Beslissing ten gronde nr. 64/2024

(1)schending van de artikelen 5, 6 en 9 van de AVG, aangezien de betrokken gegevensverwerking door AVIQ (namelijk de verwerking van identificatiegegevens met het oog op de uitnodiging tot vaccinatie) onrechtmatig is, aangezien zij niet is gebaseerd op een toelaatbare rechtmatigheidsgrond als bedoeld in die bepalingen ; -

(2)een schending van artikel 17.1 van de AVG, omdat de verweerder ten onrechte geen gunstig gevolg heeft gegeven aan de verzoeken tot wissing van de klagers, op grond van de onrechtmatigheid van de verwerking van hun gegevens en het ontbreken van hun toestemming voor deze verwerkingen; -

(3)een schending van artikel 12.3 van de AVG, omdat de verweerder nagelaten heeft om binnen de in die bepaling voorgeschreven maand te antwoorden op het verzoek van klager nr. 2 om zijn recht op wissing uit te oefenen; Beslissing ten gronde 64/202 — 3/26 -

(4)een schending van het transparantiebeginsel en het recht op informatie (artikel 5.a) en de artikelen 12 en 14 van de AVG), omdat de uitnodigingsbrieven om zich te laten vaccineren geen informatie bevatten voor de ontvangers ervan, in dit geval de klagers; -

(5)een shending van artikel 26 van de AVG, omdat de verweerder, terwijl hij daartoe verplicht was op grond van artikel 7.2 van het samenwerkingsakkoord van 12 maart 2021, heeft nagelaten om:2 : o samen met de andere in dat artikel 7.2 genoemde entiteiten zijn verplichtingen nader te bepalen om ervoor te zorgen dat aan de vereisten van de AVG wordt voldaan, met name met betrekking tot de uitoefening van de rechten van de betrokkenen en de in de artikelen 13 en 14 van de AVG bedoelde informatieverstrekking; o de grote lijnen van dat akkoord aan de betrokkenen bekend te maken. 4. Op 25 februari 2022 deelt de Geschillenkamer elk van de klagers (nrs. 1 en 2) mee dat zij ook een andere klacht tegen de verweerder heeft ontvangen waarin, althans ten dele, dezelfde grieven worden geuit als deze die elk van hen in zijn klacht meedeelde. Om een coherente behandeling van deze klachten mogelijk te maken, heeft de Geschillenkamer de toestemming van elk van de klagers gevraagd om de inhoud van zijn klacht en zijn identiteit met de andere klager te delen. Op 27 februari 2022 (DOS-2021-04128) en 28 februari (DOS2021-05260), geven elk van de klagers hun toestemming hiervoor. 5. Op grond van het voorgaande, met name rekening houdend met het feit dat de grieven, althans ten dele, gemeenschappelijk zijn, beslist de Geschillenkamer om deze samen te voegen, omdat zij van oordeel is dat ze zo nauw met elkaar verband houden dat het van belang is ze tegelijk te onderzoeken en er een beslissing over te nemen, teneinde de coherentie van de beslissingen van de Geschillenkamer te waarborgen. De Beslissing van de Geschillenkamer 100/ 2022 en de follow-up daarvan 6. Op 3 juni 2022 nam de Geschillenkamer de beslissing 100/2022 die een aantal van de grieven van de klagers wegnam. 7. Op grond van deze beslissing (punt 57 van beslissing 100/2022) seponeerde de Geschillenkamer de zaak op technisch gronden, aangezien zij niet over voldoende bewijsstukken beschikte om vast te stellen dat verweerder de AVG niet had nageleefd, met uitzondering van (

1. a)enerzijds, de waarschuwing die zij heeft gegeven in punt B.2. van beslissing 100/2022 met betrekking tot de kwaliteit van het antwoord van verweerder op 2 Het gaat om het Samenwerkingsakkoord van 12 maart 2021 gesloten tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waals Gewest en de Franse Gemeenschapscommissie, waarbij met name de problemen in verband met de verwerking van de gegevens nodig voor de vaccinatie tegen het covid-19-virus werden geregeld. Beslissing ten gronde 64/202 — 4/26 het verzoek van klager 1 om wissing (punten 46-51 en 58 van beslissing 100/2022) en (
2. b)anderzijds van haar beslissing om de bezwaren wegens schending van artikel 5.1.a), en de artikelen 12, 14 en 26 van de AVG ten gronde te behandelen (punt 25 van beslissing 100/2022), 8. Op 3 juni 2022 stuurt de Geschillenkamer, die de klachten in twee delen heeft opgesplitst, een brief naar de klagers waarin zij hen in kennis stelt van haar beslissing tot een behandeling ten gronde van de klachten die betrekking hebben op de schending van het transparantiebeginsel en het recht op informatie van de betrokkene (artikel 5.1.a), en de punten 12 en 14 van de AVG, alsmede van artikel 26 van de AVG, en dit, in toepassing van artikel 95.1.1° en artikel 98 van de WOG (grieven

(4)en

(5)onder punt 3 hierboven). Wat de andere grieven in de klachten betreft (grieven

(1)tot en met

(3)in punt 3 hierboven), worden de partijen ervan in kennis gesteld dat zij het voorwerp uitmaakten van voornoemde Beslissing 100/2022 van de Geschillenbeslechtingskamer. Tegen deze beslissing 100/2022 is geen beroep ingesteld bij het Marktenhof.

1. In dezelfde brief van 3 juni 2022 werden de partijen door de Geschillenkamer (artikel 99 van de WOG) in kennis gesteld van de termijnen voor het indienen van hun conclusies met betrekking tot de aangevoerde grieven. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder wordt vastgelegd op 15 juli 2022, deze voor de conclusie van repliek van de klager op 8 augustus 2022 en ten slotte deze voor de conclusie van repliek van de verweerder op 30 augustus
3. Op 6 oktober 2022 verklaart klager 1 dat hij van plan is gebruik te maken van de mogelijkheid te worden gehoord, overeenkomstig artikel 98 van de WOG. Klager nr. 2 deed hetzelfde op 9 juni
5. Op 28 april 2022 vraagt de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), die hem wordt bezorgd op 30 mei
7. Op 1 juli 2022 verklaart de verweerder dat hij van plan is gebruik te maken van de mogelijkheid te worden gehoord, overeenkomstig artikel 98 van de WOG. De relevante feiten voor de grieven

(4)en

(5)die in deze beslissing worden behandeld 13. De feiten die relevant zijn voor de grieven waarop deze beslissing betrekking heeft, kunnen als volgt worden samengevat. De grieven op zich die de partijen uitvoerig hebben uiteengezet in hun conclusies, wordt door de Geschillenkamer samengevat (zie hieronder). De Geschillenkamer preciseert dat zij met " klacht " in deze beslissing de enige overblijvende grieven bedoelt die zij besloten heeft ten gronde te behandelen (punt 8) 14. AVIQ heeft de klagers verschillende uitnodigingen gestuurd om zich te laten vaccineren tegen het covid-19 virus, namelijk per ongedateerde brief aan klagers nr. 1 en nr. 2, per emails van 5 mei en 9 juli 2021 aan klager nr. 1 en per sms van 5 mei en 9 juli 2021 eveneens Beslissing ten gronde 64/202 — 5/26 aan klager nr. 1. Tijdens de hoorzitting van 30 januari 2024 zijn partijen overeengekomen dat de eerste ongedateerde papieren uitnodiging aan klagers nr. 1 en nr. 2 in de loop van maart 2021 aan hen moet zijn verzonden (zie het proces-verbaal van de hoorzitting van 30 januari 2024). Partijen baseren zich in dit verband op het tijdschema voor het versturen van de uitnodigingen om te vaccineren, dat in februari 2021 is begonnen met personeel in de gezondheidszorg, in maart 2021 is voortgezet met ouderen en vervolgens, vanaf april 2021, met het grote publiek per doelgroeptranche (zie voetnoot 2 van verweerders samengevatte conclusies). 15. De tussenkomst van AVIQ vindt plaats in het kader van de strijd tegen de pandemie van het covid-19-virus, waarbij de gefedereerde entiteiten en de federale overheid zich, elk binnen hun bevoegdheden, hebben ingespannen om vaccins tegen dit virus aan de bevolking toe te dienen. 16. Daartoe werd het samenwerkingsakkoord van 12 maart 2021 (hierna "het samenwerkingsakkoord") gesloten tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waals Gewest en de Franse Gemeenschapscommissie. Dit heeft met name problemen opgelost met betrekking tot de verwerking van gegevens die nodig zijn voor vaccinatie. 17. Overeenkomstig artikel 7.2. van dit samenwerkingsakkoord hebben de verweerder en de 7 andere betrokken entiteiten een overeenkomst ondertekend op 3 maart 2021 met als doel uitvoering te geven aan artikel 26 van de AVVG en getiteld "Regeling voor de gezamenlijke verwerking van persoonsgegevens door de bevoegde diensten van de gefedereerde entiteiten, het FAGG (i.e. het Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten) en Sciensano in het kader van de organisatie en registratie van COVID-19 vaccinaties" (hierna "het akkoord art. 26 van de AVG").). 18. Dezelfde entiteiten (waaronder de AVIQ) ontwikkelden ook een "Privacybeleid DOCLR vaccinaties : privacybeleid van de online applicatie voor het uitnodigen van mensen om gevaccineerd te worden tegen covid-19 en voor het boeken van een of meer vaccinatietijden" in naam van hun gemeenschappelijke verwerker en bedoeld om betrokkenen te informeren over de uitgevoerde gegevensverwerkingen (hierna "het privacybeleid »). 19. Toen zij hun klacht indienden, hadden de klagers niet van tevoren contact opgenomen met AVIQ; zij gaven in hun klachtenformulier aan dat zij dat niet konden doen omdat in de uitnodigingsbrief die zij ontvingen noch de contactgegevens van de verwerkingsverantwoordelijke, noch die van haar functionaris voor gegevensbescherming (DPO) waren vermeld. Beslissing ten gronde 64/202 — 6/26 20. Uitgenodigd door de ELD om contact op te nemen met de DPO van AVIQ, nam klager nr. 1 op 30 mei 2021 voor het eerst contact op met verweerder. Klager nr. 2 deed hetzelfde in identieke bewoordingen op 31 augustus 2021. In hun brieven wijzen de klagers op de in punt 3 genoemde schendingen, met uitzondering van de vermeende schending van artikel 26 van de AVG, die zij in een volgende brief van 25 september 2021 aan de kaak stellen (punt 25). 21. Op 2 juli 2021 antwoordde AVIQ aan klager nr. 1. Wat de informatie en transparantie betreft, verwijst de verweerder klager nr. 1 naar een document met uitleg dat kan worden geraadpleegd op de website van Doclr in verband met de uitnodiging tot vaccinatie (er wordt een link verstrekt), en wat betreft de gegevens over de vaccinatie zelf, naar een document met uitleg op de website van Vaccinet (er wordt een link verstrekt). 22. Op 28 juli 2021 reageert klager nr. 1 op het antwoord van de verweerder: wat het transparantiebeginsel en zijn recht op informatie betreft (artikel 5.1.

1. a)artikel 12 en artikel 14 van de AVG), onderstreept klager nr. 1 dat de verweerder niet kan ontkennen dat de uitnodiging tot vaccinatie geen informatie bevat over de verwerking van zijn persoonsgegevens en dit in strijd met de genoemde artikelen van de AVG. 23. Op 31 augustus 2021 heeft AVIQ opnieuw gereageerd op klager nr. 1. 24. Voorts, met betrekking tot het verzoek dat klager nr. 2 op dezelfde datum van 31 augustus 2021 tot hem richtte, stuurt de verweerder hem diezelfde dag een ontvangstbevestiging, waarbij hij hem informeert dat voor vragen in verband met de uitoefening van een recht op het gebied van gegevensbescherming, hem binnen één maand antwoord zal worden gegeven. 25. Op 25 september 2021 reageert klager nr. 1 op het door de verweerder verstrekte antwoord en wijst daarbij nogmaals op het gebrek aan informatie, in strijd met het transparantiebeginsel en zijn recht op informatie (artikel 5.1.
2. a)en artikel 14 van de AVG), en onder verwijzing naar een door de verweerder verstrekte link naar "DOCRL" (punt 21), op het feit dat deze in ieder geval niet gemakkelijk toegankelijk is (in strijd met de overwegingen 39 en 58 van de AVG). Klager nr. 1 klaagde ook dat er volgens hem geen sprake was van een akkoord in de zin van artikel 26 AVG, zoals vereist in artikel 7.2 van het samenwerkingsakkoord. 26. Op 28 oktober 2021 heeft AVIQ bij monde van zijn algemeen administrateur aan klager nr. 1 geantwoord dat hij kennis heeft genomen van zijn laatste interpellatie van 25 september 2021. Hij gaf aan dat hij van mening was dat zijn vragen waren beantwoord via de verschillende antwoorden die hij eerder al had ontvangen. De conclusies van de partijen Beslissing ten gronde 64/202 — 7/26 27. Op 15 juli 2022 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder en de stukken van het dossier. Aangezien verweerder ook summiere conclusies heeft ingediend, volgt hierna in punt 32 e.v. een samenvatting van zijn volledige betoog. 28. Op 8 augustus 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klagers en de stukken van hun dossier. 29. De klagers klagen erover dat de verweerder hen, in strijd met de artikelen 12 en 14 van de AVG, niet de informatie heeft verstrekt met betrekking tot de vermeldingen in artikel 14 van de AVG, in het bijzonder omdat, zelfs in de veronderstelling dat het privacybeleid van DOCLR inderdaad toegankelijk was via de QR-code, de Vaccinnet-link, de knoppen "Boek een afspraak" of de URL-link die werd meegedeeld (wat de verweerder volgens hen niet kan aantonen) in de ontvangen brieven, e-mails en sms'jes, hen geen informatie werd verstrekt waarin werd gespecificeerd dat de genoemde informatie via deze middelen toegankelijk was. Dit geldt vooral voor de knop "Een afspraak maken" of de URL-link die ze moeten activeren als ze gevaccineerd willen worden, wat misschien niet hun keuze is. 30. Wat betreft de naleving van artikel 26 van de AVG zijn de klagers van mening dat AVIQ niet aantoont dat op het moment van verzending van de eerste uitnodiging tot vaccinatie (maart 2021) of op het moment van de daaropvolgende mailings (mei en juli 2021) de gezamenlijke verwerkingsverantwoordelijken waarvan zij deel uitmaakt, op grond van artikel 7.2 van het samenwerkingsakkoord en artikel 26 van de AVG een akkoord in de zin van laatstgenoemde bepaling hadden gesloten. Volgens hen is artikel 26 van de AVG daarom geschonden. 31. Ter ondersteuning van het voorgaande verzoeken klagers de Geschillenkamer de schendingen van artikel 5.1. a), 12, 14 en 26 van de AVG te bestraffen door middel van corrigerende maatregel(
3. en)en/of passende sanctie(s). In dit verband verzoeken zij de Geschillenkamer rekening te houden met de volgende elementen: - schending van de ingeroepen bepalingen een ernstig strafbaar feit vormt wanneer deze bepalingen essentiële gegevensbeschermingsbeginselen vastleggen of weerspiegelen; - Als overheidsinstantie heeft AVIQ zich als voorbeeld gedragen;een voorbeeldfunctie; - de AVG is sinds 25 mei 2018 van kracht en was dus ten tijde van de gebeurtenissen al meer dan 3 jaar van toepassing, inclusief de transparantie- en informatieverplichtingen (de ongekende gezondheidscrisis had hier volgens hen geen invloed op); - toen de tweede uitnodigingen werden verstuurd, heeft AVIQ, hoewel zij via zijn DPO op de hoogte was van de grieven van klagers, geen stappen ondernomen om klagers duidelijke en gemakkelijke toegang te verschaffen tot alle in artikel 14 van de AVG genoemde informatie, zoals vereist in artikel 12.1 van de AVG. Beslissing ten gronde 64/202 — 8/26 32. Op 30 augustus 2022 ontvangt de Geschillenkamer de conclusies van repliek en synthese van de verweerder. 33. De verweerder legde uit dat zijn privacybeleid altijd beschikbaar is geweest op de DOCLRsite vanaf het moment dat de eerste uitnodigingen naar elke betrokkene werden verzonden, zonder dat het nodig was om een afspraak te maken om gevaccineerd te worden om het te kunnen raadplegen. De verstrekte informatie bevat alle informatie die moet worden opgenomen in een privacybeleid krachtens artikel 14 van de AVG dat in dit geval van toepassing is. 34. Wat de gestelde schending van artikel 26 van de AVG betreft, stelt verweerder dat op 3 maart 2021 tussen de gezamenlijke verantwoordelijken voor de verwerking (waaronder AVIQ) een overeenkomst als vereist door artikel 26 van de AVG is gesloten op grond van artikel 7.2 van de samenwerkingsovereenkomst, dat wil zeggen voordat de uitnodigingen tot vaccinatie naar de klagers werden verzonden, en dat de hoofdlijnen van dit akkoord (het akkoord artikel 26 van de AVG) beschikbaar zijn in het "DOCLR Privacybeleid" dat door de genoemde gezamenlijke verwerkingsverantwoordelijken is opgesteld. 35. Verweerder concludeert daarom dat noch het transparantiebeginsel (artikel 5.1.
4. a)van de AVG), noch de artikelen 12, 14 en 26 van de AVG zijn geschonden. Ter ondersteuning van het voorgaande verzoekt zij de Geschillenkamer de klacht te verwerpen. Subsidiair is verweerder van mening dat indien de Geschillenkamer zou oordelen dat AVIQ de ingeroepen bepalingen geheel of gedeeltelijk heeft geschonden, quod non, zij rekening zou moet houden met de omstandigheden van het geval, te weten: de context van de gezondheidscrisis, die het bevoegdheidsgebied van AVIQ heeft verruimd; de actieradius van AVIQ, die in zeer korte tijd werd uitgebreid; het feit dat de strategische beslissingen aanvankelijk op een ander (hoger) bevoegdheidsniveau werden genomen en dat elke gefedereerde entiteit vervolgens de op federaal niveau gedefinieerde strategieën op identieke wijze ten uitvoer heeft gelegd; en tot slot de voortdurende zorg van AVIQ om blijk te geven van samenwerking, toewijding en transparantie ondanks een ongekende gezondheidssituatie waarmee geen enkele overheid ooit te maken heeft gehad. De hoorzitting van 30 januari 2024 36. Op 18 december worden de partijen in kennis gesteld van het feit dat de hoorzitting op 30 januari 2024 zal plaatsvinden.. 37. Op 30 januari 2024 worden de partijen door de Geschillenkamer gehoord. 38. Op 7 februari 2024 wordt het proces-verbaal van de hoorzitting aan de partijen toegezonden. Beslissing ten gronde 64/202 — 9/26 39. Op 12 februari 2024 ontving de Geschillenkamer van verweerder een aantal formele opmerkingen over de notulen, die overeenkomstig artikel 54.2.van de RIO bij de notulen werden gevoegd. II. Motivering II.1. Wat betreft de hoedanigheid van de partijen en andere betrokken entiteiten en de daaruit voortvloeiende verplichtingen 40. De Geschillenkamer merkt op dat artikel 7.1 van het samenwerkingsakkoord bepaalt dat de bevoegde gefedereerde entiteiten of de door de bevoegde gefedereerde entiteiten aangeduide agentschappen en de federale overheid elk binnen hun bevoegdheid optreden als verwerkingsverantwoordelijke voor de persoonsgegevens bedoeld in dit samenwerkingsakkoord. Artikel 7.1. stelt verder dat dit meer specifiek de volgende entiteiten of agentschappen zijn: 1° voor de personen die gevaccineerd worden op het grondgebied van het Vlaams Gewest of in een instelling in het tweetalige gebied Brussel-Hoofdstad die wegens zijn organisatie moet worden beschouwd als een instelling die uitsluitend behoort tot de Vlaamse Gemeenschap: het Agentschap Zorg en Gezondheid; 2° voor de personen waarvoor de Franse Gemeenschap bevoegd is: l’Office de la Naissance et de l’Enfance; 3° voor de personen waarvoor het Waals Gewest bevoegd is (zoals hier het geval is): l’Agence wallonne de la santé, de la protection sociale, du handicap et des famille, hetzij AVIQ, de verweerder; 4° voor de personen waarvoor de Gemeenschappelijke Gemeenschaps-commissie van Brussel-Hoofdstad bevoegd is : de Gemeenschappelijke Gemeenschapscommissie; 5° voor de personen waarvoor de Franse Gemeenschapscommissie van BrusselHoofdstad bevoegd is: de Franse Gemeenschapscommissie; 6° voor de personen waarvoor de Duitstalige Gemeenschap bevoegd is: Ministerium der Deutschsprächigen Gemeinschaft 7° voor de personen waarvoor de Federale Overheid bevoegd is: Sciensano. 41. Paragraaf 2 van artikel 7 vermeldt: "Sciensano, de bevoegde gefedereerde entiteiten en door de bevoegde gefedereerde entiteiten aangeduide agentschappen, ieder binnen diens bevoegdheidssfeer, bepalen op transparante wijze hun respectieve verantwoordelijkheden, met name wat betreft de uitoefening van de rechten van de betrokkene en het verstrekken van informatie. Hiertoe sluiten Sciensano, de bevoegde Beslissing ten gronde 64/202 — 10/26 gefedereerde entiteiten en door de bevoegde gefedereerde entiteiten aangeduide agentschappen een protocol af waarin de respectieve rollen en relaties van de gezamenlijke verwerkingsverantwoordelijken ten opzichte van den betrokkenen bepaald worden. De gezamenlijke verwerkingsverantwoordelijken stellen één enkel contactpunt binnen elke gefedereerde entiteit en binnen de federale overheid ter beschikking van de betrokkenen voor de uitoefening van hun rechten 3. 42. De Geschillenkamer bevestigt de kwalificatie van de opgesomde entiteiten, met inbegrip van verweerder, als gezamelijke verantwoordelijken, zoals bepaald in het samenwerkingsakkoord. Hij wijst erop dat het Hof van Justitie van de Europese Unie (HvJEU) in een recent arrest van 11 januari 2024 heeft verwezen naar de bevoegdheid van de wetgever om gezamenlijke verantwoordelijken in de wet aan te wijzen en dat deze classificatie dus wel degelijk kan voortvloeien uit de keuze van de wetgever 4. 43. Waar nodig wijst de Geschillenkamer er ook op, zoals het HvJEU onlangs heeft gesteld in antwoord op een prejudiciële vraag ter zake5, dat "niet (kan) worden verlangd dat er tussen deze verwerkingsverantwoordelijken een formele regeling bestaat over het doel van en de middelen voor de verwerking." (§ 44) om hen als gezamenlijke verwerkingsverantwoordelijken te kunnen aanmerken. Het Hof verduidelijkt dit als volgt "Het is juist dat de gezamenlijke verwerkingsverantwoordelijken krachtens artikel 26, lid 1, AVG, gelezen in het licht van overweging 79 van die verordening, hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening op transparante wijze vast dienen te stellen door middel van een onderlinge regeling. Het bestaan van een dergelijke regeling vormt echter geen voorafgaande voorwaarde om twee of meer entiteiten als gezamenlijke verwerkingsverantwoordelijken te kwalificeren, maar een verplichting die artikel 26, lid 1, AVG oplegt aan de gezamenlijke verwerkingsverantwoordelijken, zodra zij als verwerkingsverantwoordelijken zijn gekwalificeerd, teneinde de naleving van de uit hoofde van de AVG op hen rustende vereisten te verzekeren. Deze kwalificatie vloeit dus voort uit het enkele feit dat meerdere entiteiten hebben deelgenomen aan de vaststelling van het doel van en de middelen voor de verwerking" (§ 45). In het onderhavige geval beweert de verweerder dat een dergelijke overeenkomst is bereikt. 3 De Geschillenkamer onderstreept. 4 Zie punt 49 van het arrest " Belgisch Staatsblad " van het HvJ-EU van 11 januari 2024, C-231/22 - Belgische Staat tegen Gegevensbeschermingsautoriteit, ECLI:EU:C:2024:7 : Uit de punten 44 tot en met 48 van het onderhavige arrest volgt dat volgens artikel 26, lid 1, juncto artikel 4, punt 7, AVG het nationale recht kan bepalen dat verschillende actoren in een keten van verwerkingen van dezelfde persoonsgegevens gezamenlijk verantwoordelijk zijn, mits de verschillende verwerkingshandelingen de doelstellingen en middelen delen die het nationale recht in kwestie bepaalt en dit recht de respectieve verplichtingen van elk van de gezamenlijke verwerkingsverantwoordelijken vaststelt". 5 Zie §§ 44 en 45 van het arrest van het HvJ-EU van 5 december 2023, C-683/21, Nacionalinis visuomenės sveikatos centras, ECLI:EU:C:2023:949. Beslissing ten gronde 64/202 — 11/26 II.2. Ten aanzien van de vermeende schending van het transparantiebeginsel en de informatieplicht (artikelen 5.1. a), 12.1 en 14.1-2 van de AVG) en de verplichting om rechten te vergemakkelijken (artikel 12.2. van de AVG) II.2.1. Standpunt van de klagers 44. Wat betreft de eerste uitnodiging om gevaccineerd te worden (die, ter herinnering, volgens de partijen in maart 2021 werden verstuurd), klagen de klagers erover dat AVIQ geen melding maakt van het feit dat de betrokkene door te klikken op de vermelde internetlink (www.jemevaccine.
5. be)of door de QR-code op de brief te scannen, toegang zal krijgen tot alle informatie die wordt opgesomd in artikel 14, leden 1 en 2, van de AVG of, op zijn minst, dat de betrokkene door via de QR-code naar het DOCLR-platform te gaan (naar welk platform nergens rechtstreeks in de brief wordt verwezen), toegang zal krijgen tot de genoemde informatie. Concreet klagen de klagers erover dat er geen informatie op de brief staat die direct toegankelijk is, of zelfs maar indirect toegankelijk is door te verwijzen naar een link of andere informatie waarvan de inhoud wordt aangekondigd. 45. Wat betreft de daaropvolgende uitnodigingen in mei en juli 2021, ontvangen in de vorm van zowel e-mails als sms-berichten, klagen de klagers dat AVIQ op dezelfde manier geen directe informatie "verstrekt" over de uitgevoerde gegevensverwerking, a fortiori als de persoon zich niet wil laten vaccineren. Alleen door te klikken op de knop "Maak een afspraak" (brief) of door te klikken op de vermelde URL als de knop "Maak een afspraak" niet werkte (brief) of op de ontvangen URL (per sms) zou de betrokkene toegang hebben (quod non, volgens de klagers - zie hieronder) tot het DOCLR-platform, waarop een "privacy" link hen zou leiden naar de vereiste informatie. 46. Concluderend zijn de klagers van mening dat AVIQ niet de door de AVG vereiste informatie heeft "verstrekt" (de betrokkene hoefde niet te raden of te zoeken of hij wel of niet gevaccineerd wilde worden), hetgeen in strijd is met de artikelen 12 en 14 van de AVG. 47. In het licht van alle ontvangen uitnodigingen voegen de klagers daaraan toe dat AVIQ in ieder geval niet heeft aangetoond dat indien de klagers na ontvangst van de uitnodigingen het DOCLR-platform hadden bezocht, ook al wilden zij zich niet laten vaccineren, zij in staat zouden zijn geweest om het bestaan van de "privacy"-link vast te stellen en toegang te krijgen tot de informatie als bedoeld in artikel 14 van de AVG door daarop te klikken. Volgens de klagers bestond deze link eenvoudigweg niet. 48. Wat de inhoud van de informatie betreft, stellen de klagers dat AVIQ niet meer kan bewijzen tot welke concrete informatie elke klager toegang zou hebben gehad als hij het DOCLR-platform had bezocht en op de link "privacy" had geklikt (voor zover deze link bestond, quod non (zie hierboven)). Enerzijds wijzen klagers erop dat wanneer zij op de DOCLR-link klikken die AVIQ in haar e-mail van 31 augustus 2021 in reactie op de Beslissing ten gronde 64/202 — 12/26 interpellatie van klager nr. 1 heeft verstrekt, het de inhoud van een document met de titel "Beveiligingsbeleid voor de online-uitnodigingsaanvraag". is die verschijnt en niet het DOCLR - privacybeleid vaccinaties van AVIQ. Bovendien is het document "DOCLR privacybeleid - vaccinaties " dat door AVIQ als bewijs is overgelegd, de versie die is bijgewerkt op 4 augustus 2021, dat wil zeggen een document dat dateert van enkele maanden na elk van de uitnodigingen om te vaccineren die in maart, mei en juli 2021 naar de klagers zijn gestuurd. 49. Tot slot klaagden de klagers er tijdens de hoorzitting op 30 januari 2024 over dat de contactgegevens van de DPO van AVIQ op geen van de uitnodigingen voor vaccinatie die hen waren toegezonden stonden vermeld. II.2.2. Standpunt van de verweerder 50. Zoals reeds vermeld, stelt de verweerder dat het privacybeleid van DOCLR altijd beschikbaar is geweest op de website van het platform met dezelfde naam. Hij benadrukt dat dit privacybeleid voor iedereen toegankelijk is. Iedereen kan het vrij raadplegen, ongeacht of hij wel of niet gevaccineerd wilde worden. Toegang tot de vaccinatiedienst is niet afhankelijk van het maken van een afspraak. 51. De verweerder voegt eraan toe dat de eerste versie van het privacybeleid dateert van 18 februari 2021 en beschikbaar was voordat de uitnodigingen in maart, mei en juli 2021 naar de klagers werden verzonden. In dit verband zijn er twee versies van het privacybeleid opgesteld (waarvan er een is bijgewerkt op 4 augustus 2021), wat het verschil tussen de twee documenten verklaart, waarvan de verweerder stelt dat de inhoud altijd in wezen identiek is geweest. 52. Hij wijst er ook op dat het privacybeleid alle informatie bevat die moet worden opgenomen in een privacybeleid krachtens artikel 14 van de in dit geval toepasselijke AVG. 53. Tot slot hadden de betrokkenen volgens de verweerder voldoende gelegenheid om de gegevensverwerking in het kader van de aan hen verzonden uitnodiging tot vaccinatie te begrijpen en om zo nodig vragen te stellen aan de verwerkingsverantwoordelijken door de in die uitnodigingen vermelde DOCLR-website te raadplegen, met inachtneming van het transparantiebeginsel. Volgens verweerder zijn klagers tijdig op de hoogte gesteld van de informatie over de verwerking van hun gegevens in het kader van de uitnodiging tot vaccinatie overeenkomstig de artikelen 12 en 14 van de AVG. II.2.3. Standpunt van de Geschillenkamer 54. De Geschillenkamer wijst erop dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van het transparantiebeginsel dat is vastgelegd in artikel 5.1.a), van de Beslissing ten gronde 64/202 — 13/26 AVG, evenals de verplichting om de betrokkenen te informeren op grond van artikel 14 van de AVG in geval van onrechtstreekse verzameling van gegevens die op hen betrekking hebben, zoals in dit geval. Artikel 14 moet ook worden toegepast in combinatie met artikel 12 van de AVG. 55. De bewoordingen van zowel artikel 5.2 van de AVG ("de verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”).- als van artikel 14 van de AVG ("Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie: (...) ") zijn hier eenduidig over. 56. In het geval van gezamenlijke verantwoordelijkheid, zoals in dit geval, is het aan de gezamenlijke verwerkingsverantwoordelijken om samen te bepalen wie welke taken moet uitvoeren om ervoor te zorgen dat de verwerking voldoet aan de vereisten van de AVG. Het doel van deze eis is ervoor te zorgen dat, wanneer er meerdere spelers bij betrokken zijn zoals in dit geval, met name in complexe gegevensverwerkingsomgevingen, de verantwoordelijkheid voor de naleving van de gegevensbeschermingsregels duidelijk wordt verdeeld om te voorkomen dat de bescherming van persoonsgegevens wordt beperkt of dat een negatief bevoegdheidsconflict leidt tot mazen in de wet waardoor een van de bij de verwerking betrokken partijen bepaalde verplichtingen niet nakomt. Deze verantwoordelijkheden moeten worden toegewezen op basis van de feitelijke omstandigheden van het geval om tot een operationele overeenkomst te komen 6. 57. Artikel 26.1 van de AVG laat de verwerkingsverantwoordelijken toe om op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen krachtens de AVG vast te stellen, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken. 58. Uit deze bepaling blijkt duidelijk dat de gezamenlijke verwerkingsverantwoordelijken moeten bepalen wie verantwoordelijk wordt voor het beantwoorden van verzoeken van betrokkenen wanneer zij hun rechten op grond van de AVG uitoefenen, maar ook voor het verstrekken van de in de artikelen 13 en 14 van de verordening bedoelde informatie. Het gebruik in deze bepaling van de zinsnede " met name " geeft aan dat de verplichtingen die onderworpen zijn aan verdeling niet uitputtend zijn. Het strekt zich uit tot de andere verplichtingen van de verwerkingsverantwoordelijke onder de AVG (zie hieronder en de punten 164 en 165 van de Richtsnoeren). 6 Europees Comité voor Gegevensbescherming, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/202310/edpb guidelines 202007 controllerprocessor final nl.pdf (punten 161 en volgende). Beslissing ten gronde 64/202 — 14/26 59. Ingevolge artikel 7.2. van het voornoemde samenwerkingsakkoord hebben verweerder en de 7 andere betrokken entiteiten, zoals eerder vermeld, een overeenkomst ondertekend om uitvoering te geven aan artikel 26 van de AVG. Artikel 2 van dit " akkoord art. 26 van de AVG " specificeert dus in zijn versie 1.0. ten tijde van de feiten van toepassing was, dat het doel ervan is " de omschrijving van de rollen en verantwoordelijkheden van de verschillende verwerkingsverantwoordelijken ten aanzien van de betrokkenen in het kader van de verwerking van persoonsgegevens met betrekking tot de organisatie en registratie van COVID-19' vaccinaties "alsmede" de wijze waarop zij hun gezamenlijke en respectieve verplichtingen nakomen om de naleving van de AVG te waarborgen". 60. De Geschillenkamer merkt op dat artikel 4.7. van dit "akkoord art. 26 AVG " bepaalt dat betrokkenen van verwerkingen de vereiste informatie binnen de vereiste termijnen zullen ontvangen wanneer deze gegevens niet, zoals in dit geval, rechtstreeks en in overeenstemming met de artikelen 12 en 14 AVG bij hen zijn verzameld. Hetzelfde artikel 4.7. specificeert dat in dit geval deze informatie op verschillende manieren zal worden verstrekt. Een daarvan bepaalt dat "de webapplicatie waarop burgers of hun vertegenwoordigers vaccinatiecodes kunnen activeren, zal voorzien in een privacyverklaring die kan geraadpleegd worden op Doclr". Op de website van Vaccinnet zal een gezamenlijke privacyverklaring worden gepubliceerd in het Frans en het Nederlands (www.vaccinnet.be). ). 61. Om te kunnen concluderen dat verweerder artikel 14 van de AVG heeft nageleefd of geschonden, moet de Geschillenkamer zich ervan vergewissen dat de in de leden 1 en 2 7 opgesomde informatie daadwerkelijk aan de betrokkene is verstrekt als bedoeld in artikel 14 van de AVG. 62. In de richtsnoeren van het Europees Comité voor gegevensbescherming (EDPB) inzake transparantie 8 staat in punt 33 : "het sleutelwoord hier is “verstrekken”. Dit betekent dat de verwerkingsverantwoordelijke actief stappen moet ondernemen om de informatie in kwestie aan de betrokkene te bezorgen of de betrokkene actief naar de locatie van de informatie te dirigeren (bv. door middel van een rechtstreekse link, een QR-code, enz.). . Het moet niet zo zijn dat de betrokkene actief naar de door deze artikelen bestreken informatie 7 Zoals bepaald in de richtsnoeren inzake transparantie van het Europees Comité voor gegevensbescherming (EDPS), is de GBA - via haar Geschillenkamer - van mening dat zowel de in lid 1 als in lid 2 van artikel 14 van de AVG opgesomde gegevens, voor zover relevant voor de uitgevoerde verwerkingen, aan de betrokkene moeten worden verstrekt. Werkgroep "Artikel 29", Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP 260 van 11 april 2018 (punt 23), https://www.autoriteitpersoonsgegevens.nl/uploads/imported/wp260rev01 nl.pdf overgenomen door de EDPS tijdens zijn inaugurele vergadering op 25 mei 2018. https://www.edpb.europa.eu/our-work-tools/general-guidance/endorsed-wp29guidelines en 8 "Artikel 29", Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP 260 van 11 april 2018 (punt 33), https://www.autoriteitpersoonsgegevens.nl/uploads/imported/wp260rev01 nl.pdf overgenomen door de EDPS tijdens zijn inaugurele vergadering op 25 mei 2018. https://www.edpb.europa.eu/our-work-tools/general-guidance/endorsed-wp29guidelines en Beslissing ten gronde 64/202 — 15/26 moet zoeken te midden van andere informatie, zoals gebruiksvoorwaarden van een website of een app". 63. In het onderhavige geval is de Geschillenkamer van oordeel dat, ongeacht of het privacybeleid daadwerkelijk ter inzage lag op de datum van ontvangst van de uitnodigingsbrieven, dan wel wat de inhoud van het privacybeleid (raadpleegbare versie) op die beide data was (hetgeen de Geschillenkamer uit de stukken van het dossier niet kan opmaken - zie hieronder), dat verweerder de in de leden 1 en 2 van dat artikel opgesomde informatie niet -als bedoeld in artikel 14 AVG - aan klagers heeft verstrekt. 64. De Geschillenkamer merkt op dat geen van de uitnodigingsbrieven, e-mails of smsberichten die aan de klagers zijn verzonden, expliciet vermeldt dat de betrokkene, door het scannen van de QR-code die aanwezig is op de papieren brieven of door te klikken op de knop " Maak een afspraak " of door te klikken op de URL die is vermeld op zowel de papieren brieven als de sms-berichten, toegang krijgt tot informatie met betrekking tot de gegevensverwerking die op hem betrekking heeft, met inbegrip van de verwerking die heeft geleid tot de ontvangen uitnodiging. 65. Zelfs in de veronderstelling, zoals verweerder stelt, dat de QR-code verwijst naar het op dat moment geldende privacybeleid van DOCLR en dat de toegang daartoe niet afhankelijk is van het maken van een afspraak om te worden gevaccineerd, is er bij het lezen van de per post ontvangen uitnodiging geen aanwijzing dat de betrokkene een dergelijk privacybeleid achter de QR-code zal vinden. Integendeel, in de brief staat dat afspraken kunnen worden gemaakt door de QR-code te scannen. Hetzelfde geldt voor de eenvoudige vermelding van de website www.vaccinnet.be, die wordt vermeld als link voor het maken van een afspraak. 66. Dit is ook het geval voor de knop of URL "Maak een afspraak" die in e-mails en smsberichten wordt vermeld, met dezelfde verzwarende omstandigheid dat a priori en bij afwezigheid van een indicatie van het type waarnaar in de punten 64-65 hierboven wordt verwezen, redelijkerwijs kan worden aangenomen dat de ontvanger van de uitnodiging niet op deze knop of URL zal klikken als hij niet van plan is zich te laten vaccineren. Er zijn geen aanwijzingen dat via deze kanalen informatie over gegevensverwerking beschikbaar is. In dit verband is de Geschillenkamer niet onkundig van de bewoordingen van artikel 4.7. van het reeds aangehaalde "akkoord art. 26 AVG", waarin uitdrukkelijk is bepaald dat met name " via de webapplicatie waarop burgers of hun vertegenwoordigers de vaccinatiecodes9 kunnen activeren» ,de informatie zal worden verstrekt". Deze omstandigheid weerhield de verweerder er echter niet van om aanvullende, rechtstreeks toegankelijke informatie te verstrekken. 9 De Geschillenkamer onderstreept. Beslissing ten gronde 64/202 — 16/26 67. Met andere woorden, de Geschillenkamer stelde vast dat verweerder geen stappen had ondernomen om de betrokkenen (in dit geval de klagers) rechtstreeks te informeren of hen actief te verwijzen naar de informatie die wordt vereist door artikel 14 van de AVG. Hij heeft dus geen informatie verstrekt zoals bedoeld in deze bepaling. 68. De Geschillenkamer concludeert dan ook dat verweerder niet heeft voldaan aan zijn informatieplicht als bedoeld in de artikelen 14.1 en 14.2 van de AVG.. 69. De Geschillenkamer besluit dat dit verzuim gepaard gaat met het niet naleven van de artikelen 5.1. a), 12.1. en 12.2. van de AVG.. 70. Door de vereiste informatie niet te verstrekken en geen rechtstreekse en duidelijk bericht te geven die de betrokkenen actief daar naar toe leiden heeft verweerder ook niet voldaan aan het transparantiebeginsel van artikel 5.1.a), van de AVG en van artikel 12.1 van de AVG. Het gaat hier niet om de kwaliteit van de inhoud van de informatie (zie hieronder) ; het gaat om de toegankelijkheid. 71. De Geschillenkamer betreurt verder, niettegenstaande de bewoordingen van artikel 4.7. van " het akkoord art. 26 AVG" hierboven geciteerd, dat het privacybeleid waarop verweerder zich heeft gebaseerd en die hij heeft overgelegd, getiteld was " Privacybeleid DOCLR - vaccinaties". De titel van het privacybeleid suggereert (of kan in ieder geval suggereren) dat het hier gaat om privacybeleid van het DOCLR-platform. De titel kan de lezer misleiden of verwarren in een toch al complexe context van gegevensverwerking. Het DOCLR platform is niet de verwerkingsverantwoordelijke en de betrokkenen hebben geen contact met het platform. De betrokken personen, zoals de klagers, ontvangen overigens een brief met briefhoofd van de verweerder. 72. De Geschillenkamer begrijpt weliswaar dat deze titel verband houdt met het feit dat, zoals verweerder in zijn conclusies en ter hoorzitting heeft uiteengezet, alle betrokken entiteiten die gezamenlijk verwerkingsverantwoordelijk waren, ervoor hebben gekozen om de informatie beschikbaar te stellen op het DOCLR-platform, dat zij allen als hun gezamenlijke verwerker hadden gekozen. Onder de voorwaarden van dit privacybeleid worden de gezamenlijke verwerkingsverantwoordelijken ook geïdentificeerd onder de rubriek "Wie is verantwoordelijk voor de verwerking van uw persoonsgegevens? "DOCLR wordt geclassificeerd als een verwerker in de rubriek " Verwerkers ". 73. De Geschillenkamer benadrukt dat bijzondere aandacht moet worden besteed aan de kwaliteit van de boodschap die wordt overgebracht door de titel van een document en aan het vermijden van elk risico op verwarring over de reikwijdte ervan. De titel van zo'n document is de toegangspoort, en zeker bij een elektronisch document waarvan de URL de titel van het document zelf weergeeft. Beslissing ten gronde 64/202 — 17/26 74. Artikel 12.2 van de AVG is ook niet nageleefd door verweerder, aangezien door het niet verstrekken van de in artikel 14. 1-2 van de AVG opgesomde informatie, de uitoefening van hun rechten door betrokkenen mogelijk in het gedrang komt, aangezien zij noch over deze rechten, noch over de procedures voor de uitoefening ervan bij de verwerkingsverantwoordelijke worden geïnformeerd. 75. Bovendien zijn de contactgegevens van de functionaris voor gegevensbescherming van verweerder nergens te vinden op de uitnodigingen. De toegankelijkheid van de DPO is een belangrijke factor in de uitoefening van de rechten van de betrokkenen. In absolute zin is het zeker niet het enige kanaal om deze rechten uit te oefenen, maar in dit geval stelt het privacybeleid expliciet dat betrokkenen die onder de jurisdictie van het Waalse Gewest vallen, zoals klagers, contact moeten opnemen met de DPO van AVIQ om hun rechten uit te oefenen. Daarom had zijn contactadres direct en zichtbaar op de uitnodigingen moeten staan (zonder gebruik te maken van QR-codes, knoppen voor het maken van afspraken of andere URL's die verwijzen naar het privacybleid). 76. Concluderend op dit punt, heeft verweerder daarom " de uitoefening van de rechten die de betrokkene krachtens de artikelen 15 tot en met 22 heeft "niet vergemakkelijkt, wat in strijd is met artikel 12.2 van de AVG. 77. Naast bovenstaande vaststellingen van schending merkt de Geschillenkamer op dat verweerder het privacybeleid dat van kracht was ten tijde van de gelaakte gebeurtenissen niet heeft overgelegd. Alleen de bijgewerkte versie van augustus 2021 is als bijlage ingediend. De verweerder verwijst wel naar een e-mail aan klager nr. 1, waarin hiernaar wordt verwezen. De klagers betwisten dat de verstrekte link verwijst naar het genoemde privacybeleid. Zonder de goede trouw van elk der partijen in twijfel te trekken, moet de Geschillenkamer vaststellen dat deze verwijzing door de AVIQ naar een link in een verzonden brief onvoldoende aantoont dat er op die datum sprake was van dit privacybeleid.. 78. De Geschillenkamer wijst er in dit verband op dat de verwerkingsverantwoordelijke op grond van artikel 5.2 en artikel 24 AVG moet kunnen aantonen dat hij de bepalingen van de AVG naleeft en daartoe technische en organisatorische maatregelen moet treffen. De beschikbaarheid van documentatie waaruit deze naleving blijkt, is in dit opzicht essentieel. De opeenvolgende versies van een zo belangrijk document als het privacybeleid, de data waarop het beschikbaar werd gesteld en eventuele wijzigingen zijn in dit opzicht essentieel om naleving in de loop der tijd aan te tonen. Het is niet ongewoon dat relatief oude feiten bij de GBA in behandeling worden genomen. De verjaringstermijn is 5 jaar vanaf de datum waarop de feiten zijn gepleegd (artikel 105 van de WOG). 79. Tot slot merkt de Geschillenkamer op dat zij, zoals gezegd, alleen beschikt over de versie van het privacybeleid die op 4 augustus 2021 is bijgewerkt. Strikt genomen kan zij dus geen Beslissing ten gronde 64/202 — 18/26 onderzoek doen naar de kwaliteit van het privacybeleid dat beschikbaar zou zijn geweest op het moment dat de uitnodigingen tot vaccinatie in maart, mei en juli 2021 aan de klagers werden verstuurd. 80. De Geschillenkamer tracht hieronder echter na te gaan of de elementen van zowel artikel 14.1. AVG als artikel 14.2 AVG hierin zijn opgenomen omdat dit tot vandaag nog steeds van toepassing is. 81. De Geschillenkamer merkt dus op dat de identiteit en de contactgegevens van de verwerkingsverantwoordelijken (artikel 14.1.
6. a)van de AVG) (rubriek "Wie is de verwerkingsverantwoordelijke van uw persoonsgegevens ? ") worden vermeld, evenals de contactgegevens van de functionaris voor gegevensbescherming (artikel 14.1.
7. b)van de AVG) : aangezien verweerder een overheidsinstantie is, is hij in feite verplicht er een aan te stellen op grond van artikel 37.1.a), van de AVG. 82. Zoals vereist door artikel 14.1.
8. c)van de AVG, zullen de doeleinden van de verwerking waarvoor de persoonsgegevens bestemd zijn (rubriek "voor welke doeleinden verzamelen, verwerken en bewaren wij uw persoonsgegevens ? " evenals onder de rubriek "voor welke andere doeleinden gebruiken wij uw persoonsgegevens ? ") en de rechtsgrondslag voor de verwerking worden gespecificeerd ("rubriek " Wat is de rechtsgrondslag voor deze gegevensverwerking ? "). Het doel van de uitnodiging tot vaccinatie wordt bekendgemaakt en er wordt verwezen naar artikel 6.1.
9. e)van de AVG ("algemeen belang of uitoefening van openbaar gezag") en artikel 9.2.
10. i)van de AVG, evenals naar het eerder genoemde samenwerkingsakkoord. In dit verband wijst de Geschillenkamer erop dat het privacybeleid zowel een van de rechtmatigheidsgronden in artikel 6 van de AVG adequaat bestrijkt in combinatie met, zoals het HvJ-EU vereist voor de verwerking van gevoelige gegevens (waaronder gegevens met betrekking tot de gezondheid), de relevante hypothese van het opheffen van het verwerkingsverbod van artikel 9.2. van de AVG wanneer gegevens met betrekking tot vaccinatie worden verwerkt (ontvangen vaccin). Meer in het bijzonder merkte de Geschillenkamer nog op dat het privacybeleid niet slechts melding maakt van artikel 6.1.
11. e)juncto artikel 9.2.
12. i)AVG, maar de norm specificeert waarop de taak van algemeen belang in de zin van genoemd artikel 6.1.
13. e)AVG is gebaseerd, waardoor het informatievereiste volledige werking krijgt. 83. Voor het overige zijn de vermeldingen die worden vereist door artikel 14.1.
14. d)van de AVG (de betrokken categorieën persoonsgegevens) en artikel 14.1.e)van de AVG (indien van toepassing, de ontvangers of categorieën ontvangers van de persoonsgegevens) ook aanwezig onder respectievelijk de rubrieken " Welke persoonsgegevens worden verwerkt ? " en " Wij delen uw gegevens met de volgende instanties". Aangezien er geen melding wordt gemaakt van artikel 14.1.
15. f)van de AVG, concludeert de Geschillenkamer dat Beslissing ten gronde 64/202 — 19/26 er geen gegevens worden doorgegeven buiten de Europese Unie of de Europese Economische Ruimte (EER). 84. Wat betreft de vermeldingen in artikel 14.2. van de AVG, is de volgende informatie opgenomen in het privacybeleid. Hoe lang de gegevens worden bewaard, staat vermeld onder de rubriek " Hoe lang bewaren wij uw persoonsgegevens ? (artikel 14.2.
16. a)van de AVG), door verwijzing naar een berekenbare periode. De rechten die de betrokkene geniet, worden opgesomd onder de rubriek " Wat zijn uw rechten " en geformuleerd op een manier die voor iedereen begrijpelijk is (Artikel 14.2.
17. c)van de AVG). Bij wijze van voorbeeld, in plaats van simpelweg de rechten op te sommen die in de AVG staan, voorziet de tekst in toegankelijkere formuleringen zoals " Uw gegevens zijn niet juist?" In dat geval moeten we ze corrigeren". Logischerwijs bevat de lijst niet het recht op overdraagbaarheid, aangezien dit niet van toepassing is (artikel 20.3 van de AVG). Het contactadres voor het uitoefenen van deze rechten wordt ook vermeld. Het privacybeleid bevat verder een rubriek gewijd aan " Hoe een klacht in te dienen " (artikel 14.2.
18. e)van de AVG) en de bron van de gegevens (artikel 14.2.
19. f)van de AVG) wordt gespecificeerd met betrekking tot de verschillende categorieën van verwerkte gegevens. Onder de rubriek "Welke gegevens worden verwerkt " staat bijvoorbeeld dat de gegevens van de betrokkenen afkomstig zijn uit het Rijksregister van natuurlijke personen en ziekenfondsen. Aangezien de betreffende verwerkingen niet zijn gebaseerd op artikel 6.1.
20. f)van de AVG of artikel 6.1.
21. a)van de AVG, zijn de bepalingen van artikel 14.2.
22. b)en
23. d)van de AVG niet opgenomen. Evenmin is er sprake van een geautomatiseerd besluit op grond van artikel 14.2.
24. g)van de AVG, en er wordt derhalve geen geautomatiseerd besluit op grond van artikel 22 van de AVG genomen. 85. Concluderend op dit punt van de inhoud van het privacybeleid is de Geschillenkamer van oordeel dat het in de versie van 4 augustus 2021 lijkt te voldoen aan de vereisten van artikel 14 gelezen in samenhang met artikel 12.1 AVG. Deze laatste vaststelling doet echter geen afbreuk aan de vaststelling van schending van artikel 14. 1-2, en de artikelen 5.1.a), 12.1 en 12.2 van de AVG, zoals uiteengezet in de punten 63-77 hierboven, aangezien verweerder de vereiste informatie niet op bevredigende wijze aan de betrokkenen heeft verstrekt. II.3. Wat betreft de vermeende inbreuk op artikel 26 van de AVG. II.3.1. Standpunt van de klagers 86. De klagers stellen dat AVIQ artikel 26 van de AVG heeft geschonden doordat zij het volgende heeft nagelatend, hoewel het daartoe verplicht was op grond van artikel 7.2 van voornoemd samenwerkingsakkoord : (
25. a)haar verplichtingen met het oog op de naleving van de vereisten van de AVG heeft vastgelegd door middel van een akkoord in de zin van Beslissing ten gronde 64/202 — 20/26 artikel 26 van de AVG en, a fortiori, (
26. b)de grote lijnen van dit akkoord openbaar heeft gemaakt aan de betrokkenen. 87. Het argument van de klagers is gebaseerd op het feit dat het akkoord ten minste pas na de eerste uitnodiging in maart 2021 is ondertekend en dat het zelfs niet zeker is dat het daarna heeft bestaan, omdat, als dat wel het geval was geweest, de brieven van verweerder ernaar zouden hebben verwezen, wat niet het geval was. II.3.2. Standpunt van de verweerder 88. AVIQ is van mening dat zij ondubbelzinnig heeft aangetoond dat een dergelijk akkoord inderdaad op 3 maart 2021 is gesloten tussen de gezamenlijke verwerkingsverantwoordelijken op grond van artikel 7.2 van het samenwerkingsakkoord, dat wil zeggen voordat de vaccinatie-uitnodigingen in maart, mei en juli 2021 naar de klagers zijn verstuurd ("het akkoord art. 26 AVG"). 89. AVIQ is ook van mening dat het kan aantonen dat de hoofdlijnen van deze " overeenkomst art. 26 van de AVG" beschikbaar zijn in het reeds geciteerde DOCLR privacybeleid (zie hierboven) : door het meedelen van de informatie met betrekking tot " het akkoord art. 26 van de AVG" tussen de gezamenlijke verantwoordelijken door middel van de publicatie van het DOCLR privacybeleid, en is het AVIQ van mening dat het de hoofdlijnen van dit tussen de gezamelijke verwerkingsverantwoordelijken gesloten "akkoord art. 26 van de AVG" op geldige wijze heeft meegedeeld. 90. Concluderend stelt AVIQ dat er geen sprake is van schending van artikel 26 AVG en verzoekt zij deze grief te seponeren. II.3.3. Standpunt van de Geschillenkamer 91. De Geschillenkamer heeft al aangegeven dat verweerder op grond van artikel 7.2 van het samenwerkingsakkoord een regeling in de zin van artikel 26 AVG had overgelegd, die ten minste voorziet in de uitoefening van de rechten van betrokkenen en de verstrekking van informatie met betrekking tot gegevensverwerking (Titel I en Titel II.1). 92. Zoals hierboven vermeld, betwisten de klagers het bestaan van een dergelijk akkoord op basis van de datum waarop het werd ondertekend en het feit dat het niet bestond op de datum van de ten laste gelegde feiten. 93. De Geschillenkamer merkt op dat het door verweerder overgelegde document, bestaande uit versie 1.0 van "het akkoord op grond van art. 26 AVG", op pagina 16 vermeldt "Gedaan te Brussel in 8 exemplaren, op 3 maart 2021"10. Het akkoord bevat vervolgens de elektronische 10 Of op een datum die zelfs voorafgaat aan het samenwerkingsakkoord dat het uitvoert. Beslissing ten gronde 64/202 — 21/26 handtekeningen van de verschillende ondertekenaars, waarbij de handtekening voor AVIQ dateert van 11 april 2021. Bovendien zijn de eerste uitnodigingen, waarover de Geschillenkamer zich heeft kunnen buigen, niet gedateerd en zijn de partijen overeengekomen deze in de loop van maart te plaatsen zonder precieze datum. 94. De verwijzing naar het sluiten van het akkoord " artikel 26 van de AVG " op 3 maart 2021, de specifieke omstandigheden van de pandemie en de tijd die nodig was om de verschillende handtekeningen te verzamelen (deze liepen van 11 april tot 18 mei) zijn allemaal factoren die de Geschillenkamer ertoe brengen geen schending van artikel 26.1 van de AVG vast te stellen op grond van het beweerde ontbreken van een dergelijk akkoord bij verweerder. 95. Wat betreft de inhoud van dit akkoord "art. 26 van de AVG", werd dit punt niet besproken door de partijen. De Geschillenkamer zal zich hieronder beperken tot het in herinnering brengen van de elementen die een dergelijk akkoord als bedoeld in artikel 26.1. van de AVG moet bevatten. 96. Zoals de EDPS in zijn bovenvermelde Richtsnoeren 11 heeft benadrukt, omvatten de maatregelen die zijn genomen om naleving te waarborgen en de daarmee samenhangende verplichtingen waarmee gezamenlijke verwerkingsverantwoordelijken rekening moeten houden bij het bepalen van hun respectieve verplichtingen (naast de maatregelen waarnaar specifiek wordt verwezen in artikel 26.1 onder meer met inbegrip van, maar niet beperkt tot (paragraaf 166 e.v.) de richtlijnen) : a. Toepassing van de algemene beginselen van gegevensbescherming (artikel 5) b. Rechtsgrond voor de verwerking (artikel 6) c. De Beveiligingsmaatregelen (artikel 32) d. Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit en de betrokkene (artikelen 33 en 34) e. Gegevensbeschermingseffectbeoordeling (Art. 35) f. Indienstneming van een verwerker (artikel 28) g. Doorgiften van gegevens naar derde landen (Hoofdstuk V) h. Contacten organiseren met betrokkenen en toezichthoudende autoriteiten. 97. Zodra een dergelijke overeenkomst in de zin van artikel 26.1 van de AVG is gesloten, voegt artikel 26.2 van de AVG daaraan toe dat "(...) de wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld 12». Het is niet voldoende dat de gezamenlijke 11 Europees Comité voor Gegevensbescherming, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/202310/edpb guidelines 202007 controllerprocessor final nl.pdf (punten 202007 en volgende). 12 De Geschillenkamer onderstreept. Beslissing ten gronde 64/202 — 22/26 verwerkingsverantwoordelijken onderling een akkoord bereiken ; de betrokkenen moeten ook op de hoogte worden gesteld van de verdeling die zij hebben georganiseerd. 98. In dezelfde richtsnoeren stelt de EDPS in punt 179 dat artikel 26.2 van de AVG ervoor moet zorgen dat de betrokkene op de hoogte is van de "wezenlijke inhoud van de regeling", zodat hij weet welke verwerkingsverantwoordelijke waarvoor verantwoordelijk is. Zo moet de betrokkene bijvoorbeeld precies weten welke verwerkingsverantwoordelijke het contactpunt is voor het uitoefenen van zijn rechten (ongeacht het feit dat hij deze rechten kan uitoefenen ten aanzien van en tegen elk van de gezamenlijke verwerkingsverantwoordelijken). 99. De AVG specificeert niet wat wordt bedoeld met "wezenijke inhoud van de regeling" of hoe de informatie beschikbaar moet worden gesteld aan betrokkenen. 100. De manier waarop deze informatie aan de betrokkene wordt meegedeeld, wordt niet nader gespecificeerd. In tegenstelling tot andere bepalingen van de AVG (zoals artikel 30.4. voor het register van de verwerkingsactiviteiten of artikel 40.11 voor het register van goedgekeurde gedragscodes), stelt artikel 26.2 van de AVG niet dat verstrekking "op verzoek" moet plaatsvinden of dat "passende openbaarmaking" moet worden gegarandeerd. Daarom is het aan de gezamenlijk verwerkingsverantwoordelijken om te beslissen over de meest effectieve manier om de hoofdlijnen van het akkoord beschikbaar te stellen aan betrokkenen (bijvoorbeeld samen met de informatie waarnaar wordt verwezen in artikel 13 of 14, in het privacybeleid of op verzoek van de functionaris voor gegevensbescherming, indien aanwezig, of van een ander aangewezen contactpunt) (punt 181 van de Richtsnoeren). 101. De Geschillenkamer is van oordeel dat verweerder zich niet kan beperken tot het aanvoeren dat hij via zijn vrij toegankelijke privacybeleid de hoofdlijnen van "het akkoord art. 26 van de AVG" op grond van artikel 26.2. AVG aan de betrokkene ter beschikking heeft gesteld. 102. In dit verband herinnert de Geschillenkamer eraan dat zij hierboven heeft geconcludeerd dat AVIQ niet aannemelijk heeft kunnen maken dat zij de informatie uit haar privacybeleid op de juiste wijze aan de betrokkenen heeft verstrekt, of zelfs dat dit privacybeleid daadwerkelijk ter inzage heeft gelegen op de datum van verzending van de uitnodigingen om gevaccineerd te worden. Bijgevolg oordeelde de Geschillenkamer dat laatstgenoemde niet heeft voldaan aan artikel 14.1-2 en de artikelen 5.1. a), 12.1 en 12.2 van de AVG. 103. Dienovereenkomstig beslist de Geschillenkamer dat verweerder ook artikel 26.2 van de AVG heeft geschonden. 104. wat betreft de "wenzenlijke inhoud van de regeling" nog steeds in de zin van artikel 26.2 van de AVG (inhoud), herinnert de Geschillenkamer eraan dat de EDPS aanbeveelt dat deze Beslissing ten gronde 64/202 — 23/26 ten minste alle elementen van de in de artikelen 13 en 14 van de AVG bedoelde informatie omvat, die al toegankelijk moet zijn voor de betrokkene. Voor elk van deze elementen moet in het akkoord worden vastgelegd welke gezamenlijke verwerkingsverantwoordelijke verantwoordelijk is voor de naleving. De wezenlijke inhoud van het akkoord moet ook het contactpunt vermelden, als er een is aangewezen (punt 180 van de richtsnoeren). 105. Zonder volledig te zijn in haar onderzoek op dit punt, merkte de Geschillenkamer op dat, afgezien van de vermelding van de DPO voor elke betrokken entiteit, het privacybeleid niet voor elk element van artikel 14 van de AVG aangaf wie verantwoordelijk was voor het toezicht op de naleving. Zoals hierboven aangegeven, worden in het privacybeleid de verschillende elementen die worden vereist door de leden 1 en 2 van artikel 14 (punt 85) voldoende behandeld, maar deze elementen worden verstrekt zonder de medeverantwoordelijkheid te specificeren, waarbij het woord "wij" wordt gebruikt zonder verdere verduidelijking. De term "gezamelijke verantwoordelijke" wordt niet één keer genoemd en de tekst wekt meer de indruk dat elke entiteit die wordt geïdentificeerd als een gezamenlijke verwerkingsverantwoordelijke verantwoordelijk is voor het geheel zonder enige andere nadereregel van gezamenlijke verantwoordelijkheid. III. Over de corrigerende maatregelen en straffen 106. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; Beslissing ten gronde 64/202 — 24/26 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 107. Het is aan de Geschillenkamer om te beslissen over de meest geschikte straf in het licht van de inbreuken op artikel 5.1. a), 12.1, 12.2, 14.1-2 en 26.2 van de AVG en alle omstandigheden van de zaak. 108. De Geschillenkamer is gevoelig voor het feit dat, zoals verweerder in zijn conclusies aangeeft, de context van de pandemie ongekend was, het actieterrein van verweerder verruimde en een snelle reactie van verweerder en de andere betrokken entiteiten vereiste. De Geschillenkamer is ook gevoelig voor het argument van de klagers - zonder hun enig recht toe te kennen om een bepaalde sanctie te vorderen, aangezien de keuze van de sanctie uitsluitend bij de Geschillenkamer berust - dat de AVG sinds 2018 van kracht is en dat van de overheid een voorbeeldfunctie wordt verwacht, in het bijzonder met betrekking tot de essentiële beginselen van de AVG die zijn vastgelegd in de bepalingen die gesch. 109. De omstandigheden waarop AVIQ zich beroept zijn, hoe reëel ook, is niet van dien aard dat ze de vastgestelde tekortkomingen wegnemen. Ze zijn een realiteit en moeten bestraft worden. De Geschillenkamer heeft daarom besloten om AVIQ een berisping te geven als sanctie op grond van artikel 100.1.3° van de WOG voor deze inbreuken op essentiële bepalingen van de AVG, aangezien deze inbreuken allemaal verband houden met het transparantiebeginsel en het recht op informatie van betrokkenen in een context waarin laatstgenoemden geen andere keuze hadden dan hun gegevens te laten verwerken. Het feit dat de Geschillenkamer door de Belgische wetgever niet gemachtigd is om deze inbreuken te bestraffen met een administratieve geldboete, gezien de status van verweerder als overheidsinstantie, is ook een factor (die weliswaar voortvloeit uit de wil van de wetgever) die meespeelt in haar beoordeling. Als zij de verweerder geen berisping zou geven (en geen sepot of sluiting van de zaak, zoals de verweerder had gevraagd), zou zij volgens de Geschillenkamer niet voldoen aan het vereiste van artikel 84 AVG dat de sanctie "doeltreffend, evenredig en afschrikkend" moet zijn in het licht van de schending. 110. De Geschillenkamer besluit om deze berisping vergezeld te doen gaan van een uitvoerig bevel tot naleving op grond van artikel 100.1. 9° van de WOG in het geval dat dit type Beslissing ten gronde 64/202 — 26/26 Tegen deze beslissing kan op grond van artikel 108, § 1, van de WOG, beroep worden aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat de in artikel 1034 ter van het Gerechtelijk Wetboek 13 genoemde inlichtingen moet bevatten. Het interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend overeenkomstig artikel 1034 quinquies van het Ger.W.14 of via het informatiesysteem e-Deposit van het Ministerie van Justitie (artikel 32 ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 13 Het verzoekschrift vermeldt op straffe van nietigheid: de dag, de maand en het jaar; de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregisternummer of ondernemingsnummer; 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 1° 2° de handtekening van de verzoeker of van zijn advocaat. 14 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van de gerecht of ter griffie neergelegd.