Beslissing ten gronde nr. 61/2025

1/12 Geschillenkamer Beslissing ten gronde 61/2025 van 25 maart 2025 Dossiernummers : DOS-2023-03455 en DOS-2023-03186 Betreft : klacht met betrekking tot het installeren van een geolokalisatiesysteem in een bedrijfswagen. De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, alleenzetelend voorzitter; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”1; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Y NV, hierna “de verweerder” 1 De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link: https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-vaninterne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum. Beslissing ten gronde 61/2025 — 2/12 I. 1. Feiten en procedure De klager dient een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder, die werd gedateerd op 26 juli 2023. De Geschillenkamer stelt vast dat er een eerdere klacht bestaat vanwege dezelfde klager, wegens dezelfde feiten en tegen dezelfde verweerder. Gezien de overeenkomst van deze eerdere klacht met de klacht die in deze beslissing wordt behandeld, en gezien de eerdere klacht dezelfde initiële stukken bevatte die de verweerder ook ontving via de tweede klacht, heeft de Geschillenkamer besloten de eerdere klacht bij deze klacht te voegen. 2. Gezien zij dezelfde inhoud hebben, doet voorliggende beslissing uitspraak over de twee klachten die zijn ingediend bij de gegevensbeschermingsautoriteit. De gevoegde dossiers dragen de referentienummers DOS-2023-03455 en DOS-2023-03186. 3. Het voorwerp van de klacht betreft het vermeend onrechtmatig installeren van een geolokalisatiesysteem in de bedrijfswagen van de klager. De klager, tewerkgesteld bij de verweerder als bediende, was hoofdbestuurder van een bedrijfswagen die tegelijk werd gebruikt als privéwagen. De klager maakt bezwaar tegen het feit dat de verweerder een geolokalisatiesysteem installeerde in zijn wagen, zonder dat dit vermeld staat in zijn arbeidsovereenkomst, en zonder diens toestemming. De klager voert tevens aan dat het voor hem onmogelijk was het apparaat uit te zetten buiten de werkuren of tijdens vakanties. 4. Op 11 september 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 5. Op 3 oktober 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 27 oktober 2023 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2 WOG, alsook van deze in artikel 98 WOG. In die kennisgeving werd door de Geschillenkamer opgeworpen dat de verweerder mogelijks in strijd handelde met: - De algemene beginselen inzake de verwerking van persoonsgegevens, met name de beginselen van rechtmatigheid, behoorlijkheid en transparantie uit artikel 5.1

1. a)AVG, het beginsel van doelbinding uit artikel 5.1
2. b)AVG en het beginsel van minimale gegevensverwerking uit artikel 5.1
3. c)AVG voor wat betreft de vermeende onrechtmatige verwerking van persoonsgegevens ten gevolge van het installeren van een geolokalisatiesysteem in de bedrijfswagen van de klager. - Artikel 6.1 AVG voor wat betreft de rechtsgrond die aan de basis ligt voor de vermeende onrechtmatige gegevensverwerking. Beslissing ten gronde 61/2025 — 3/12 - Artikel 12.1, 13 en 14 AVG voor wat betreft de aan de klager verstrekte informatie over de omvang en de aard van de gegevensverwerking in kwestie. 7. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 8 december 2023, deze voor de conclusie van repliek van de klager op 29 december 2023, en deze voor de conclusie van repliek van de verweerder op 19 januari 2024. 8. Op 6 november 2023 aanvaardt de verweerder uitdrukkelijk dat alle communicatie omtrent de zaak elektronisch zal verlopen en vraagt hij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 9 november 2023. 9. Op 8 december 2023 ontvangt de Geschillenkamer een conclusie van antwoord vanwege de verweerder. Daarin voert de verweerder in hooforde aan dat voldaan is aan alle beginselen van de AVG. In concreto voert zij aan dat de beginselen van rechtmatigheid en doelbinding conform de artikelen 5.1
4. b)en 6.1 AVG werden nageleefd. Daarnaast betoogt de verweerder dat ook voldaan is aan de beginselen van behoorlijkheid en evenredigheid conform artikel 5.1
5. a)AVG, evenals de beginselen van transparantie en informatie conform de artikelen 5.1 a), 12.1, 13 en 14 AVG. Zij voert tevens zij aan dat de verwerking in casu voldeed aan het beginsel van minimale gegevensverwerking zoals opgenomen in artikel 5.1
6. c)AVG. Daarnaast stelt de verweerder dat zij op 15 juni 2023 de voorgenomen invoering van het geolokalisatiesysteem met de betrokken werknemers besproken heeft tijdens een bedrijfsvergadering. Vervolgens werd een schriftelijke personeelsmededeling, met daarin het geolokalisatiebeleid, overhandigd aan de aanwezige medewerkers. Volgens de verweerder zou uiterlijk op 16 juni 2023 iedereen in het bezit zijn geweest van dit document. 10. Op 21 december 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De Geschillenkamer maakte deze conclusie van repliek over aan de verweerder op 11 januari 2024. In zijn repliek betwist de klager het bestaan van de vergadering van 15 juni 2023 waarin de voorgenomen invoering van het geolokalisatiesysteem en het beleid daaromtrent met de betrokken werknemers werd besproken. De klager voert aan dat het geolokalisatiebeleid, dat hem op 16 juni 2023 werd doorgestuurd, de eerste kennisgeving uitmaakte. Ook voert de klager de redenen aan die volgens hem aantonen dat het geolokalisatietoezicht in casu onrechtmatig is in het licht van het standpunt van de Gegevensbeschermingsautoriteit zoals vermeldt op haar website.2 Verder betoogt de klager dat het geolokalisatiesysteem gegevens registreert buiten de werkuren die door de 2 https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/privacy-op-de-werkplek/toezicht-van-dewerkgever/geolocalisatie Beslissing ten gronde 61/2025 — 4/12 verweerder kunnen geraadpleegd worden, en dat het systeem niet zelfstandig kan worden uitgeschakeld nu het rechtstreeks is gekoppeld aan de batterij van de wagen. 11. Op 19 januari 2024 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. Daarin wenst de verweerder te benadrukken dat de vergadering van 15 juni 2023 weldegelijk plaatsvond, maar dat de klager afwezig was. 12. Op 11 januari 2024 geeft de verweerder te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 13. Op 13 december 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 27 januari 2025. 14. Op 27 januari 2025 worden de verweerder gehoord door de Geschillenkamer. De klager was niet aanwezig op die hoorzitting. 15. Op 29 januari 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 16. De Geschillenkamer ontvangt geen opmerkingen met betrekking tot het proces-verbaal. II. Motivering II.1. Wat betreft de rechtsgrond die aan de basis ligt voor de vermeende onrechtmatige gegevensverwerking 17. De Geschillenkamer herinnert eraan dat ingevolge artikel 5.1
7. a)AVG persoonsgegevens rechtmatig, behoorlijk en transparant dienen te worden verwerkt. Meer bepaald wijst de Geschillenkamer op de concretisering van het rechtmatigheidsbeginsel zoals opgenomen in artikel 6.1 AVG, dat voorschrijft dat elke verwerking van persoonsgegevens moet berusten op een rechtsgrondslag. Dit wil zeggen dat een verwerkingsverantwoordelijke niet mag starten of doorgaan met een verwerking zonder zich te beroepen op één van de in artikel 6.1 AVG opgesomde voorwaarden. 18. Gelet op de conclusie en het proces-verbaal van de hoorzitting stelt de Geschillenkamer vast dat de verweerder zich uitdrukkelijk beroept op haar gerechtvaardigd belang, conform artikel 6.1.
8. f)AVG, om de installatie van het geolokalisatiesysteem en de daarmee gepaard gaande verwerkingen te rechtvaardigen. 19. Zoals uitgelegd door het Hof van Justitie in haar rechtspraak 3, moet er voldaan zijn aan drie cumulatieve voorwaarden opdat een verwerkingsverantwoordelijke zich rechtmatig kan beroepen op artikel 6.1.
9. f)AVG. Hieronder wordt ingegaan op elk van die voorwaarden, toegepast op de verwerking in casu. 3 HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas satiksme” (ECLI:EU:C:2017:336), randnr. 28 (“Arrest Rīgas”). Beslissing ten gronde 61/2025 — 5/12 II.1.1. Gerechtvaardigd belang 20. Ten eerste dient de verwerkingsverantwoordelijke een actueel, gerechtvaardigd belang na te streven. De verweerder geeft in haar conclusie aan dat de gegevensverwerkingen in casu van fundamenteel belang zijn om het beheer van de professionele verplaatsingen van haar werknemers te optimaliseren, teneinde haar concurrentiepositie te versterken. De hoofdactiviteit van de verweerder zou immers bestaan uit de diensten van haar technici die dagelijks verplaatsingen doen voor het installeren, onderhouden, en herstellen van toestellen bij klanten. 21. De Geschillenkamer stelt vast, op basis van het geolokalisatiebeleid van de verweerder, dat de vooropgestelde doeleinden van de verwerking bestonden uit: - het bekomen van een vereenvoudiging van de registratie en administratie ten behoeve van de facturatie en tijdregistratie voor de nacalculatie; - inzicht in de routes; - inzicht in vertrek- en aankomsttijden; - het verlagen van (brandstof)kosten; - een sluitende urenverantwoording; - bewijsmateriaal voor opdrachtgevers; - een verhoging van de veiligheid. - En het verlagen van communicatiekosten De Geschillenkamer meent dat deze doelstellingen voor het gebruik van het geolokalisatiesysteem inderdaad overeenstemmen met bovenvermeld gerechtvaardigd belang. 22. De Geschillenkamer is echter van oordeel dat uit de feiten blijkt dat het gerechtvaardigd belang van de verweerder eerder bestond uit de controle op de werkprestaties en gewerkte uren van haar werknemers. Dit leidt zij in de eerste plaats af uit het feit dat de verweerder op geen enkele wijze haar processen uiteenzet, dewelke zouden moeten weergeven hoe zij de verzamelde persoonsgegevens gebruikt om het beheer van de professionele verplaatsingen te optimaliseren. Overigens geeft de verweerder toe dat het toezicht op haar werknemers een primair doel was van de verwerkingen in casu.4 Er is dus mogelijk sprake van een inbreuk op het beginsel van doelbinding, hetgeen de Geschillenkamer in sectie II.2 verder toelicht. 23. Afgezien hiervan besluit de Geschillenkamer dat de verweerder hoe dan ook over een gerechtvaardigd belang beschikte om de verwerkingen in casu te rechtvaardigen, zij het om de prestaties van haar werknemers te controleren, dan wel om logistieke en economische 4 Zie proces-verbaal van de hoorzitting van 27 januari 2025, p. 2 Beslissing ten gronde 61/2025 — 6/12 efficiëntie na te streven. Overeenkomstig het standpunt van de Gegevensbeschermingsautoriteit, zoals vermeldt op haar website , kunnen beiden worden 5 beschouwd als legitieme doelen om een geolokalisatiesysteem te installeren in voertuigen van werknemers. II.1.2. Noodzakelijkheid 24. Naast het bestaan van een gerechtvaardigd belang, moet de verwerkingsverantwoordelijke ook de noodzakelijkheid van de verwerking voor dat belang aantonen alvorens een beroep te kunnen doen op artikel 6.1.
10. f)AVG. Dit betekent meer bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens, of met een voor de betrokkenen minder ingrijpende verwerking. 25. Zoals opgesomd in haar geolokalisatiebeleid, bestaan de verwerkte gegevens onder andere uit de locatie van de wagen, de gereden kilometers, de begin- en eindtijden, de reisduur en de stoptijden. De Geschillenkamer acht de verwerkte gegevens noodzakelijk voor de gerechtvaardigde belangen van de verweerder, namelijk het uitvoeren van een controle op haar werknemers en/of het efficiënt beheren van werkgerelateerde verplaatsingen. 26. De verweerder stelt daarnaast dat de registratietijden van het geolokalisatiesysteem waartoe zij toegang heeft, overeenkomen met de arbeidstijden van haar werknemers. Concreet betekent dit dat enkel de gegevens die werden geregistreerd op werkdagen tussen 8u30 en 17u00 door haar konden worden geraadpleegd. Wat betreft de uitlezing van de verzamelde gegevens door de verweerder, stelt de Geschillenkamer bijgevolg vast dat de verweerder enkel de gegevens kon raadplegen die tijdens de werkelijke werkuren werden verzameld, hetgeen haar noodzakelijk lijkt voor haar gerechtvaardigde belangen. 27. Tijdens de hoorzitting die plaatsvond op 27 januari 2025 wijst de Geschillenkamer op de discrepantie tussen de werktijden die zijn ingegeven in het geolokalisatiesysteem en de werkuren zoals vermeld in het arbeidscontract van de klager, namelijk glijdende uren van 9u00 tot 18u06. De verweerder voert aan dat de werkuren zoals weerhouden door de verwerker in het geolokalisatiesysteem beter overeenstemmen met de werkelijkheid dan de te presteren uren die worden vermeld in het arbeidscontract. 6 De Geschillenkamer merkt op dat deze verantwoording nogmaals wijst op een controlemechanisme, namelijk het toezicht op de naleving van de interne werkafspraken die gemaakt werden met haar werknemers. 5 https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/privacy-op-de-werkplek/toezicht-van-dewerkgever/geolocalisatie 6 Zie proces-verbaal van de hoorzitting van 27 januari 2025, p. 3 Beslissing ten gronde 61/2025 — 7/12 28. Uit het voorafgaande leidt de Geschillenkamer af dat de verwerker die het geolokalisatiesysteem aanbiedt, de gegevens op continue wijze heeft geregistreerd, maar dat uitsluitend de gegevens die op werkdagen van 8u30 tot 17u00 werden verzameld aan de verweerder werden doorgestuurd. 29. Hieromtrent merkt de Geschillenkamer op dat zij een continue gegevensregistratie door de verwerker disproportioneel acht. Hoewel regelmatigere controle in casu gerechtvaardigd kan zijn, gelet op feit dat die controle rechtstreeks verband houdt met de aard van de door de werknemer uit te voeren taken (buitendiensttechnicus), acht de Geschillenkamer een permanente registratie van (locatie)gegevens door de verwerker onevenredig. De Geschillenkamer benadrukt dat het systeem zodanig moet zijn ingericht dat het kan worden gedeactiveerd wanneer de werknemer zijn voertuig buiten de werktijden gebruikt. Dit betekent niet alleen dat de verwerkingsverantwoordelijke geen toegang mag hebben tot die gegevens, maar ook dat de verwerker geen (locatie)gegevens mag registreren voor periodes buiten de reguliere werktijden, zoals tijdens weekends, vakantiedagen of ziektedagen. Gezien de Geschillenkamer echter geen gedetailleerd inzicht heeft in de gegevensregistratie zoals uitgevoerd door de verwerker, kan de Geschillenkamer in casu over dit punt geen inbreuk vaststellen. 30. Tot slot merkt de Geschillenkamer op dat de klager in zijn conclusie van repliek de noodzakelijkheid van het geolokalisatiesysteem betwist. De klager voert immers aan dat bij elke dienstverlening ter plaatse de klant een werkbon dient af te tekenen die de geleverde prestaties en uren vermeldt. Volgens de klager zouden deze werkbonnen voldoende moeten zijn om de doelen van de verweerder te verwezenlijken. De verweerder geeft aan dat een geolokalisatiesysteem onontbeerlijk is, nu er bij de haar een vermoeden heerst dat deze werkbonnen niet bij de klant worden ingevuld, maar op een later tijdstip door de werknemer zelf. De Geschillenkamer benadrukt ten overvloede dat een louter vermoeden van fraude, zonder hiervoor enig bewijs aan te leveren, onvoldoende is om de noodzakelijkheid van het geolokalisatiesysteem aan te tonen. Desondanks is Geschillenkamer van oordeel dat het geolokalisatiesysteem een noodzakelijke tool is om de belangen van de verweerder te behartigen. Een geolokalisatiesysteem biedt de mogelijkheid aan de verweerder om te controleren of haar werknemers daadwerkelijk aanwezig waren op de werkplek of bij de klant tijdens de afgesproken uren. Daarnaast kan de verweerder onterecht lange reistijden of inefficiënte routes identificeren, wat kan bijdragen aan kostenbesparing. De Geschillenkamer acht deze doelen moeilijk te bereiken met handgeschreven werkbonnen. 31. Gelet op bovenstaande is de Geschillenkamer is van oordeel dat de verwerkingen in casu inderdaad kunnen gezien worden als noodzakelijk voor het gerechtvaardigd belang van de verweerder. Beslissing ten gronde 61/2025 — 8/12 II.1.3. Afwegingstoets 32. Tot slot wordt vereist dat de belangen of fundamentele vrijheden en rechten van de betrokkenen niet mogen prevaleren op het gerechtvaardigd belang van de verwerkingsverantwoordelijke. Om te kunnen steunen op artikel 6.1 .
11. f)AVG dient de verwerkingsverantwoordelijke met andere woorden een afweging van de belangen te maken, en aan te tonen dat zijn eigen belangen zwaarder doorwegen ten opzichte van de belangen of fundamentele rechten en vrijheden van de betrokkenen. 33. Gezien de aard van de verwerkte persoonsgegevens en de beperking in tijd van de verwerking zoals uitgelegd in paragrafen 25 tot 27 van deze beslissing, moet de Geschillenkamer concluderen dat de impact ervan op de betrokkenen eerder gering blijft. De Geschillenkamer stelt immers vast dat de verweerder enkel gegevens kon uitlezen die noodzakelijk zijn voor de prioritaire doelen van de verwerking, en dit enkel tijdens de reële werkuren. 34. Gelet op bovenstaande is de Geschillenkamer van oordeel dat de verweerder een voldoende belangenafweging heeft gemaakt. Het is dan ook haar conclusie dat, gezien de beperkte impact van de verwerkingen op de betrokkenen, de belangen of fundamentele vrijheden en rechten van de betrokkenen niet zwaarder doorwegen dan het gerechtvaardigd belang van de verweerder. 35. De Geschillenkamer komt alzo tot het besluit dat de verweerder zich rechtmatig kon beroepen op artikel 6.1
12. f)AVG. II.2. Wat betreft het beginsel van doelbinding 36. De Geschillenkamer herinnert eraan dat, conform het beginsel van doelbinding uit artikel 5.1
13. b)AVG, alle persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld. Die persoonsgegevens mogen vervolgens niet verder verwerkt worden op een wijze onverenigbaar met die doeleinden. 37. Hiertoe merkt de Geschillenkamer op dat de verweerder voorafgaand aan de invoering van het geolokalisatiesysteem de doeleinden van de verwerking uitdrukkelijk omschrijft in haar geolokalisatiebeleid dat werd medegedeeld aan haar werknemers op 16 juni 2023.7 Zoals eerder gesteld, merkt de Geschillenkamer op dat de verweerder op geen enkele wijze haar processen uiteenzet, dewelke zouden moeten weergeven hoe zij de verzamelde persoonsgegevens gebruikt om het beheer van de professionele verplaatsingen te optimaliseren. Voorts stelt de Geschillenkamer vast dat de verweerder ook niet toelicht hoe 7 Zie ook paragraaf 21 Beslissing ten gronde 61/2025 — 9/12 de verzamelde persoonsgegevens worden gebruikt om de veiligheid van haar werknemers te verhogen of communicatiekosten te verlagen, zoals gesteld in haar geolokalisatiebeleid. 38. Uit de feiten die voorliggen stelt de Geschillenkamer echter vast dat de verweerder de verzamelde persoonsgegevens voornamelijk heeft aangewend om een controle uit te voeren op de gepresteerde werkuren van haar werknemers. Zij geeft tevens zelf toe dat dit een primair doel uitmaakte van de verwerkingen in casu. Hoewel het geolokalisatiebeleid ‘het verkrijgen van een sluitende urenverantwoording’ naar voren schuift als doel, vermeldt datzelfde beleid uitdrukkelijk dat controle niet het doel is. Hieruit leidt de Geschillenkamer af dat de bewoording ‘het verkrijgen van een sluitende urenverantwoording’ verwijst naar het verkrijgen van een administratief systeem dat ervoor zorgt dat de gewerkte uren op een correcte manier worden geregistreerd. De Geschillenkamer concludeert dat de verweerder de controle op de gepresteerde uren van haar werknemers niet vooraf aan de verwerking naar voren heeft geschoven als doel, maar de verzamelde persoonsgegevens wel voor dat doel heeft aangewend. Om die reden concludeert de Geschillenkamer dat de verweerder een inbreuk heeft gepleegd op het beginsel van doelbinding conform artikel 5.1.
14. b)AVG. 39. De Geschillenkamer stelt tot slot vast dat de klager beweert opmerkingen te hebben gekregen vanwege de verweerder over de gereden snelheid met zijn wagen, zonder hier evenwel bewijs van af te leveren. De verweerder betwist deze bewering door te stellen dat zij er geen enkele baat bij heeft de gereden snelheid te controleren, gezien haar werknemers zelf instaan voor verkeersboetes ingeval van snelheidsovertredingen. Bovendien zou de mogelijkheid tot automatische melding in geval van een te hoog gereden snelheid gedeactiveerd zijn in het geolokalisatiesysteem.8 Gezien de beperkte informatie waarover de Geschillenkamer beschikt, gaat zij ervan uit dat de verweerder geen persoonsgegevens verzamelde met het doel om de gereden snelheid van haar werknemers te monitoren. II.3. Wat betreft het beginsel van minimale gegevensverwerking 40. De Geschillenkamer herinnert eraan dat, conform het beginsel van minimale gegevensverwerking uit artikel 5.1
15. c)AVG, persoonsgegevens toereikend moeten zijn, ter zake moeten dienen en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. 41. In dit verband oordeelt de Geschillenkamer dat de gegevens die werden verwerkt door de verweerder beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij werden verwerkt, gelet op hun aard. 42. Zoals nader toegelicht in paragraaf 29, herhaalt de Geschillenkamer dat zij een voortdurende gegevensregistratie door de verwerker als disproportioneel beschouwt. Bovendien acht zij 8 Zie syntheseconclusie verweerder van 19 januari 2024, p. 8 Beslissing ten gronde 61/2025 — 10/12 dit in strijd met het beginsel van minimale gegevensverwerking. Het feit dat een verwerkingsverantwoordelijke uitsluitend toegang heeft tot de gegevens die noodzakelijk zijn voor het beoogde doel, doet daar geen afbreuk aan. Gezien de Geschillenkamer echter geen direct zicht heeft op de feitelijke registratie zoals die door de verwerker werd uitgevoerd, kan zij geen definitieve conclusie trekken of deze daadwerkelijk in strijd is met het beginsel van minimale gegevensverwerking en kan zij derhalve geen inbreuk vaststellen. 43. De Geschillenkamer stelt vast dat het voor de klager onmogelijk was om het geolokalisatiesysteem eigenhandig en op conventionele wijze te deactiveren. De Geschillenkamer is van oordeel dat het volstaat dat het geolokalisatiesysteem door de verwerkingsverantwoordelijke wordt gedeactiveerd tijdens periodes buiten de werktijd, zodat er geen (locatie)gegevens worden geregistreerd. Daarbij geeft de Geschillenkamer mee dat zij het als best practice beschouwt dat een werknemer het geolokalisatiesysteem zelf kan activeren en deactiveren, in het licht van het beginsel van minimale gegevensverwerking. Dit zou immers het risico verkleinen dat er persoonsgegevens worden geregistreerd en verwerkt buiten de reële werktijden. Dit geldt in het bijzonder wanneer een werknemer flexibele uren hanteert, waardoor de werktijden dagelijks kunnen variëren, zoals in casu het geval is. 44. De Geschillenkamer merkt op dat de verweerder de verwerker heeft geïnstrueerd om het systeem tijdelijk on hold te zetten nadat zij op de hoogte was van de klacht die werd ingediend. Daarnaast waardeert de Geschillenkamer het initiatief van de verweerder om gedurende deze periode te overwegen een applicatie in te voeren, waarmee werknemers de mogelijkheid zouden krijgen om het geolokalisatiesysteem te deactiveren wanneer zij het bedrijfsvoertuig buiten de werktijden gebruiken. II.4. Wat betreft het transparantiebeginsel 45. De Geschillenkamer herinnert eraan dat artikel 12.1 AVG en de artikelen 13 en 14 AVG de verwerkingsverantwoordelijke verplicht aan de betrokkenen beknopte, transparante en begrijpelijke informatie te bezorgen omtrent de verwerking. De betrokkenen moeten deze informatie bovendien in een gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangen. Deze verplichting vormt een concretisering van de algemene transparantieverplichting van artikel 5.1
16. a)AVG. 46. De Geschillenkamer herinnert eraan dat een essentieel aspect van het transparantiebeginsel bestaat uit de veronderstelling dat de betrokkene van tevoren moet kunnen bepalen wat de reikwijdte en de gevolgen van de verwerking zijn, om in een later stadium niet verrast te zijn over de manier waarop zijn persoonsgegevens zijn gebruikt. De informatie moet concreet en betrouwbaar zijn, niet op abstracte of dubbelzinnige wijze worden geformuleerd en niet vatbaar zijn voor verschillende interpretaties. In het bijzonder Beslissing ten gronde 61/2025 — 11/12 moeten de doeleinden en de rechtsgronden van de verwerking van persoonsgegevens duidelijk zijn. 47. Met betrekking tot de verwerkingsdoeleinden merkt de Geschillenkamer op dat de verweerder in haar geolokalisatiebeleid ambigu taalgebruik hanteert, door eerst de stellen dat zij met de invoering van het geolokalisatiesysteem onder andere “een sluitende urenverantwoording” wil bereiken, maar vervolgens aangeeft dat hoewel “controle met dit apparaat inderdaad mogelijk is; controle echter niet het doel is”. Hierdoor blijft het voor de klager onduidelijk of hij een controle kan verwachten op de gepresteerde uren. Gelet op het feit dat arbeidscontrole één van de primaire verwerkingsdoelen van het geolokalisatietoezicht uitmaakte, oordeelt de Geschillenkamer dat de verweerder haar transparantieverplichting niet nakomt en een inbreuk maakt op artikel 12.1 AVG j° artikel 13.1.
17. c)AVG. 48. Voorts stelt de Geschillenkamer vast dat het geolokalisatiebeleid niet op voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond waarop de gegevensverwerking steunt. Hoewel de titel “Waarom Track-and-trace?” van het geolokalisatiebeleid enkele relevante elementen bevat, is de Geschillenkamer van oordeel dat de verweerder hier onvoldoende toelicht dat de invoering van het geolokalisatiesysteem steunt op artikel 6.1.
18. f)AVG, en welke haar gerechtvaardigde belangen daarbij zijn. Aldus komt de Geschillenkamer tot het besluit dat de verweerder een inbreuk pleegt op artikel 13.1.
19. c)en d), artikel 14.1.
20. c)en artikel 14.2.
21. b)AVG. 49. De Geschillenkamer stelt daarnaast vast dat de verweerder in haar geolokalisatiebeleid de categorieën van persoonsgegevens die zij zal verwerken op niet-exhaustieve wijze opsomt, gezien de opsomming eindigt in “et cetera”. De Geschillenkamer is van mening dat een onvolledige opsomming van de persoonsgegevens die zullen worden verwerkt de klager niet in staat kan stellen om de impact die de verwerking op hem zal hebben, te beoordelen. De Geschillenkamer oordeelt dat dit een inbreuk vormt op artikel 12.1 AVG j° artikel 14.1
22. d)AVG. 50. De Geschillenkamer stelt vast dat het geolokalisatiebeleid op geen enkele wijze melding maakt van de bewaartermijnen van de betrokken persoonsgegevens, dan wel de criteria ter bepaling hiervan. De Geschillenkamer is van oordeel dat zulks een schending inhoudt van artikel 13.2.
23. a)en 14.2,
24. a)AVG. 51. Ten slotte benadrukt de Geschillenkamer dat zij het als best practice beschouwt dat een verwerkingsverantwoordelijke een aparte overeenkomst sluit met haar werknemers, of een bijlage toevoegt aan de arbeidsovereenkomst, waarin de vereisten van artikel 13 en 14 AVG worden opgenomen, teneinde te voldoen aan de transparantieverplichting conform artikel 12.1. AVG.