat de direct marketingmails betrekking hebben op producten die vergelijkbaar zijn met de producten die de betrokkenen eerder bij haar gekocht hebben, dat de verwerkte persoonsgegevens beperkt zijn en dat het versturen van direct marketing een gangbare praktijk is in de sector. Beslissing ten gronde 59/2025 – 7/22 Dus, zo concludeert de verweerder, is haar gangbare praktijk van het versturen van direct marketing rechtmatig op basis van artikel 6.1.f). 26. De verweerder erkent evenwel dat de klager deze mailings in 2021 en 2022 niet had mogen krijgen. De mailings werden verzonden vanwege een datamigratie waarbij een technische fout is gebeurd, ondanks de voorafgaande risicoanalyses die gemaakt werden. Door deze technische fout werd de opt-out van de klager – onterecht – tijdelijk omgezet naar een optin. Verder wijst de verweerder erop dat, los van dit incident, de gegevensverwerking voor direct marketingdoeleinden volledig rekening houdt met alle vereisten van de toepasselijke wetgeving, namelijk dat alle vereisten uit artikel 6.1.
13. f)AVG worden nageleefd. De verweerder licht toe tijdens de hoorzitting dat zij verder geen weet heeft van andere betrokkenen waarbij hetzelfde is gebeurd. 27. De Geschillenkamer is van oordeel dat de gangbare praktijk van verweerder om direct marketingmails te versturen op zich geen inbreuk op artikel 6.1.
14. f)uitmaakt. De Geschillenkamer volgt de argumentatie betreffende de belangenafweging van de verweerder en voegt hieraan toe dat de direct marketingmails eveneens een uitschrijflink bevatten, zodat betrokkenen hun recht van bezwaar op een eenvoudige wijze kunnen uitoefenen. 28. Overeenkomstig artikel 21.2 AVG heeft de betrokkene, wiens persoonsgegevens verwerkt worden ten behoeve van direct marketing, het recht om te allen tijde bezwaar te maken tegen de verwerking van deze persoonsgegevens voor dergelijke marketing. In onderhavig geval heeft de klager zijn recht van bezwaar uitgeoefend, zoals de verweerder ook erkent, waardoor hij gedurende drie jaar geen direct marketing meer kreeg. Het viel dan ook niet binnen zijn redelijke verwachtingen dat, na het uitoefenen van zijn recht van bezwaar, dat gerespecteerd werd door de verweerder gedurende drie jaar, zijn persoonsgegevens alsnog verwerkt zouden worden voor direct marketing. Bovendien druist dit in tegen artikel 21.3 AVG dat stelt dat wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, de persoonsgegevens niet meer voor deze doeleinden verwerkt worden. Bijgevolg valt de belangenafweging in dit geval in het voordeel van de klager uit, waardoor aan de derde voorwaarde voor een rechtmatig beroep op artikel 6.1.
15. f)AVG niet voldaan is. De Geschillenkamer stelt dan ook vast dat het versturen van de direct marketingmails aan de klager in 2021 en 2022 een inbreuk op artikel 6.1.
16. f)AVG uitmaakt. 29. Voor zoveel als nodig gaat de Geschillenkamer na of de verweerder zich rechtmatig kan beroepen op de toestemming als rechtsgrond zoals aangegeven op de verkoopbon. Artikel 4 van de AVG definieert "toestemming" van de betrokkene als “elke vrije specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”. Bijgevolg moet een toestemming, om in overeenstemming met de AVG te zijn, voldoen aan de volgende cumulatieve voorwaarden: zij moet (
17. i)vrij, (
18. ii)Beslissing ten gronde 59/2025 – 8/22 specifiek, (iii) geïnformeerd en (
19. iv)ondubbelzinnig zijn. Toestemming wordt als vrijelijk gegeven beschouwd als het een echte keuze van de betrokkene betreft, waarbij deze in staat moet worden geacht echte controle over zijn beslissing te hebben. De Geschillenkamer stelt vast dat de ondertekening van de verkoopbon van de klager niet kan tellen als een vrij gegeven toestemming voor het ontvangen van direct marketing. De Geschillenkamer wijst op de vereiste van de granulariteit van de toestemming waarbij de doeleinden van de verwerking(
20. en)gescheiden moeten worden en er voor elk doeleinde toestemming moet gevraagd worden. Aangezien de verweerder de ondertekening van de verkoopbon koppelt aan o.a. het verlenen van toestemming voor versturen van direct marketing stelt de Geschillenkamer vast dat niet voldaan is aan de vereiste van een vrije toestemming. Bijgevolg kan een beroep op de toestemming als rechtsgrond overeenkomstig artikel 6.1.
21. a)AVG niet slagen. II.2. Artikel 12.1, 12.2 en 12.3, artikel 15.1 AVG 30. De Inspectiedienst stelt vast dat er sprake is van een inbreuk op de artikelen 12.1, 12.2, 12.3 en artikel 15.1 AVG, aangezien er meer dan vijf maanden verstreken zijn tussen de ontvangst van het verzoek tot inzage en de bezorging van alle informatie aan de klager. De Inspectiedienst verwijst ook naar het feit dat de verweerder erkent dat de persoonsgegevens door menselijke vergissing werden verwijderd, hetgeen niet had mogen gebeuren. De Geschillenkamer zal beoordelen of er in casu sprake is van een inbreuk op de hierboven vermelde artikelen. 31. Volgens artikel 15.1 van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van zijn persoonsgegevens. Indien dat laatste het geval is, heeft de betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en van informatie die in artikel 15, lid 1
22. a)-
23. h)wordt vermeld, zoals het doel van de verwerking van de gegevens en de eventuele ontvangers van de gegevens, evenals informatie over het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn gegevens te vragen, of om een klacht bij de GBA in te dienen. Het doel van het recht tot inzage is de betrokkene in staat te stellen om te begrijpen hoe zijn persoonsgegevens worden verwerkt en wat de gevolgen daarvan zijn, alsook de juistheid van de verwerkte gegevens te controleren zonder dat hij zijn voornemen hoeft te rechtvaardigen.2 32. Artikel 12 van de AVG betreft de wijze waarop de betrokkenen hun rechten kunnen uitoefenen en bepaalt dat de verwerkingsverantwoordelijke de uitoefening van die rechten door de betrokkene moet faciliteren (artikel 12.2 van de AVG), en hem onverwijld en in ieder 2 EDPB Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, , dd 18 januari 2022, te raadplegen via https://www.edpb.europa.eu/system/files/202404/edpb guidelines 202201 data subject rights access v2 nl.pdf, para 13. Beslissing ten gronde 59/2025 – 9/22 geval binnen een maand na ontvangst van het verzoek informatie moet geven over de maatregelen die naar aanleiding van zijn verzoek zijn genomen (artikel 12.3 van de AVG). 33. De Inspectiedienst stelt in zijn Inspectieverslag vast dat het verzoek van de klager om zijn recht van inzage uit te oefenen, door de verweerder ontvangen werd op 19 december 2021. De verweerder bezorgde pas op 11 juli 2022, meer dan zes maanden later en na ontvangst van de vragen van de Inspectiedienst, alle informatie die verplicht moet worden meegedeeld op basis van artikel 15.1 AVG. De Inspectiedienst verwijst eveneens op het feit dat de persoonsgegevens van de klager door de verweerder op een bepaald moment "door een menselijke vergissing" werden verwijderd en dat de verweerder uitdrukkelijk erkend heeft dat dit niet had mogen gebeuren. 34. In haar conclusies voert de verweerder aan dat er geen enkele twijfel kan bestaan over het feit dat zij de termijn van antwoord van één maand wel degelijk gerespecteerd heeft. Het verzoek tot inzage werd ingediend op 19 december 2021. Gelet op artikel 12.3 AVG, had de verweerder tijd tot 19 januari 2022 om de gevraagde informatie te verschaffen. Op 27 december 2021 reageerde de verweerder op het verzoek, met de vraag aan de klager om bijkomende informatie te verschaffen, zodat zij het verzoek kon inwilligen. Op 29 december 2021 ontving de verweerder de nodige informatie. Vervolgens heeft de verweerder op 18 januari 2022 geantwoord op het verzoek tot inzage, hetgeen binnen de wettelijke termijn was, los van het feit dat de gevraagde bijkomende informatie pas bekomen werd op 29 december 2021. Daaraan voegt de verweerder toe dat minstens moet worden erkend dat het antwoord van de verweerder d.d. 18 januari 2022 kwalificeert als een initieel antwoord binnen de wettelijke termijn en de daaropvolgende antwoorden die werden verstrekt in de maanden februari tot juli het gevolg zijn van bijkomende verzoeken van de klager, hetgeen de aanvullende termijn van twee maanden verantwoordt. 35. De klager voert aan dat hij geen volledige kopie van zijn persoonsgegevens ontvangen heeft, hoewel dit wel voorgeschreven is op basis van artikel 15 AVG, maar slechts een overzicht van persoonsgegevens na anonimisering. De klager wijst erop dat, indien de verweerder per vergissing de procedure ingevolge een verzoek tot gegevenswissing heeft verzocht, hij in dit opzicht ook niet voldaan heeft aan artikel 17 AVG. Dit artikel vereist immers een volledige wissing en niet slechts een anonimisering, aldus de klager. 36. De Geschillenkamer stelt vast dat de klager zijn verzoek heeft uitgeoefend op 19 december 2021. Op 27 december 2021 vroeg de verweerder bijkomende informatie (i.e. zijn naam, geboortedatum en vestiging waar hij laatst klant was) met het oog op de identificatie van de klager. De klager heeft deze informatie bezorgd aan de verweerder op 29 december 2021. Diezelfde dag bevestigt de verweerder de goede ontvangst en informeert de klager dat zijn Beslissing ten gronde 59/2025 – 10/22 verzoek in behandeling is. Op 18 januari 2022 heeft de verweerder het verzoek tot inzage beantwoord, zij het volgens de klager op onvolledige wijze. 37. De Geschillenkamer wijst er echter op dat de klager wenste te vernemen op welke rechtsgrond de verweerder zich beroept voor het versturen van de (ongewenste) direct marketing. De klager schrijft in zijn mail dd. 30 januari 2022 hieromtrent: “Ik mis echter informatie betrekkende het gebruik van mijn gegevens voor commerciële doeleinden. Wanneer en hoe heb ik toestemming verleend voor gebruik van mijn data voor het ontvangen van nieuwsbrieven/reclames van [verweerder]? Of welke andere wettelijke basis zoals voorzien onder artikel 6 van de GDPR gebruikt u voor het verwerken van mijn gegevens voor deze doeleinden?” Het antwoord van de verweerder dd. 2 februari 2022 verwijst naar de privacyverklaring en stuurt de volgende passage hieruit naar de klager: “Uw persoonsgegevens worden door [de verweerder] gebruikt om door u gestelde vragen te beantwoorden, om u te informeren over de huidige en toekomstige activiteiten en acties van [de verweerder], voor het versturen van elektronische nieuwsbrieven, voor het versturen van reclame per post, voor statistische doeleinden, en voor geautomatiseerde gegevensverwerking. Uw bijzondere persoonsgegevens zullen uitsluitend gebruikt worden voor de dienstverlening. Voor zover wettelijk vereist vraagt [de verweerder] uw toestemming, voordat zij uw persoonsgegevens voor deze doeleinden gebruikt.” Bijgevolg informeert de klager of de verweerder zich dan beroept op artikel 6.1.
24. a)AVG, namelijk de toestemming. De verweerder antwoordt op 24 februari 2022 het volgende: “[de verweerder] behoudt zich het recht voor de gegevens die in het kader van de verkoop van een product of dienst zijn verzameld, te gebruiken voor direct marketing van soortgelijke producten of diensten, in overeenstemming met de geldende wetgeving (AVG en het Koninklijk Besluit).” Wanneer de klager hem er via mail dd. 25 februari 2022 op wijst dat deze informatie ontoereikend is om een antwoord te verkrijgen op zijn vragen omtrent de wettelijke basis, herhaalt de verweerder op 9 maart dat zijn “gegevens [worden verwerkt] conform GDPR artikel 6 en het Koninklijk Besluit van 4 april 2003 tot reglementering van de verzending van reclame per e-mail”. 38. De Geschillenkamer stelt vast dat de verweerder binnen de door artikel 12.3 AVG voorgeschreven termijn van één maand geantwoord heeft op het verzoek tot inzage. Zij heeft de informatie overgemaakt waarover zij beschikte na de vergissing die leidde tot de anonimisatie en heeft deze later verder aangevuld. De informatie die de verweerder verstrekt heeft naar aanleiding van de vraag van de klager omtrent de ingeroepen rechtsgrond voor het versturen van de direct marketingmails was echter niet transparant, noch in duidelijke en eenvoudige taal zoals voorgeschreven door artikel 12.1 AVG. De mail d.d. 24 februari 2022 verwijst enkel naar de “geldende wetgeving (AVG en Koninklijk Besluit), hetgeen niet voldoet aan de voorwaarden inzake transparantie en duidelijkheid. Zelfs wanneer de klager haar hierop wijst, blijft de verweerder onduidelijk. Zij verwijst in haar mail d.d. 9 maart 2022 naar artikel 6 AVG en verduidelijkt naar welk koninklijk besluit zij verwijst. Beslissing ten gronde 59/2025 – 11/22 De verweerder maakt echter geen enkele verwijzing naar artikel 6.1.
25. f)AVG. Het recht op inzage is de toegangspoort om andere rechten uit te oefenen, waardoor het ontvangen van duidelijke informatie, zoals over de ingeroepen rechtsgrond, essentieel is voor de betrokkene om eventuele verdere rechten te kunnen uitoefenen. De Geschillenkamer besluit dan ook dat er sprake is van een inbreuk op artikel 12.1 AVG wat betreft het antwoord op het recht van inzage. 39. De verweerder erkent het verzoek tot inzage behandeld te hebben als een verzoek tot wissing waarbij de persoonsgegevens van de klager geanonimiseerd werd. Zij wijst erop dat zij wel nog bepaalde persoonsgegevens heeft kunnen overmaken aan de klager. Voor zoveel als nodig wijst de Geschillenkamer erop dat de pseudonomisering van persoonsgegevens of, volgens de verweerder, anonimisering in die mate dat deze hersteld zouden kunnen worden potentieel niet voldoet aan het recht op gegevenswissing overeenkomstig artikel 17 Beslissing ten gronde 59/2025 – 12/22 AVG. Aangezien een eventuele inbreuk op artikel 17 AVG geen deel uitmaakte van de tegensprekelijke debatten, gaat de Geschillenkamer hier niet verder op in. II.3. Artikel 12.1, artikel 13.1 en 13.2 AVG 40. De Geschillenkamer moet oordelen of de klager afdoende geïnformeerd werd over de litigieuze verwerking om aan de eisen van artikel 12.1, en artikel 13.1 en 13.2 AVG te voldoen. 41. Op basis van artikel 12.1 en artikel 13.1 en 13.2 van de AVG is het noodzakelijk dat de verweerder als verwerkingsverantwoordelijke aan de betrokkenen beknopte, transparante en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt worden. De voormelde transparantieverplichtingen vormen een concretisering van de algemene transparantieverplichting van artikel 5.1.
26. a)van de AVG. 42. Artikel 12.1 AVG schrijft voor dat de verwerkingsverantwoordelijke “passende maatregelen” neemt opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie [...] in verband met de verwerking in een beknopte, transparante, begrijpelijk en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is”. Volgens overweging 39 van de AVG betekent de verplichting tot transparantie dat de personen op een toegankelijke en begrijpelijke manier geïnformeerd moeten worden, o.a. over de wijze waarop hun rechten uitgeoefend kunnen worden. Wanneer de gegevens rechtstreeks bij de betrokkenen verzameld worden, zoals in casu het geval is, moet alle informatie die in artikel 13 AVG wordt vermeld aan de betrokkene worden meegedeeld op het moment waarop de gegevens worden verkregen. Vaststellingen in het Inspectieverslag 43. De Inspectiedienst stelt in zijn verslag vast dat de informatie op de verkoopbon uit 2018 onduidelijk en onvolledig is. De verkoopbon is onduidelijk omdat gebruik wordt gemaakt van vage bewoordingen en niet duidelijk maakt dat de klager daadwerkelijk direct marketingmails zal ontvangen (“de uitbouw van handelsbetrekkingen met de klant en klantenbeheer, mogelijkerwijze middels direct marketing”). De verkoopbon is onvolledig aangezien niet alle informatie, zoals verplicht op basis van artikel 13 AVG, wordt vermeld. Volgens de vaststellingen van de Inspectiedienst ontbreken de volgende elementen : de contactgegevens van de functionaris voor gegevensbescherming, de opslagtermijn, het recht op beperking en het recht op gegevensoverdraagbaarheid, het recht om de toestemming in te trekken en het recht om een klacht in te dienen bij de toezichthoudende autoriteit. Standpunt van de verweerder Beslissing ten gronde 59/2025 – 13/22 44. De verweerder kan zich niet akkoord verklaren met de vaststellingen in het Inspectieverslag. Zij stelt dat de verkoopbon wel duidelijk is. Met betrekking tot de verkoopbon merkt de verweerder op dat hierin expliciet verwezen wordt naar direct marketing. Het feit dat de verkoopbon vermeldt dat er “mogelijkerwijze” verwerking voor direct marketing zou plaatsvinden, verandert niets aan de duidelijkheid van de verkoopbon, zo voert de verweerder aan. Men kan immers moeilijk verwachten dat de verwerkingsverantwoordelijke op voorhand reeds met volledige zekerheid kan stellen dat er naar een specifieke klant direct marketingmails gestuurd zullen worden. In het kader van de transparantie heeft de verweerder er dus voor gekozen om haar klanten alvast via de verkoopbon te informeren over het feit dat hun persoonsgegevens mogelijk voor direct marketingdoeleinden verwerkt zouden worden. In de privacyverklaring wordt ook meegedeeld dat de persoonsgegevens voor direct marketingdoeleinden gebruikt kunnen worden. Sinds 1 juni 2018 heeft de verweerder aan alle medewerkers in haar winkels, via publicatie op het intranet, de uitdrukkelijke instructie gegeven om bij elke overhandiging van een verkoopbon de klant te informeren over het feit dat diens gegevens verwerkt zullen worden in het kader van “serviceberichten en persoonlijke tips” en dat de klant, indien deze dergelijke e-mails niet meer wenst te ontvangen, onderaan de e-mails een afmeldknop kan vinden. Tot slot benadrukt de verweerder dat het sturen van direct marketingmails een bijzonder gangbare praktijk is in de sector. De klanten zijn het dus gewoon, of minstens kunnen ze verwachten, om promotionele berichten te ontvangen. 45. Voor wat betreft de vaststelling dat de verkoopbon onvolledig zou zijn, wijst de verweerder erop dat de informatie uit de verkoopbon uit 2018, in combinatie met de privacyverklaring uit 2018 die in elk direct marketingbericht gelinkt was, vrijwel volledig is. Via de gelaagde aanpak in de verkoopbon en privacyverklaring hadden de klanten toegang tot de vereiste informatie. Zonder erkenning van enige inbreuk op artikel 12 en 13 AVG, stelt de verweerder in haar conclusies dat zij de volgende aanpassingen zal doen in haar privacyverklaring: - duidelijk aangeven wat de contactgegevens van de functionaris voor gegevensbescherming zijn, alsook aangeven dat betrokkenen de functionaris bij enige vraag of opmerking met betrekking tot de verwerking van hun persoonsgegevens mogen contacteren; - de opslagtermijn van de verwerkte persoonsgegevens aangeven, of minstens de criteria die gehanteerd worden om die opslagtermijn vaststellen; en - verduidelijken dat betrokkenen in sommige omstandigheden het recht hebben om (
27. i)de verwerking van hun persoonsgegevens door de verweerder te beperken en (
28. ii)hun toestemming voor de verwerking van persoonsgegevens in te trekken. Daarnaast zal zij ook haar verkoopbon aanpassen door onderaan een link naar de privacyverklaring op te nemen. Hiervoor dienen nog een aantal technische maatregelen Beslissing ten gronde 59/2025 – 14/22 genomen te worden via het Customer Relationship management- platform (hierna: (CRMplatform. ) 46. De Geschillenkamer stelt vast dat de verkoopbon en de privacyverklaring onduidelijk waren. De passages in de verkoopbon en de privacyverklaring omtrent de rechtsgrond voor het verwerken van persoonsgegevensverwijzen naar twee verschillende rechtsgronden, zijnde naar de toestemming op de verkoopbon en het gerechtvaardigd belang in de privacyverklaring. De Geschillenkamer erkent dat een gelaagde aanpak interessant kan zijn om op die manier alvast de belangrijkste informatie aan de betrokkenen mee te delen via de verkoopbon. De Geschillenkamer verwijst echter naar de passage omtrent het verwerken van persoonsgegevens: Doeleinden. Door ondertekening van deze orderbon verstrekt de klant [de verweerder] de uitdrukkelijke toestemming tot de voormelde verwerking van zijn persoonsgegevens, inzonderheid de persoonsgegevens die zijn gezondheid betreffen, erkent hij zijn voorafgaande, vrije, specifieke en geïnformeerde toestemming te hebben gegeven voor de ontvangst van commerciële communicaties per elektronische post, en aanvaardt hij bovendien de toepassing van de op deze orderbon afgedrukte algemene voorwaarden”. De verweerder stelt dat deze moet worden samen gelezen met de privacyverklaring waarin staat: Uw persoonsgegevens worden door [de verweerder] gebruikt om door u gestelde vragen te beantwoorden, om u te informeren over de huidige en toekomstige activiteiten en acties van [de verweerder], voor het versturen van elektronische nieuwsbrieven, voor het versturen van reclame per post, voor statistische doeleinden, en voor geautomatiseerde gegevensverwerking. Uw bijzondere persoonsgegevens zullen uitsluitend gebruikt worden voor de dienstverlening. Voor zover wettelijk vereist vraagt [de verweerder] uw toestemming, voordat zij uw persoonsgegevens voor deze doeleinden gebruikt.” De Geschillenkamer is echter van oordeel dat ook deze passage in de privacyverklaring onduidelijk is, aangezien deze niet per verwerking verduidelijkt wanneer het wettelijk vereist is om toestemming te vragen voor een verwerking. . De Geschillenkamer herinnert eraan dat zij als best practice aanraadt dat verwerkingsverantwoordelijken de informatie over hun verwerkingen moeten opsplitsen naar doeleinden en rechtsgronden, zodat deze duidelijk is voor de betrokkenen. Verder volgt de Geschillenkamer de zienswijze van de verweerder dat het gebruik van het woord “mogelijkerwijze” in de zinsnede (“de uitbouw van handelsbetrekkingen met de klant en klantenbeheer, mogelijkerwijze middels direct marketing”) op zich niet leidt tot onduidelijkheid. De privacyverklaring is immers een algemeen document dat ter beschikking wordt gesteld van alle betrokkenen en waarbij het mogelijk is dat niet elke betrokkene deze Beslissing ten gronde 59/2025 – 15/22 direct marketing e-mails ontvangt, bijvoorbeeld omdat deze zijn recht van bezwaar heeft uitgeoefend of omdat deze zijn e-mailadres niet verstrekt heeft. 47. De Geschillenkamer stelt vast dat de privacyverklaring onvolledig was, zoals vastgesteld door de Inspectiedienst. Tijdens de hoorzitting heeft de verweerder aan de Geschillenkamer de meest recente versie van de privacyverklaring overgemaakt. De Geschillenkamer stelt vast dat de privacyverklaring werd aangepast zodat de inbreuken inzake de onvolledigheid van de privacyverklaring zoals vastgesteld door de Inspectiedienst verholpen werden. 48. De Geschillenkamer stelt vast dat er sprake was van (historische) inbreuken op artikel 12.1 en artikel 13.1 en 13.2 AVG maar dat deze intussen verholpen werden. II.4. Artikel 5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG 49. Artikel 24.1 van de AVG verplicht de verwerkingsverantwoordelijke om, rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, passende technische en organisatorische maatregelen te nemen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met AVG wordt uitgevoerd. Deze maatregelen moeten ook worden geëvalueerd en zo nodig bijgewerkt. Dit artikel weerspiegelt de in artikel 5.2 van de AVG neergelegde "verantwoordingsplicht", volgens hetwelk "de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van lid 1 (verantwoordingsplicht) en dit moet kunnen aantonen". Artikel 24.2 van de AVG bepaalt dat, wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, de in artikel 24.1 van de AVG genoemde maatregelen, een passend gegevensbeschermingsbeleid omvatten dat door de verwerkingsverantwoordelijke wordt uitgevoerd. 50. Het is ook de overeenkomstig verantwoordelijkheid de artikelen 24 van de verwerkingsverantwoordelijke (verantwoordelijkheid) en 25 van de om, AVG (gegevensbescherming door ontwerp en als standaard), de noodzakelijke naleving van de regels van de AVG op doeltreffende wijze te integreren in het ontwerp van zijn verwerkingsactiviteiten en in zijn procedures. 51. De Geschillenkamer wijst erop dat de verweerder een groot bedrijf is dat persoonsgegevens van (gevoelige) aard verwerkt, hetgeen risico’s voor de betrokkenen met zich meebrengt. De Geschillenkamer stelt vast dat de verweerder over zeer veel documentatie en initiatieven beschikt die haar medewerkers in staat stellen om zo goed mogelijk om te gaan met de verplichtingen die voortvloeien uit de AVG. Op die manier heeft de verweerder het risico op menselijke vergissing en technische fouten zo klein mogelijk willen maken. De Geschillenkamer erkent dat het niet altijd mogelijk is om dergelijke problemen uit te sluiten, maar verwacht wel van verwerkingsverantwoordelijken dat zij de nodige maatregelen Beslissing ten gronde 59/2025 – 16/22 treffen om deze risico’s zoveel mogelijk te beperken, hetgeen de verweerder in onderhavige zaak gedaan heeft. 52. De Geschillenkamer wijst erop dat het ook aan de verweerder toekomt om de nodige maatregelen te treffen om te zorgen dat zij handelt in overeenstemming met de AVG, en meer bepaald met de informatieverplichtingen. De Geschillenkamer stelt vast dat de verweerder in deze zaak niet de nodige maatregelen heeft getroffen om na te gaan of de informatieverplichtingen nageleefd werden. De Geschillenkamer stelde vast dat dit niet het geval was, gelet op de vastgestelde inbreuk op de naleving van artikel 12.1 j° artikel 13 AVG (zie deel II.3) en de inbreuk op het recht van inzage omwille van het menselijke vergissing die geleid heeft tot de anonimisering enerzijds en het gebrek aan transparantie omtrent de rechtsgrond in het antwoord op het verzoek tot inzage anderzijds. Bijgevolg is er sprake van een inbreuk op de artikelen 5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG II.5. Artikel 30.1, 30.3 en 30.4 AVG 53. De Inspectiedienst stelt tijdens zijn onderzoek vast dat de verweerder weigert een kopie te verstrekken van haar register van verwerkingsactiviteiten en motiveert deze weigering op basis van bedrijfseconomische gevoeligheden. Dit vormt volgens de Inspectiedienst een inbreuk op artikel 30.4 AVG, aangezien de verwerkingsverantwoordelijke op eenvoudig verzoek van de Inspectiedienst een kopie moet verstrekken van haar register van de verwerkingsactiviteiten zodat een controle daarop mogelijk is. Aangezien de verweerder haar verwerkingsregister niet heeft overgemaakt, concludeert de Inspectiedienst dat deze niet aantoont dat zij beschikt over een geactualiseerd register van de verwerkingsactiviteiten in schriftelijke vorm, waaronder elektronische vorm, zoals vereist op basis van artikel 30.1 en 30.3 AVG. 54. De verweerder voert aan dat zij wel degelijk over een geactualiseerd register van verwerkingsactiviteiten beschikt en dat artikel 30.4 AVG niet voorschrijft in welke vorm het register met de GBA gedeeld moet worden. Desalniettemin, zo stelt de verweerder, begrijpt zij intussen dat zij het register op eenvoudig verzoek schriftelijk moet verstrekken en dat de GBA eveneens verplicht is om het vertrouwelijke karakter hiervan te bewaren. Het register werd dan ook als stuk bij de conclusie van antwoord overgemaakt. De verweerder stelt dat Beslissing ten gronde 59/2025 – 17/22 het register in overeenstemming is met de vereisten van artikel 30.1 AVG voor de meer dan 200 verwerkingsactiviteiten. 55. De Geschillenkamer heeft het register van verwerkingsactiviteiten per e-mail ontvangen en stelt vast dat dit een levend document is dat voldoet aan de vereisten van artikel 30.1 AVG. Bijgevolg stelt de Geschillenkamer vast dat er geen sprake is van een schending van artikel 30.1, 30.3 en 30.4 AVG. II.6. Artikel 38.1 en artikel 39 AVG 56. De AVG erkent dat de functionaris voor gegevensbescherming een sleutelfiguur is voor wat betreft de bescherming van persoonsgegevens wiens aanwijzing, positie en taken aan regels onderworpen zijn. Deze regels helpen de verwerkingsverantwoordelijke om te voldoen aan haar verplichtingen onder de AVG, maar helpen ook de functionaris voor gegevensbescherming om zijn taken naar behoren uit te oefenen. 57. Artikel 38.1 AVG schrijft voor dat de verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 58. Artikel 39.1 AVG stipuleert de taken die de functionaris voor gegevensbescherming ten minste vervult:
29. a)de verwerkingsverantwoordelijke of de verwerker en de werknemers die verwerken, informeren en adviseren over hun verplichtingen uit hoofde van deze verordening en andere Unierechtelijke
30. b)toezien op of lidstaatrechtelijke naleving van lidstaatrechtelijke deze gegevensbeschermingsbepalingen; verordening, van andere gegevensbeschermingsbepalingen en van Unierechtelijke of het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits;
31. c)desgevraagd advies verstrekken met betrekking tot de gegevensbeschermingseffectbeoordeling en toezien op de uitvoering daarvan in overeenstemming met artikel 35;
32. d)met de toezichthoudende autoriteit samenwerken;
33. e)optreden als contactpunt voor de toezichthoudende autoriteit inzake met verwerking verband houdende aangelegenheden, met inbegrip van de in artikel 36 bedoelde voorafgaande raadpleging, en, waar passend, overleg plegen over enige andere aangelegenheid. Bij de uitvoering van zijn taken houdt de functionaris voor gegevensbescherming naar Beslissing ten gronde 59/2025 – 18/22 behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang, de context en de verwerkingsdoeleinden (artikel 39.2 AVG). 59. De Inspectiedienst komt tijdens zijn inspectieonderzoek tot de vaststelling dat de verweerder niet aantoont welke informatie en/of adviezen haar functionaris voor gegevensbescherming heeft verstrekt inzake het verzoek tot uitoefening van het recht van inzage van de klager. Op basis van artikel 38.1 AVG dient de functionaris voor gegevensbescherming door de verwerkingsverantwoordelijke naar behoren en tijdig betrokken te worden bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Bijgevolg concludeert de Inspectiedienst dat er sprake is van een inbreuk op artikel 38.1 en artikel 39 AVG. 60. De verweerder betwist deze vaststelling en legt stukken voor waaruit de betrokkenheid van de functionaris voor gegevensbescherming moet blijken. De functionaris heeft (
34. i)intern de nodige stappen gezet om informatie te verzamelen met betrekking tot de klacht, (
35. ii)een uitgebreide mail dd. 11 juli 2022 gestuurd naar de klager waarin nogmaals een antwoord werd gegeven op alle vragen die hij in de voorbije maanden had gesteld en (iii) een mail gestuurd naar de Inspectiedienst met antwoord op de gestelde vragen en bijhorende bewijsmaterialen. Voor wat betreft de betrokkenheid van de functionaris voor gegevensbescherming in het algemeen verwijst de verweerder naar de adviezen die de functionaris al verstrekt heeft in het kader van inbreuken in verband met persoonsgegevens, de medewerking van de functionaris voor gegevensbescherming aan beleidsdocumenten en de informatiebrochures over de AVG die de functionaris voor gegevensbescherming verstrekt aan de winkelmedewerkers. Tijdens de hoorzitting heeft de functionaris voor gegevensbescherming één en ander uitvoerig toegelicht. 61. Gelet op het bovenstaande, stelt de Geschillenkamer vast dat de functionaris voor gegevensbescherming op regelmatige basis wordt betrokken bij aangelegenheden met betrekking tot de bescherming van persoonsgegevens. Specifiek wat betreft de context van de klacht, stelt de Geschillenkamer vast dat de functionaris werd betrokken naar aanleiding van de onderhavige klacht, zoals blijkt uit de bewijsmateriaal voorgelegd door de verweerder, zoals de mail dd. 11 juli 2022 aan de klager inzake het inzageverzoek en de brief dd. 12 juli 2022 met de antwoorden op de vragen van de Inspectiedienst. De Geschillenkamer stelt eveneens vast op basis van de stukken dat de functionaris voor gegevensbescherming betrokken is bij de initiatieven en maatregelen die de verweerder onderneemt die een gevolg kunnen hebben voor gegevensbescherming. Daarnaast is er een beleid aanwezig bij de verweerder over hoe en wanneer de functionaris voor Beslissing ten gronde 59/2025 – 19/22 gegevensbescherming betrokken kan worden en worden de medewerkers hierover periodiek opgeleid. 62. Gelet op het bovenstaande stelt de Geschillenkamer vast dat er geen sprake is van een inbreuk op artikel 38.1 en artikel 39 AVG. III. Sanctie 63. Zoals uiteengezet in deel II heeft de Geschillenkamer vastgesteld dat er sprake is van een inbreuk op artikel 6.1.f), artikel 12.1 j° artikel 15 AVG en artikel 12.1 j° artikel 13 AVG en artikel 5.2 j° artikel 24.1, artikel 25.1 en 25.2 AVG.. 64. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 65. Bij de bepaling van de sanctie ten gevolge de inbreuk op de artikelen 5.1.
36. a)AVG in samenhang met artikel 6.1.
37. f)AVG betreffende de verzending van de ongewenste direct marketing-e-mails, houdt de Geschillenkamer rekening met het feit dat de verzending van deze e-mails het gevolg is van een technische fout in het kader van een datamigratie, dat de verweerder voorafgaand aan de datamigratie de nodige risicoanalyses had gemaakt, dat niet is aangetoond dat er nog andere betrokkenen waren, en dat de verweerder passend gereageerd heeft naar aanleiding van de litigieuze verwerking waardoor de klager de direct Beslissing ten gronde 59/2025 – 20/22 marketingmails niet langer ontving. De Geschillenkamer oordeelt dan ook dat in deze specifieke situatie een buitenvervolgingstelling volstaat. 66. Bij de bepaling van de sanctie ten gevolge van de inbreuk op artikel 12.1 AVG in samenhang met artikel 15 AVG houdt de Geschillenkamer rekening met het feit dat er sprake was van een menselijke vergissing waardoor bepaalde gegevens werden geanonimiseerd, dat de verweerder inspanningen heeft geleverd om zo tijdig en volledig mogelijk de persoonsgegevens te recupereren. De Geschillenkamer wijst er echter op dat de verweerder niet transparant was over de rechtsgrond op basis waarvan de direct marketingmails werden gestuurd, ondanks de expliciete en herhaalde vraag hiertoe van de klager. De Geschillenkamer wijst erop dat de vastgestelde inbreuk op de verantwoordingsplicht op basis van artikel 5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG voortvloeit uit de voormelde inbreuk op de bepalingen inzake het recht op inzage. De Geschillenkamer is dan ook van oordeel dat een berisping in deze specifieke situatie passend is voor beide inbreuken samen. 67. Bij de bepaling van de sanctie ten gevolge van de inbreuk op artikel 12.1 AVG in samenhang met artikel 13 AVG betreffende de informatieverplichtingen, stelt de Geschillenkamer vast dat er sprake was van onduidelijke informatie omtrent de rechtsgrond waarop de litigieuze verwerking gebaseerd was. Daarnaast stelde de Geschillenkamer vast dat de privacyverklaring op het moment van de litigieuze verwerking niet volledig was. De Geschillenkamer houdt rekening met het feit dat de verweerder zich coöperatief heeft opgesteld tijdens de procedure en de opmerkingen van de Inspectiedienst heeft verwerkt in een nieuwe privacyverklaring. De Geschillenkamer wijst erop dat de vastgestelde inbreuk op de verantwoordingsplicht op basis van artikel 5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG voortvloeit uit de voormelde inbreuk op de informatieverplichtingen. De Geschillenkamer is dan ook van oordeel dat een berisping in deze specifieke situatie voor beide samenhangende inbreuken volstaat. 68. Voor de overige vaststellingen van de Inspectiedienst gaat de Geschillenkamer over tot een seponering aangezien dienaangaande geen inbreuken van de AVG kon vastgesteld worden. IV. Publicatie van de beslissing 69. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. van de daartoe de Beslissing ten gronde 59/2025 – 22/22 Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten3. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.4, dan wel via het eDeposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Voorzitter van de Geschillenkamer 3 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 4 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.