1/33 Geschillenkamer Beslissing ten gronde 66/2021 van 04 juni 2021 Deze beslissing werd vernietigd door het Marktenhof: Arrest AR/2021/1044 dd. 1 december 2021 Dossiernummer : DOS-2020-00818 Betreft

§ 3van de wet van 3 augustus 2012.

Voormelde bepalingen stellen immers dat “de duur van de voorbereidende werkzaamheden, bedoeld in paragraaf 2, tweede lid, gedurende dewelke de artikelen 13 en 14 van de algemene verordening gegevensbescherming niet van toepassing zijn, niet meer [mag] bedragen dan één jaar” en “wanneer de Federale Overheidsdienst Financiën gebruik heeft gemaakt van de uitzondering bepaald bij paragraaf 1, eerste lid, en met uitzondering van de situaties bedoeld in het zesde en zevende lid van paragraaf 334, de uitzonderingsregel onmiddellijk [wordt] opgeheven na de afsluiting van de controle of van het onderzoek. De functionaris voor gegevensbescherming van de verwerkingsverantwoordelijke brengt de betrokkene hiervan onverwijld op de hoogte”. In casu werd de termijn van één jaar evenwel reeds ruimschoots overschreden zonder dat de klaagster in kennis werd gesteld van de opheffing van de ingeroepen afwijkingen. Bovenstaande dient niet enkel te worden beschouwd als een schending van de desbetreffende bepalingen doch eveneens als een inbreuk op artikel 12.2 AVG, dat de verwerkingsverantwoordelijke de verplichting oplegt de uitoefening van de rechten van betrokkenen te faciliteren.

1. De Geschillenkamer stelt tevens vast op basis de verklaringen van de verweerder tijdens de hoorzitting dat deze laatste niet over een interne procedure lijkt te beschikken die toelaat een volledig overzicht te hebben van alle persoonsgegevens van een betrokkene, in casu de klaagster, die deze verwerkt. Tijdens de hoorzitting I.e. “wanneer een dossier wordt overgemaakt aan een andere dienst van de Federale Overheidsdienst Financiën of aan de bevoegde instelling om over de bevindingen van het onderzoek te beslissen”. 34 Beslissing ten gronde 66/2021 - 29/33 stelde de verweerder immers dat “er veel verschillende afdelingen zijn binnen de [verweerder]” en dat “niet alle documenten opgesteld door alle betrokken ambtenaren kunnen worden gescreend of geïndexeerd om na te gaan of de naam van de klaagster Geschillenkamer of wijst andere er verwerkingsverantwoordelijke persoonsgegevens werden evenwel op dat op de van de betrokken gebruikt”. De verweerder als persoonsgegevens overeenkomstig de in de artikelen 5.2 en 24 AVG vervatte verantwoordingsplicht en het in artikel 25 AVG vervatte beginsel van gegevensbescherming door ontwerp de verplichting rust de “passende technische en organisatorische maatregelen [te nemen] (…) met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen” en zulks eveneens te kunnen aantonen. De verwerkingsverantwoordelijke dient er bijgevolg voor te zorgen dat het technisch mogelijk is om persoonsgegevens op te vragen in alle systemen binnen zijn organisatie, in het bijzonder wanneer deze op grote schaal persoonsgegevens verwerkt. De Geschillenkamer benadrukt dat deze verantwoordingsplicht één van de hoekstenen van de AVG vormt en dat de verweerder als overheidsdienst een voorbeeldfunctie heeft op vlak van de naleving van de beginselen inzake gegevensbescherming.
2. De Geschillenkamer oordeelt op basis van het bovenstaande dat de verweerder een inbreuk heeft gepleegd op de artikelen 11 §1, 11/1 §1, 11/2 §1 en 11/3 §1 van de wet van 3 augustus 2012 en aldus de artikelen 12.

artikelen 14, 15, 16 en 18 AVG heeft geschonden. Conclusie betreffende de inbreuken van verweerder 120. Op grond van bovenstaande oordeelt de Geschillenkamer dat: - de verweerder de klaagster niet tijdig - i.e. binnen de termijn van één maand informeerde in verband met het gevolg dat aan de door haar op 18 juli 2019 ingediende verzoeken tot informatie, inzage, rectificatie en beperking van de verwerking ex artikelen 14, 15, 16 en 18 AVG werd gegeven en aldus een inbreuk pleegde op de artikelen 12.3 en 12.4 AVG alsook de artikelen 11 §3, 11/1 § 3, 11/2 §3 en 11/3 §3 van de wet van 3 augustus 2012; en Beslissing ten gronde 66/2021 - 30/33 - de verweerder zich, wat betreft de door de klaagster aan hem gerichte bovenvermelde verzoeken niet langer kan beroepen op de in artikelen 11, 11/1, 11/2 en 11/3 van de wet van 3 augustus 2012 voorziene afwijkingen en er bijgevolg toe gehouden is de verzoeken tot uitoefening van rechten door de klaagster overeenkomstig de voormelde artikelen te behandelen. De verweerder lichtte de klaagster in dit verband niet in omtrent de opheffing van de ingeroepen afwijkingen, zoals vereist door de artikelen 11, 11/1, 11/2 en 11/3, §

§ 3

van de wet van 3 augustus 2012, en pleegde aldus een inbreuk op de voormelde bepalingen alsook op artikel 12.2 AVG juncto artikelen 14, 15, 16 en 18 AVG. 121. De Geschillenkamer acht het bijgevolg passend de verweerder te bevelen dat wordt voldaan aan de verzoeken van de klaagster tot uitoefening van haar rechten, meer bepaald het recht op informatie en inzage (artikelen 14 en 15 AVG en artikelen 11 en 11/1 van de wet van 3 augustus 2012). De Geschillenkamer beveelt de verweerder meer bepaald de klaagster overeenkomstig de artikelen 14.1 en 15.1 AVG minstens :

1. i)informatie te verlenen over de verwerkte persoonsgegevens en meer bepaald de verwerkingsdoeleinden, de ontvangers van de betrokken persoonsgegevens en alle beschikbare informatie over de bron van de gegevens;
2. ii)inzage te verlenen in alle brieven en/of communicatie waarin de klaagster wordt vermeld en waarvoor geen beroep meer kan worden gedaan op de afwijkingen voorzien in de wet van 3 augustus 2012. 122. Wat betreft het verzoek tot uitoefening van het recht op rectificatie (artikel 16 AVG en artikel 11/2 van de wet van 3 augustus 2012) door de klaagster, benadrukt de Geschillenkamer dat de kwalificatie als “stroman” van de klaagster door de verweerder - in tegenstelling tot wat door laatstgenoemde wordt gesteld - als een persoonsgegeven dient te worden beschouwd (cf. supra randnrs. 46-65). Dit gegeven kan bijgevolg niet worden onttrokken aan de gegevensbescherming en is eveneens onderworpen aan de bepalingen betreffende de rechten van de betrokkenen.35 De Geschillenkamer wijst er evenwel om dat dit - in tegenstelling tot bijvoorbeeld de naam van de betrokkene - “subjectieve” informatie betreft, daar het om een conclusie of kwalificatie gaat door de verwerkingsverantwoordelijke. In zijn arrest Nowak wees het Hof van Justitie er, met betrekking tot dit type persoonsgegevens, op dat de draagwijdte van de rechten dienen te worden beoordeeld in functie van de doeleinden waarvoor de persoonsgegevens werden 35 Arrest Nowak, randnr. 49. Beslissing ten gronde 66/2021 - 31/33 verwerkt en dat de gegevensbeschermingswetgeving niet als doel heeft om de juistheid van een besluitvormingsproces te garanderen. 123. De Groep Gegevensbescherming wees er op zijn beurt in zijn Advies 04/2017 op dat de regels voor gegevensbescherming wel rekening houden met de mogelijkheid dat zulke subjectieve informatie onjuist is en de betrokkene het recht geven op toegang tot en verbetering van die informatie. Deze wijst er hierbij op dat rectificatie in dit geval mogelijk is door het laten toevoegen van andersluidende opmerkingen, dan wel door het hanteren van passende rechtsmiddelen, zoals beroepsprocedures 36. 124. Gelet op het feit dat het betrokken persoonsgegeven in casu subjectieve informatie met betrekking tot de klaagster betreft, waarvan deze laatste stelt dat ze foutief is en waarbij de Geschillenkamer niet in de mogelijkheid is de correctheid van dit gegeven na te gaan en zich hierbij niet in de plaats kan stellen van de verweerder, beveelt zij de rectificatie ervan door middel van het toelaten aan de klaagster om een andersluidende verklaring in de betroffen dossiers toe te laten voegen, waarbij deze laatste aangeeft niet akkoord te gaan met de juistheid van het betrokken gegeven. Overeenkomstig artikel 19 AVG juncto artikel 16 AVG acht de Geschillenkamer het tevens gepast de verweerder te bevelen iedere ontvanger aan wie de betrokken persoonsgegevens werden verstrekt in kennis te stellen van deze rectificatie. De toepassing van artikel 19 AVG vloeit hierbij voort uit de toepassing van artikel 16 AVG. 125. De Geschillenkamer benadrukt dat op de verweerder immers de verplichting rust op grond van artikel 5.1
3. d)AVG zich ervan te verzekeren dat de verwerkte persoonsgegevens “juist zijn en zo nodig worden geactualiseerd;” en “alle redelijke maatregelen [moet nemen] om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid”)”. 126. Tevens acht de Geschillenkamer het passend om, naast deze corrigerende maatregelen, overeenkomstig artikel 58.2
4. b)AVG en artikel 100, §1, 5° WOG een berisping op te leggen. De Geschillenkamer houdt hierbij rekening met het feit dat de verweerder een overheidsdienst is die een voorbeeldfunctie heeft op het vlak van de naleving van de wetgeving inzake de bescherming van persoonsgegevens en die, als belastingdienst, bovendien een grote hoeveelheid persoonsgegevens verwerkt. 36 Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 7. Beslissing ten gronde 66/2021 - 32/33 Overeenkomstig het beginsel “lead by example” dient deze er bijgevolg te allen tijde over te waken te handelen conform deze wetgeving en in het bijzonder de hierboven genoemde essentiële bepalingen van de AVG betreffende de uitoefening van de rechten door betrokkenen. Publicatie van de beslissing 127. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing overeenkomstig artikel 95, §1, 8° WOG gepubliceerd op de website van de Gegevensbeschermingsautoriteit en dit met vermelding van de identificatiegegevens van de verweerder gelet op het algemeen belang van onderhavige beslissing, enerzijds, en de onvermijdelijke heridentificatie van de verweerder in geval van pseudonomisering, anderzijds. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van artikel 58.2
5. b)AVG en artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de verweerder voor de inbreuken op de artikelen 11, 11/1, 11/2 en 11/3 §

§ 3

van de wet van 3 augustus 2012 en de artikelen 14, 15, 16 en 18 AVG (het niet inlichten van de klaagster omtrent de opheffing van de ingeroepen afwijkingen en het geen gevolg geven aan de verzoeken tot uitoefening van de rechten van de betrokkene); - op grond van artikel 58.2

1. c)AVG en artikel 100, § 1, 6° WOG de verweerder te bevelen dat wordt voldaan aan de verzoeken van de klaagster om haar rechten uit te oefenen, meer bepaald het verzoek tot informatie en inzage (art. 14 en 15 AVG) en dit binnen de termijn van één maand te rekenen vanaf de kennisgeving van deze beslissing en de Geschillenkamer binnen dezelfde termijn in kennis te stellen van het gevolg dat werd gegeven aan onderhavige beslissing; - op grond van artikel 58.2
2. c)AVG en artikel 100, §1, 6° WOG de verweerder te bevelen dat wordt voldaan aan het verzoek van de klaagster om haar rechten uit te oefenen, meer bepaald het verzoek tot rectificatie (art. 16 AVG), en dit binnen de termijn van één maand te rekenen vanaf de kennisgeving van deze beslissing, alsook de Geschillenkamer binnen dezelfde termijn in kennis te stellen van het gevolg dat werd gegeven aan onderhavige beslissing. De Geschillenkamer beveelt Beslissing ten gronde 66/2021 - 33/33 de verweerder in dit verband meer bepaald de klaagster toe te laten een andersluidende verklaring te laten toevoegen aan de betrokken dossiers met betrekking tot de kwalificatie van “stroman”; en - op grond van artikel 58.2
3. c)AVG en artikel 100, §1, 10° WOG de verweerder te bevelen iedere ontvanger aan wie de betrokken persoonsgegevens werden verstrekt in kennis te stellen van voormelde rectificatie (art. 19 AVG juncto art. 16 AVG) en dit binnen de termijn van één maand te rekenen vanaf de kennisgeving van deze beslissing, alsook de Geschillenkamer binnen dezelfde termijn in kennis te stellen van het gevolg dat werd gegeven aan onderhavige beslissing. Tegen deze beslissing kan op grond van artikel 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de Gegevensbeschermingsautoriteit als verweerder. (Get). Hielke Hijmans Voorzitter van de Geschillenkamer