Beslissing ten gronde nr. 65/2025

1/9 Geschillenkamer Beslissing ten gronde 65/2025 van 3 april 2025 Dossiernummer : DOS-2021-06312 Betreft : De schending van de vertrouwelijkheid van persoonsgegevens De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De verweerder: Federale Overheidsdienst Binnenlandse Zaken, verder FOD IBZ, met maatschappelijke zetel te 1000 Brussel – Leuvenseweg 1, ingeschreven in de KBO onder het nummer 0308.356.862, vertegenwoordigd door Mr. Bart Martel, Mr. Anneleen Van de Meulebroucke, en Mr. Laura Deschuyteneer, hierna “de verweerder”. Beslissing ten gronde 65/2025 — 2/9 I.

1. Feiten en procedure Tussen 24 januari 2020 en 28 januari 2020 werden duizenden eID-certificaten (zowel handtekening- als authenticatiecertificaten) geregistreerd in een certificaattransparantielogsysteem (CT-logs) van Google. De certificaten bevatten persoonsgegevens, waaronder het rijksregisternummer (als serienummer van het onderwerp van het certificaat), de naam en voornaam van de burger, het feit dat het gaat om een Belgische onderdaan of een vreemdeling.
2. Op 22 oktober 2021 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (hierna “GBA”) om een zaak aanhangig te maken bij de Inspectiedienst van de GBA op basis van artikel 63, 1° WOG1 zoals die van toepassing was op het moment van de feiten die aanleiding hebben gegeven tot onderhavige procedure (hierna WOG genoemd) aangezien het Directiecomité van oordeel was dat er ernstige aanwijzingen zijn die wijzen op een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens.
3. Op 8 september 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake is van:
4. schending van artikel 5.1, f) j° artikel 32 AVG aangezien er geen adequate beveiliging van persoonsgegevens zou zijn;
5. schending van artikel 5.2 en artikel 24.1 AVG aangezien de verweerder niet de verantwoordelijkheid ten volle zou opnemen;
6. schending van artikel 25 AVG aangezien de verweerder geen gegevensbescherming door ontwerp zou toepassen;
7. schending van artikelen 33 en 34 AVG aangezien de verweerder geen melding zou gemaakt hebben van het gegevenslek en de getroffen burgers niet op de hoogte gebracht zou hebben; en
8. schending van artikel 35 AVG aangezien de verweerder een effectbeoordeling inzake gegevensbescherming in het kader van de verwerking met de eID gemaakt heeft maar er zou noch een actualisering van de effectbeoordeling naar aanleiding van de problematiek van dit dossier, noch een planning tot actualisering ervan zijn. 1 Artikel 63, 1° (toenmalige) WOG: Art.
9. De aanhangigmaking bij de inspectiedienst kan gebeuren: 1° wanneer het directiecomité ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. Beslissing ten gronde 65/2025 — 3/9
10. Op 30 september 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde.
11. Op 30 september 2022 wordt de verweerder per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens wordt zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om haar verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 11 november
13. Op 25 oktober 2022 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 28 oktober
15. Op 27 oktober 2022 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak en geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
16. Op 3 november 2022 vraagt de verweerder een uitstel voor wat betreft de uiterlijke datum voor de neerlegging voor de conclusies. De nieuwe uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder wordt vastgelegd op 15 december
18. Op 7 november 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 24 januari
20. Op 15 december 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder.
21. Op 20 januari 2023 verzoekt de verweerder om de hoorzitting uit te stellen. Op 23 januari 2023 wordt de verweerder ervan op de hoogte gesteld dat de hoorzitting zal plaatsvinden op 16 maart
23. Op 16 maart 2023 wordt de verweerder gehoord door de Geschillenkamer. Tijdens de hoorzitting wordt de mogelijkheid besproken om in deze zaak een minnelijke oplossing te onderzoeken, waarbij ook het in artikel 100, § 1, 4 e van de WOG genoemde instrument van een voorstel tot schikking.
24. Op 22 maart 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
25. Op 29 maart 2023 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal dewelke zij beslist mee op te nemen in haar beraad.
26. Op 28 augustus 2023 wordt de verweerder ervan in kennis gesteld dat een nieuwe hoorzitting zal plaatsvinden op 25 september
27. De verweerder wordt op 25 september 2023 gehoord. Beslissing ten gronde 65/2025 — 4/9
28. Op 10 september 2024 maakt de Geschillenkamer aan de verweerder haar voornemen om over te gaan tot een schikking kenbaar en maakt een schikkingsvoorstel over.
29. Op 21 maart 2025 trekt de Geschillenkamer het schikkingsvoorstel in (gezien een schikking binnen relatief korte termijn niet haalbaar bleek) waardoor de procedure ten gronde wordt voortgezet. II. Motivering
30. De wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten regelt onder andere de elektronische identiteitskaart (hierna: “eID”).2 De elD bevat twee certificaten: het handtekeningcertificaat en het authenticatiecertificaat die verschillende persoonsgegevens van de burger 3, waaronder ook het rijksregisternummer bevatten.
31. De verweerder is verwerkingsverantwoordelijke voor de uitgifte van de eID’s en plaatst hierop ook deze certificaten overeenkomstig de Europese Verordening (EU) 2019/1157 en de Europese elDAS-Verordening.4 Deze authenticatie- en handtekeningcertificaten zijn openbaar.
32. Elke burger kan zelf beslissen te kiezen of hij de certificaten wil activeren en met wie hij de certificaten deelt. De burger deelt zijn certificaten met een derde partij wanneer hij zich dient te identificeren en desgevallend te authenticeren (zoals bij het online aanmelden bij een webtoepassing of bij het inscannen van de elD) of wanneer hij een document digitaal ondertekent en dit document aan een derde partij bezorgt. Deze certificaten bevatten als serienummer het rijksregisternummer van de burger. De elektronische handtekening- en/of authenticatiecertificaten die het rijksregisternummer bevatten mogen zonder voorafgaande toestemming bewaard worden zolang het nodig is om het bewijs te leveren van de 2 BS 3 september
33. 3 De twee types certificaten bevatten bij ontwerp de volgende (persoonsgebonden) gegevens van de burger: a. Een serialnumber gelijk aan het rijksregisternummer, b. De voornamen c. De familienaam d. Het land e. Geldigheidsduur(begin/einde) f. Het type gebruik i. Non repudiation (voor Signature) ii. DigitalSignature (voor Authentication) g. De publieke sleutel 4 Zie in het bijzonder bijlage I van de Verordening (EU) 2019/1157 van het Europees Parlement en de Raad van 20 juni 2019 betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en van verblijfsdocumenten afgegeven aan burgers van de Unie en hun familieleden die hun recht van vrij verkeer uitoefenen, PB L 188/67, 12 juli 2019 en art. 6 Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markten tot intrekking van Richtlijn 1999/93/EG, PB L 257173, 28 augustus 2014 (hierna "elDASVerordening") Beslissing ten gronde 65/2025 — 5/9 elektronische handtekening of van de authenticatie (artikel 8, §3, vierde lid van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen 5).
34. De certificaten, die vrij door de burger te gebruiken zijn om zich te identificeren/authenticeren of om een elektronische handtekening te plaatsen, bevatten dus persoonsgegevens waardoor de AVG van toepassing is op verwerkingen van deze persoonsgegevens. Het elders publiceren of met derden delen of anderszins verwerken is bijgevolg niet zomaar toegelaten. De Rijksregisterwet6 verbiedt zelfs het onrechtmatig gebruik van het rijksregisternummer zonder machtiging en voor andere doeleinden dan die waarvoor de machtiging is verleend (artikel 8, § 8, lid 2 Rijksregisterwet). Hierop staan strafrechtelijke sancties (artikel 13, lid 2 Rijksregisterwet).
35. De litigieuze verwerking in onderhavige zaak is de onrechtmatige publicatie van ongeveer 40.000 handtekening- en authenticatiecertificaten van Belgische burgers in één van de CTlogs van Google waardoor de vertrouwelijkheid van de persoonsgegevens geschonden werd. De vraag rijst wie als verwerkingsverantwoordelijke moet worden aangeduid voor deze litigieuze verwerking.
36. Overeenkomstig artikel 4.7) AVG dient als verwerkingsverantwoordelijke te worden beschouwd: “de natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. De verwerkingsverantwoordelijke dient dus een beslissingsbevoegdheid en invloed te hebben op de desbetreffende verwerking van persoonsgegevens.7
37. De Inspectiedienst stelt in zijn verslag dat de verweerder gekwalificeerd moet worden als de verwerkingsverantwoordelijke voor de litigieuze verwerking. Hiertoe brengt de Inspectiedienst de volgende argumenten aan. Ten eerste is de verweerder verantwoordelijk voor het waken over de identiteit van de burger: de verweerder produceert en verdeelt onder andere de eID’s overeenkomstig hetgeen op de website van de verweerder vermeld staat. Ten tweede wijst de Inspectiedienst erop dat de verweerder, na overleg met de FOD Beleid en Ondersteuning (FOD BOSA) 8, heeft geantwoord op de vragen tijdens het inspectieonderzoek. De Inspectiedienst merkt op dat ook uit de informatie in de Kruispuntbank van de Ondernemingen (KBO) blijkt dat de verweerder als verwerkingsverantwoordelijke moet worden beschouwd. Zij voegt een uittreksel hiervan toe aan het verslag. 5 BS 21 april
38. 6 Wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen BS 21 april
39. 7 EDPB Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG 2.0, 7 juli 2021,
40. 8 De FOD BOSA is verantwoordelijk voor de Belgium Root CA waarmee de Citizen CA en Foreigner CA wordt ondertekend. Beslissing ten gronde 65/2025 — 6/9
41. De verweerder betwist deze kwalificatie als verwerkingsverantwoordelijke en weerlegt de vaststellingen van de Inspectiedienst. Zij erkent dat zij inderdaad bevoegd is voor de uitgifte van onder andere de eID-kaarten maar voert aan dat dit niets zegt over de litigieuze verwerking in deze zaak, namelijk de publicatie van de certificaten op de CT-logs. De verweerder plaatst de certificaten op de elD's van burgers, maar verder publiceren noch de verweerder noch FOD BOSA, noch hun onderaannemers deze certificaten op enige andere locatie. Voor wat betreft het feit dat zij geantwoord heeft op de vragen van de Inspectiedienst, wijst de verweerder erop dat zij overleg gepleegd heeft met FOD BOSA en dat tijdens dat overleg overeengekomen werd dat zij zou antwoorden op de gestelde vragen. Een kwalificatie als verwerkingsverantwoordelijke voor de publicatie van de certificaten op de CT-logs kan volgens de verweerder niet worden afgeleid uit het feit dat zij geantwoord heeft op vragen van de Inspectiedienst. Meer nog, zij heeft meermaals in haar communicatie met de Inspectiedienst erop gewezen dat zij geen verwerkingsverantwoordelijke is voor de geviseerde verwerking. Voor wat betreft de laatste vaststelling omtrent het uittreksel uit de KBO is het voor de verweerder onduidelijk wat de Inspectiedienst hiermee bedoelt. Het uittreksel zoals opgenomen in het Inspectieverslag bevat geen inhoudelijke aanwijzingen over de verwerking van persoonsgegevens in welk kader ook, laat staan over de eID en meer specifiek nog over de publicatie van de certificaten op de CT-logs, zo concludeert de verweerder.
42. Het komt toe aan de Geschillenkamer om te beoordelen of de verweerder moet worden aangeduid als verwerkingsverantwoordelijke voor de litigieuze publicatie van de certificaten op de CT-logs.
43. De Geschillenkamer wijst erop dat een verwerkingsverantwoordelijke verantwoordelijk is voor de eigen verwerking "die door of namens hem wordt uitgevoerd" (overweging 74 AVG). Het Hof van Justitie heeft op dit punt geoordeeld dat een verwerkingsverantwoordelijke niet verantwoordelijk kan zijn voor vroegere of latere verwerkingen waarvoor deze niet het doel en de middelen heeft vastgesteld: "Daarentegen kan die natuurlijke of rechtspersoon, onverminderd een eventuele civielrechtelijke aansprakelijkheid waarin het nationale recht in dit verband voorziet, niet worden geacht in de zin van die bepaling verantwoordelijk te zijn voor bewerkinqen die vroeqer of later in de verwerkingsketen plaatsvinden en waarvan respectievelijk waarvoor hij niet het doel en de middelen vaststeIt”.9
44. De richtsnoeren 07/2021 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG van de European Data Protection Board (EDPB) stellen ook dat de kwalificatie als verwerkingsverantwoordelijke of verwerker moet worden beoordeeld met 9 HvJ 29 juli 2019, zaak C-40/17, ECLIEUC:2019.629, Fashion ID, par 74 Beslissing ten gronde 65/2025 — 7/9 betrekking tot elke specifieke verwerkingsactiviteit. De kwalificatie als verwerkingsverantwoordelijke vloeit dus niet zomaar voort uit de aard van de entiteit die gegevens verwerkt, maar uit haar concrete activiteiten in een specifieke context. 10 Het feit dat de website van de verweerder vermeldt dat zij waakt over de identiteit van de burger en onder andere de eID’s uitgeeft, betekent dan ook niet dat zij automatisch verwerkingsverantwoordelijke zou zijn voor alle verwerkingen van persoonsgegevens die gebeuren met tussenkomst van de eID, zoals bij het verdere gebruik van de eID en de daarop geplaatste certificaten door een burger of een derde partij bijvoorbeeld bij de publicatie van persoonsgegevens in de CT-logs.
45. De Geschillenkamer beschikt niet over elementen waaruit zou blijken dat de verweerder zou beslist hebben om over te gaan tot de publicatie van de certificaten in de CT-logs, en dus ook niet over hoe en waarom deze publicatie zou plaatsvinden. De Inspectiedienst stelt ook vast in zijn verslag dat “de verwerking door het CT-ecosysteem inderdaad niet als doel werd bepaald door de [de verweerder]”.
46. Na onderzoek door de verweerder en andere betrokken actoren zoals Google is het niet duidelijk wie de certificaten in de CT-logs gepubliceerd heeft. Omdat CT-logs een open source-platform zijn en omdat zij tot doel hebben om foutieve of frauduleuze certificaten te voorkomen, kan (en moet) iedereen certificaten (kunnen) uploaden in de CT-logs. Google houdt geen uitgebreide logs bij van wie iets publiceert in zijn CT-logs. Bijgevolg kan ook Google zelf niet achterhalen wie de certificaten op de CT-logs heeft gepubliceerd.
47. Gelet op het bovenstaande concludeert de Geschillenkamer dan ook dat het niet vaststaat dat de verweerder de jure of de facto het doel en de middelen van de litigieuze publicatie van de certificaten bepaald heeft en dat verweerder in dit kader dus niet kan aangeduid worden als verwerkingsverantwoordelijke.
48. Bijgevolg weerhoudt de Geschillenkamer de vaststellingen van de Inspectiedienst niet en beslist zij om over te gaan tot een technisch sepot overeenkomstig haar sepotbeleid. 11
49. De Geschillenkamer wijst er echter op dat noch de Rijksregisterwet noch de AVG de publicatie van deze certificaten en de daaraan verbonden persoonsgegevens op CT-logs toestaat zonder toepasselijke rechtsgrond. De persoonsgegevens waarvan sprake zijn onder meer het rijksregisternummer (als serienummer van het certificaat), de unieke sleutel tot heel wat authentieke persoonsgegevens van de burger. Het gebruik van deze certificaten maakt het rijksregisternummer publiek, zoals in het geval van een digitale ondertekening of online authentificatie. Echter, het onrechtmatig lekken van duizenden certificaten naar de CT-logs zorgt voor een extreme uitvergroting van deze zwakheid op het vlak van 10 11 EDPB Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG 2.0, 7 juli 2021,
50. Zie ook beslissing 117/2021 dd. 22 oktober 2021 en het Sepotbeleid Geschillenkamer van 18 juni 2021 onder 3.1.A , te raadplegen via https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. Beslissing ten gronde 65/2025 — 9/9 verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.14, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Voorzitter van de Geschillenkamer 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 14 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.