Beslissing ten gronde nr. 69/2025

1/40 Geschillenkamer Beslissing ten gronde 69/2025 van 15 april 2025 Dossiernummer: DOS-2020-03175 Betreft: klacht over het verzenden van zakelijke brieven naar het privéadres van curatoren door verschillende fiscale overheden die belast zijn met het innen van belastingen van gefailleerde vennootschappen De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Christophe Boeraeve en Yves Poullet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het Reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 20191 ; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, vertegenwoordigd door meester Pascal LEDUC, hierna “de klager” De verweerders: De Federale Overheidsdienst Financiën (FOD Financiën), met maatschappelijke zetel Koning Albert II-laan, 33 (bus 1) - 1030 Schaarbeek, 1 Het nieuwe Reglement van interne orde van de GBA, als gevolg van de wijzigingen door de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), is op 1 juni 2024 in werking getreden. Overeenkomstig artikel 56 van de wet van 25 december 2023 is het enkel van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die vanaf die datum zijn aangevangen: https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-orde-van-degegevensbeschermingsautoriteit.pdf. Dossiers die zijn aangevat vóór 1 juni 2024, zoals in dit geval, zijn onderworpen aan de bepalingen van de WOG zoals deze bestond vóór de wijzigingen door de wet van 25 december 2023, en aan de bepalingen van het Reglement van interne orde zoals het bestond vóór die datum. Beslissing ten gronde 69/2025 — 2/40 vertegenwoordigd door meester Jean-Marc VAN GYSEGHEM, hierna "verweerder 1" De overheidsdienst Y2, hierna “verweerder 2” De Gewestelijke Overheidsdienst Brussel Fiscaliteit (Brussel Fiscaliteit), met maatschappelijke zetel Sint-Lazarusplein 2, 1210 Sint-Joost-ten-Node, vertegenwoordigd door meester Tom DE CORDIER en meester Thomas DUBUISSON, hierna "verweerder 3" De "Service Public de la Wallonie Fiscalité" (SPW Fiscalité), met maatschappelijke zetel Avenue Gouverneur Bovesse, 29 – 5100 Jambes, vertegenwoordigd door de heer Stéphane GUISSE, hierna "verweerder 4" I. 1. Feiten en procedure Op 8 juli 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. 2. De feiten die ten grondslag liggen aan de klacht betreffen het verzenden van brieven met betrekking tot het beheer van bepaalde ondernemingen waarvan de vereffening aan bepaalde curatoren is opgedragen, naar het privéadres van deze curatoren in plaats van naar hun kantooradres. 3. Op 10 juli 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en wordt de klacht overgemaakt aan de Geschillenkamer op grond van artikel 62, § 1, van de WOG. 4. Op 7 augustus 2020 wordt, overeenkomstig artikel 96, § 1, van de WOG, het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 30 augustus 2021 wordt het onderzoek door de Inspectiedienst afgerond, het verslag bij het dossier gevoegd en het dossier door de inspecteur-generaal overgemaakt aan de voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2, van de WOG). Het verslag bevat inleidende opmerkingen die als volgt kunnen worden samengevat: I. De Inspectiedienst heeft besloten een onderzoek in te stellen naar verweerder 1 ("verwerkingsverantwoordelijke A"), verweerder 3 ("verwerkingsverantwoordelijke B") en verweerder 4 ("verwerkingsverantwoordelijke C"); Beslissing ten gronde 69/2025 — 3/40 II. De Inspectiedienst heeft besloten geen onderzoek in te stellen naar verweerder 2 – ondanks dat de klacht ook tegen hem was gericht – omdat dit niet nodig of passend werd geacht; III. Overeenkomstig het verzoek van de klager heeft de Inspectiedienst besloten geen rekening te houden met de stukken betreffende de brieven van de politie VilvoordeMechelen en het parket van Brussel, aangezien de klager deze stukken per abuis bij zijn klachtenformulier heeft gevoegd. Bijgevolg werden deze stukken niet doorgegeven aan het Controleorgaan op de Politionele Informatie, die op het eerste gezicht de bevoegde instantie voor het onderzoek ervan leek te zijn. Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en komt tot de volgende conclusie: I. Verweerder 1 heeft het beginsel van juistheid geschonden (art. 5.1.

1. d)AVG), aangezien hij regelmatig “brieven aan de curatoren heeft verzonden naar een adres dat in het licht van het doel van de verzending als onjuist moest worden beschouwd”2 ; II. Verweerder 1 heeft de volgende dubbele schending begaan:
2. a)Hij heeft de artikelen 5.1.
3. a)en 6.1.
4. e)van de AVG geschonden omdat hij niet heeft aangetoond dat het verzamelen van het privéadres van de curatoren via het Rijksregister noodzakelijk was voor de uitvoering van de taken van algemeen belang waarmee hij is belast, en dat de verwerking bijgevolg rechtmatig was;
5. b)En hij heeft de wet op het Rijksregister en de machtiging krachtens het koninklijk besluit van 27 september 1984 niet nageleefd, doordat hij niet heeft aangetoond dat de raadpleging en verzameling van de gegevens over de klagers die hij via het Rijksregister heeft verricht, noodzakelijk waren voor de uitvoering van zijn taken. III. Verweerder 1 heeft de volgende dubbele schending begaan:
6. a)Het heeft artikel 5.2 en de artikelen 24 en 25 van de AVG geschonden doordat hij, hoewel hij technische en organisatorische maatregelen heeft getroffen om de juistheid van persoonsgegevens te waarborgen, geen maatregelen heeft genomen om de doeltreffendheid daarvan regelmatig te controleren, welke maatregelen in casu ondoeltreffend zijn gebleken;
7. b)En hij heeft de artikelen 5.1.a), 6.1.c), 24 en 25 van de AVG geschonden omdat hij niet heeft aangetoond dat hij technische en/of organisatorische maatregelen heeft getroffen om de toegang tot het Rijksregister te beperken tot enkel de noodzakelijke doeleinden. 2 Inspectieverslag, p. 34. Beslissing ten gronde 69/2025 — 4/40 IV. Verweerder 3 heeft artikel 5.1.
8. d)van de AVG geschonden door brieven aan de betrokken curatoren te verzenden naar adressen die met het oog op het doel van de verzending als onjuist moeten worden beschouwd; V. Verweerder 3 heeft de volgende dubbele schending begaan:
9. a)Hij heeft de artikelen 5.1.a), 6.1.c en 6.1.
10. e)van de AVG geschonden omdat hij niet heeft aangetoond dat het verzamelen van het privéadres van de curatoren via het Rijksregister noodzakelijk was voor de uitvoering van de taken van algemeen belang waarmee hij is belast, en dat de verwerking bijgevolg rechtmatig was;
11. b)En hij heeft de wet op het Rijksregister en de verleende machtigingen niet nageleefd, aangezien hij niet heeft kunnen aantonen dat het raadplegen en verzamelen van gegevens over de klagers via het Rijksregister noodzakelijk was voor de uitvoering van zijn taken. VI. Verweerder 3 heeft de volgende dubbele schending begaan:
12. a)Hij heeft de artikelen 5.1.d), 5.2, 24 en 25 van de AVG geschonden, aangezien hij niet heeft kunnen aantonen dat de door hem genomen technische en organisatorische maatregelen passend waren;
13. b)En hij heeft de artikelen 5.1.a), 6.1, 24 en 25.1 van de AVG geschonden door niet aan te tonen dat hij technische en organisatorische maatregelen heeft getroffen om “de toegang tot en het verzamelen van het privéadres van de curator via het Rijksregister te beperken”3. VII. Verweerder 4 heeft artikel 5.1.
14. d)van de AVG geschonden door “regelmatig brieven aan de curatoren te sturen naar een adres dat gezien het doel van de verzending als onjuist moet worden beschouwd”4 . VIII. Verweerder 4 heeft de volgende dubbele schending begaan:
15. a)Hij heeft de artikelen 5.1.a), 6.1.
16. c)en 6.1.
17. e)van de AVG geschonden door niet aan te tonen dat het verzamelen van het privéadres van de curatoren via het Rijksregister noodzakelijk was voor de uitvoering van de taken van algemeen belang waarmee hij is belast, en dat de verwerking bijgevolg rechtmatig was;
18. b)En hij heeft de wet op het Rijksregister en de verleende machtigingen niet nageleefd, aangezien hij niet heeft kunnen aantonen dat het raadplegen en verzamelen van gegevens over de klagers via het Rijksregister noodzakelijk was voor de uitvoering van zijn taken. 3 Inspectieverslag, p. 67. 4 Inspectieverslag, p. 74. Beslissing ten gronde 69/2025 — 5/40 IX. Verweerder 4 heeft de volgende dubbele schending begaan:
19. a)Hij heeft de artikelen 5.1.d), 5.2, 24 en 25 van de AVG geschonden, aangezien hij niet heeft kunnen aantonen dat de door hem genomen technische en organisatorische maatregelen passend waren;
20. b)En hij heeft de artikelen 5.1.a), 6.1, 24 en 25.1 van de AVG geschonden door niet aan te tonen dat hij technische en organisatorische maatregelen heeft getroffen om de toegang tot en het verzamelen van persoonsgegevens in het Rijksregister te beperk ”tot wat strikt noodzakelijk is voor het toegestane doel”5. Het verslag bevat tevens vaststellingen die buiten het voorwerp van de klacht vallen. De Inspectiedienst stelt in grote lijnen het volgende vast: X. Verweerder 1 heeft artikel 5.1.
21. d)van de AVG geschonden door het privéadres van een curator te verwerken in het kader van een dossier betreffende een gerechtelijke ontbinding, terwijl hij, in het licht van het doel van de verzending, verplicht was alleen het kantooradres van de curator te verwerken. XI. Verweerder 3 heeft artikel 30.1, gelezen in samenhang met artikel 30.4 van de AVG, geschonden doordat zijn verwerkingsregister niet alle informatie bevat die daarin moet worden opgenomen, en doordat hij evenmin “alle informatie heeft verstrekt die de toezichthoudende autoriteit nodig heeft om het register en de daaruit voortvloeiende informatie te kunnen begrijpen”6 . XII. Verweerder 4 heeft artikel 5.1.
22. c)van de AVG geschonden door persoonsgegevens van een curator te verwerken, terwijl deze niet noodzakelijk waren voor het bereiken van het nagestreefde doel, namelijk het instellen van een spoedprocedure om personeelsleden op te leiden. XIII. Verweerder 4 heeft artikel 30.1 gelezen in samenhang met artikel 30.4 van de AVG geschonden doordat zijn verwerkingsregister niet alle informatie bevat die daarin moet worden opgenomen en incoherenties bevat. Het verslag bevat ten slotte enkele contextuele overwegingen, die hieronder worden samengevat: I. Hoewel de klager zijn klacht heeft ingediend in zijn hoedanigheid van syndicus van de Franstalige curatoren van België, geeft hij toch blijk van voldoende belang om zijn klacht in te dienen namens en voor rekening van de Franstalige curatoren van België, aangezien dit binnen het kader van zijn activiteiten valt. In ieder geval heeft de klager 5 Inspectieverslag, p. 87. 6 Inspectieverslag, p. 97. Beslissing ten gronde 69/2025 — 6/40 ook zijn persoonsgegevens door verweerders 1 en 4 verwerkt zien worden, waardoor hij zelf betrokkene is geworden; II. Overheidsinstanties vormen een prioriteit voor de GBA 7 en hebben door hun status een voorbeeldfunctie op het vlak van de naleving van de wetgeving inzake de bescherming van persoonsgegevens – alle beklaagden die door de Inspectiedienst werden onderzocht, waren overheidsinstanties; III. De verwerking van persoonsgegevens door verweerder 1 is een gangbare praktijk en heeft grotendeels plaatsgevonden in 2020 en 2021, terwijl (
23. i)hij herhaaldelijk door meerdere curatoren op de hoogte is gesteld van het feit dat hij privéadressen van curatoren verwerkte, (
24. ii)deze verwerking werd gemeld bij de Commissie voor de bescherming van de persoonlijke levenssfeer – de rechtsvoorganger van de GBA – en (iii) de verwerkingen werden voortgezet ondanks de tussenkomst van de Inspectiedienst. IV. De verwerking van persoonsgegevens door verweerder 3 is voortgezet ondanks verschillende interne meldingen over de situatie. Verweerder 3 geeft echter aan zich op het probleem te hebben geconcentreerd en dit te willen oplossen door nieuwe maatregelen te nemen, met dien verstande dat het bestaande systeem voor gegevensverwerking door verweerder 3 zelf als ontoereikend wordt erkend. Ten slotte lijkt er geen enkel bewijsstuk te zijn waaruit blijkt dat verweerder 3 de betwiste verwerkingen heeft voortgezet na de tussenkomst van de Inspectiedienst; V. De verwerking van persoonsgegevens door verweerder 4 is een gangbare praktijk en is voortgezet na de tussenkomst van de Inspectiedienst, die hem in kennis heeft gesteld van het indienen van een klacht tegen hem. Verweerder 4 erkent dat de situatie niet in overeenstemming is met de AVG, maar geeft aan dit probleem te willen oplossen. 6. Op 9 december 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. 7. Op dezelfde datum worden de betrokken partijen per aangetekende brief in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG op de hoogte gebracht van de termijnen om hun conclusies in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van elk van de verweerders werd daarbij vastgelegd op 20 januari 2022, deze voor de conclusie van repliek van de klager op 10 februari 2022 en deze voor de conclusie van dupliek van de verweerders op 3 maart 2022. 7 GBA, Strategisch Plan 2020-2025, beschikbaar via de https://www.gegevensbeschermingsautoriteit.be/publications/strategisch-plan-2020-2025.pdf. volgende link: Beslissing ten gronde 69/2025 — 7/40 8. De partijen worden uitgenodigd om zich te verdedigen in het licht van de volgende vaststellingen en grieven die in aanmerking zijn genomen door de Geschillenkamer: - De naleving door de verweerders van het beginsel van juistheid, in het licht van het doel van de verwerking, overeenkomstig artikel 5.1.
25. d)van de AVG; - De rechtmatigheid van de verwerking door de verweerders van het privéadres van de curatoren in de aan hen gerichte brieven in het kader van het beheer van faillissementsdossiers, overeenkomstig de artikelen 5.1.
26. a)en 6 van de AVG; - De naleving door de verweerders van de verplichting om passende technische en organisatorische maatregelen te nemen overeenkomstig de artikelen 5.2, 24 en 25 van de AVG; - De rechtmatigheid van het verzamelen door de verweerders van het privéadres van de curatoren via toegang tot het Rijksregister van de natuurlijke personen overeenkomstig de artikelen 5.1.
27. a)en 6 van de AVG en de wet van 8 augustus 1983 tot oprichting van een Rijksregister van de natuurlijke personen. 9. Eveneens op die datum stemt verweerder 4 ermee in om alle communicatie met betrekking tot de zaak elektronisch te ontvangen. 10. Op 13 december 2021 stemt verweerder 1 ermee in alle communicatie over de zaak elektronisch te ontvangen. Hij verzoekt in dezelfde e-mail om een kopie van het dossier (artikel 95, § 2, 3°, van de WOG), die hem op 16 december 2021 wordt toegezonden. 11. Op 14 december 2021 stemt verweerder 3 ermee in alle communicatie over de zaak elektronisch te ontvangen. Hij verzoekt in dezelfde e-mail om een kopie van het dossier (artikel 95, § 2, 3°, van de WOG), die hem op 16 december 2021 wordt toegezonden. 12. Op 21 december 2021 stemt verweerder 2 ermee in alle communicatie over de zaak elektronisch te ontvangen. Hij verzoekt in dezelfde e-mail om een kopie van het dossier (artikel 95, § 2, 3°, van de WOG), die hem op 22 december 2021 wordt toegezonden. 13. Op 21 december 2021 vraagt verweerder 3 om uitstel van de conclusietermijnen, waarmee alle partijen vooraf hebben ingestemd. 14. Op 4 januari 2022 aanvaardt de Geschillenkamer de verlenging van de conclusietermijnen. De nieuwe uiterste datum voor ontvangst van de conclusie van antwoord van elk van de verweerders werd daarbij vastgelegd op 3 februari 2022, deze voor de conclusie van repliek van de klager op 24 februari 2022 en deze voor de conclusies van repliek van elk van de verweerders op 17 maart 2022. 15. Op 10 januari 2022 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder 4. Deze conclusie bevat eveneens de reactie van verweerder 4 op de Beslissing ten gronde 69/2025 — 8/40 vaststellingen van de Inspectiedienst die verder gaan dan het voorwerp van de klacht. Samengevat bepleit verweerder 4 hierin het volgende: • Hij stuurt brieven naar de curatoren om zijn wettelijke verplichting na te komen, namelijk het innen en invorderen van Waalse belastingen wanneer de onderneming die de belasting verschuldigd is, failliet is. Deze wettelijke verplichting vloeit voort uit het decreet van 6 mei 1999 betreffende de vestiging, de invordering en de geschillen inzake Waalse gewestelijke belastingen; • In de praktijk heeft verweerder 4, gezien de hoeveelheid brieven die hij moet verzenden, hiervoor een geautomatiseerd systeem opgezet. De brieven worden gegenereerd door applicaties. Deze halen de contactgegevens van belastingplichtigen op via de applicatie voor persoonsidentificatie van verweerder 4, genaamd "eSigna". Het probleem dat zich in deze zaak heeft voorgedaan en dat ertoe heeft geleid dat brieven naar de privéadressen van de curatoren in plaats van naar hun kantooradressen zijn verzonden, zou voortvloeien uit het feit dat de betrokken curatoren in deze zaak op de website van de Kruispuntbank van Ondernemingen (hierna „KBO”) met hun rijksregisternummer waren ingeschreven. De website “KBO” antwoordde op verzoeken om identificatie van de belastingplichtige van de software “eSigna” met het rijksregisternummer van de betrokken curator en niet met zijn ondernemingsnummer. De brief werd vervolgens automatisch naar het privéadres van de betrokken curator gestuurd en niet naar zijn kantooradres; • Hij merkt op dat in maart 2021 een noodprocedure is ingesteld om het hieronder beschreven probleem handmatig te kunnen verhelpen, in afwachting van de wijziging van zijn computerprogramma. Zijn IT-dienstverlener heeft daarna zijn computerprogramma aangepast en met name een “algemene lijst met koppelingen tussen het RR-nummer8 van de mandataris, zijn ondernemingsnummer en zijn kantooradres”9 aangemaakt. Deze lijst werd vervolgens opgenomen in zijn "eSigna"applicatie. Verweerder 4 benadrukt dat dit een enorme klus was en hiermee het probleem in deze zaak is opgelost, aangezien eSigna het rijksregisternummer automatisch aan het ondernemingsnummer koppelt en vervolgens het kantooradres van de mandataris van de schatplichtige onderneming gebruikt in plaats van het privéadres. De resultaten zijn overtuigend en de actualisering wordt voortgezet met het oog op voortdurende verbetering. 8 Rijksregister. 9 Conclusie van verweerder 4, p. 2. Beslissing ten gronde 69/2025 — 9/40 16. Op 31 januari 2022 ontvangt de Geschillenkamer de conclusie van antwoord van verweerder 2. Samengevat bepleit verweerder 2 hierin het volgende: • Evenals in het onderzoeksverslag waarin werd geconcludeerd geen onderzoek naar verweerder 2 in te stellen (zie punt 5), is de verweerder van mening dat er geen uitspraak hoeft te worden gedaan over de grieven zoals vermeld in de brief waarin de Geschillenkamer de partijen verzocht hun conclusies te formuleren, en dat hem geen schending van de AVG kan worden verweten. 17. Op 2 februari 2022 ontvangt de Geschillenkamer de conclusie van antwoord van verweerder 1. Deze conclusie bevat eveneens de reactie van verweerder 1 op de vaststellingen van de Inspectiedienst die verder gaan dan het voorwerp van de klacht. Verweerder 1 heeft een aanvullende en syntheseconclusie ingediend, waarvan de samenvatting in punt 21 is opgenomen. 18. Op dezelfde dag ontvangt de Geschillenkamer de conclusie van antwoord van verweerder 3. Deze conclusie bevat eveneens de reactie van verweerder 3 op de vaststellingen van de Inspectiedienst die verder gaan dan het voorwerp van de klacht. Verweerder 3 heeft een syntheseconclusie ingediend, waarvan de samenvatting in punt 20 is opgenomen. 19. Op 24 februari 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Samengevat bepleit deze hierin het volgende: • Wat de ontvankelijkheid van de klacht betreft, voert de klager enerzijds aan dat het feit dat ten onrechte naar een bepaling van de AVG is verwezen, de ontvankelijkheid van de klacht niet aantast, aangezien de rechter of de bevoegde autoriteit "de onjuiste verwijzing kan vervangen door een kwalificatie die meer in overeenstemming is met de wet” , en anderzijds dat de ELD de klacht reeds 10 ontvankelijk heeft verklaard, zodat het niet langer aan de Geschillenkamer is om over dit punt te beslissen. Wat dit laatste argument betreft, voegt de klager toe dat iedereen die een voldoende belang kan aantonen, een klacht kan indienen, zonder dat deze persoon rechtstreeks betrokken hoeft te zijn bij de aangeklaagde verwerking. In casu is de klager van mening dat meester X, door de klacht in te dienen in zijn hoedanigheid van syndicus van het Franstalige college van curatoren van Brussel11, onbetwistbaar een belang had om op te treden, aangezien de klacht gericht was op het behoud van de rechten en vrijheden van de leden van de vereniging waarvan hij op het moment van de indiening van de klacht syndicus was. Bovendien merkt de klager in zijn conclusie op dat meester X zelf getroffen werd door de verwerking die in deze klacht aan de kaak wordt gesteld, zoals blijkt uit het 10 11 Conclusie van repliek van de klager, p. 4. In een e-mail van 9 december 2021 deelde meester X de Geschillenkamer mee dat zijn mandaat als syndicus van het college van Franstalige curatoren van Brussel op 31 augustus 2021 is verstreken. Sindsdien bekleedt meester Z deze functie. Beslissing ten gronde 69/2025 — 10/40 onderzoeksverslag. De klager wijst er in ieder geval op dat meester X nog steeds partij is in de onderhavige zaak; • De klager wijst erop dat krachtens artikel XX.118 van het Wetboek van economisch recht (hierna "WER”) elke dagvaarding die wordt gericht aan de maatschappelijke zetel van de failliete vennootschap, en niet aan de door de rechtbank aan de failliete vennootschap toegewezen curator, nietig is of althans niet tegen de boedel kan worden ingeroepen. De klager merkt dan ook op dat elke derde die zijn rechten in het kader van een faillissement wil doen gelden, zich op de juiste wijze tot de aangestelde curator moet wenden en dus noodzakelijkerwijs diens identiteit en contactgegevens moet kennen. De klager voegt hieraan toe dat artikel XX.122 van het WER bepaalt dat curatoren worden gekozen door de ondernemingsrechtbank. De lijst van advocaten ingeschreven bij de Orde van Advocaten van Brussel en de Orde van Advocaten van de balie van Nijvel is opgenomen in online gidsen. In elk van deze gidsen wordt het volgende vermeld: "de naam van de advocaat, de datum van inschrijving voor de stage, in voorkomend geval de datum van inschrijving op het tableau, het adres van zijn kantoor, en een e-mailadres voor contact”12. De klager voegt eraan toe dat de naam en het kantooradres van de aangestelde curator worden vermeld in het vonnis van faillietverklaring, dat overeenkomstig artikel XX.107 van het WER in de Belgische Staatscourant wordt gepubliceerd om derden hiervan in kennis te stellen. Ten slotte wijst de klager erop dat verweerder 1 in zijn conclusie van antwoord heeft erkend dat de faillissementsvonnissen hem systematisch werden meegedeeld. De klager concludeert dan ook dat verweerder 1 perfect op de hoogte is van het kantooradres van de betrokken curator; • Wat betreft de grief met betrekking tot de beginselen van rechtmatigheid, nauwkeurigheid en minimale gegevensverwerking, herinnert de klager er in de eerste plaats aan dat de verweerders elk over de nodige informatie beschikten om contact op te nemen met de betrokken curatoren, en dat het verzamelen en gebruiken van het privéadres van de curatoren dan ook geen relevante verwerking kan vormen. De klager wijst er in dit verband op dat curatoren worden aangesteld voor het beheer van failliete vennootschappen op persoonlijke, maar niet op privétitel. De klager vervolgt zijn betoog door erop te wijzen dat de verweerders zich tot de betrokken curatoren hebben gewend in hun hoedanigheid van gerechtelijk mandataris, en niet als personen die onderworpen zijn aan de personenbelasting of de vennootschapsbelasting, en dat zij zich bijgevolg tot de curatoren moesten wenden met betrekking tot de failliete vennootschappen die hun waren toegewezen, overeenkomstig de bepalingen van de artikelen XX.107 en volgende 12 Conclusie van repliek van de klager, p. 6. Beslissing ten gronde 69/2025 — 11/40 van het WER, dat wil zeggen door gebruik te maken van het adres in de relevante faillissementsvonnissen en in de faillissementsaankondiging gepubliceerd in het Belgisch Staatsblad, bij gebreke waarvan elke kennisgeving, betekening of mededeling niet tegen de boedel kan worden ingeroepen, met inbegrip van de betrokken curator. Ten slotte is de klager van mening dat verweerder 1 zich ten onrechte baseert op de wet van 15 augustus 2012 houdende de oprichting en organisatie van de federale dienstenintegrator (hierna “wet van 15 augustus 2012”) in combinatie met de wet van 5 mei 2014 houdende verankering van het principe van de unieke gegevensinzameling in de werking van de administratieve diensten en instanties (hierna “wet van 5 mei 2014” ) om het gebruik van het privéadres van de betrokken curatoren voor het verzenden van brieven met betrekking tot aan hen toegewezen faillissementen te rechtvaardigen. Volgens de klager is het doel van de wet van 15 augustus 2012 immers uitsluitend "te garanderen dat gegevens die relevant zijn voor de openbare diensten bij de uitvoering van de hun opgedragen taken, slechts eenmaal worden verzameld, en dit in het belang van de betrokkenen, met als doel te voorkomen dat deze relevante informatie opnieuw aan de betrokkene wordt gevraagd terwijl deze reeds beschikbaar is in een authentieke bron waartoe de deelnemende overheidsdienst toegang heeft”13. Meer bepaald, en in overeenstemming met de interpretatie van verweerder 1 van de verplichting om gebruik te maken van een authentieke bron die voortvloeit uit de wet van 15 augustus 2012, zou dit alleen betekenen dat "wanneer de voor de verwerking benodigde gegevens zijn opgenomen in een authentieke bron, de deelnemende autoriteit deze niet bij een andere autoriteit of bij de betrokken personen mag verzamelen"14. Volgens de klager zijn deze bepalingen echter niet relevant in het onderhavige geval, aangezien de KBO – waar verweerder 1 het privéadres van de betrokken curatoren heeft verzameld – niet het kantooradres van de advocaten in de zin van artikel XX.122 van het WER vermeldt, maar alleen het adres van hun vestigingseenheid indien zij als natuurlijke persoon optreden en dit adres daadwerkelijk hebben opgegeven – anders neemt de KBO alleen het privéadres van de advocaat in kwestie over. Ook merkt de klager op dat verweerder 1 in zijn conclusie van antwoord zelf erkent dat de KBO geen authentieke gegevensbron is voor de identificatiegegevens van curatoren die in het kader van faillissementen zijn aangesteld. De klager stelt dan ook dat “[verweerder 1] niet kan weigeren om uitsluitend de relevante contactgegevens te verstrekken die zijn opgenomen in de faillissementsvonnissen of officiële faillissementsberichten waartoe hij erkent toegang te hebben, op grond van het argument dat de codering van deze gegevens 13 Conclusie van repliek van de klager, p.7. 14 Conclusie van repliek van de klager, p.8. Beslissing ten gronde 69/2025 — 12/40 een te grote werklast voor zijn diensten zou betekenen” 15. Vervolgens voert de klager aan dat het "aan verweerder 1, in zijn hoedanigheid van verwerkingsverantwoordelijke, is om de naleving te garanderen van de beginselen en rechten die zijn vastgelegd in de AVG, die rechtstreeks toepasselijk is in de Belgische rechtsorde en hiërarchisch boven nationale wetgeving zoals de eerdergenoemde wetten van 15 augustus 2012 en 5 mei 2014 staat. In ieder geval betwist de klager het argument van verweerder 1 dat het gebruik van het privéadres van de betrokken curatoren het gevolg is van het feit dat zij hun vestigingseenheid niet correct bij de KBO hebben aangegeven, hoewel zij daartoe verplicht zijn. Hij voegt in dit verband een bijlage toe waaruit volgens hem blijkt dat verschillende curatoren die hun vestigingseenheid correct bij de KBO hebben aangegeven, toch brieven van de verweerders hebben ontvangen met betrekking tot de aan hen toegewezen vereffeningen; • Wat betreft de grief met betrekking tot het verantwoordingsbeginsel en de regels inzake gegevensbescherming door standaardinstellingen en door ontwerp, bedoeld in de artikelen 5.2, 24 en 25 van de AVG, sluit de klager zich in de eerste plaats aan bij het onderzoeksverslag, waaruit blijkt dat noch verweerder 1, noch verweerder 3 betwist dat het gebruik van het privéadres van de betrokken curatoren in het kader van de afwikkeling van de aan hen toegewezen faillissementen ongepast was, dat de later intern genomen corrigerende maatregelen niet van dien aard zijn om de in deze zaak geconstateerde problemen duurzaam en definitief op te lossen, zodat, uiteindelijk, moet worden aangesloten bij de vaststellingen van de Inspectiedienst dat verweerders 1, 3 en 4 de artikelen 5.2, 24 en 25 van de AVG hebben geschonden; • De klager verzoekt om in deze beslissing een bevel tot naleving te geven, vergezeld van een dwangsom ten laste van de verweerders. Wat dit laatste betreft, voert de klager aan dat de dwangsom zich onderscheidt van een administratieve geldboete – beide zijn voorzien in artikel 100 van de WOG. Aangezien volgens de klager de dwangsom geen sanctie vormt, maar een stimulans om de hoofdveroordeling ten uitvoer te leggen, kan de dwangsom, in tegenstelling tot de administratieve geldboete, worden opgelegd aan een overheidsinstantie. 20. Op 17 maart 2022 ontvangt de Geschillenkamer de aanvullende en syntheseconclusie van verweerder 3. Samengevat bepleit deze hierin het volgende: • De klacht voldoet niet aan de ontvankelijkheidsvoorwaarden van de artikelen 57.1 en 77 van de AVG, 58 en 60 van de WOG en 220 van de kaderwet, aangezien de 15 Conclusie van repliek van de klager, p.8. Beslissing ten gronde 69/2025 — 13/40 klager de in deze zaak aangeklaagde verwerking als volgt omschrijft: “het gebruik van het privéadres in plaats van het kantooradres van de Franstalige curatoren in Brussel”, maar deze koppelt aan artikel 39 van de AVG 16, hetgeen voor verweerder 3 niet relevant lijkt; • De klager heeft geen voldoende belang bij de procedure aangetoond. Enerzijds verwijt verweerder 3 de klager dat hij zijn belang bij de procedure niet nader heeft gemotiveerd, aangezien hij zich ertoe heeft beperkt te zeggen dat hij optrad als syndicus van het college van Franstalige curatoren van Brussel, en verwijt hij de Inspectiedienst dat deze de activiteiten van de klager als syndicus niet heeft gecontroleerd. In dit verband voegt verweerder 3 eraan toe dat de klager niet naar behoren daartoe is gemachtigd. Anderzijds wijst verweerder 3 op een dubbelzinnigheid. Hij wijst er namelijk op dat de klager in het klachtenformulier aangeeft op te treden als syndicus van het college van Franstalige curatoren van Brussel, terwijl de Inspectiedienst in zijn onderzoeksverslag vermeldt dat de klager optreedt als syndicus van het college van Franstalige curatoren van België; • Hij merkt op dat na het onderzoek van de Inspectiedienst verschillende interne directiediensten zijn directiecomité hebben aanbevolen om dringend op te treden met betrekking tot de door de klager aan de kaak gestelde problematiek, die ook door de ID is onderzocht – een aanbeveling die het directiecomité heeft opgevolgd; • Wat betreft de technische aspecten van het dossier wil verweerder 3 de context schetsen. Hij wijst er in de eerste plaats op dat de KBO de authentieke bron is voor gegevens over ondernemingen. In de KBO zijn de volgende gegevens geregistreerd: "(
28. i)de identiteit van de curator van de onderneming, (
29. ii)de naam, (iii) de voornaam en (
30. iv)het RR-nummer”17. Verweerder 3 voert vervolgens aan dat de KBO niet alle andere gegevens vermeldt waarvan de publicatie in het Belgisch Staatsblad krachtens artikel XX.107, tweede lid, 4°, van het WER wel verplicht is, namelijk de post- en e-mailadressen van de betrokken curatoren. Hij geeft aan dat hij van de KBO “de gegevens die zonder voorafgaande toestemming niet toegankelijk zijn overeenkomstig artikel III.30 van het WER (d.w.z. het RR-nummer)”18 ontvangt, en wel in de vorm van een XML-bestand, op geautomatiseerde wijze. Verweerder 3 concludeert dan dat hij, in tegenstelling tot wat de klager beweert, geen zoekopdrachten uitvoert via het RR; • Wat de feitelijke elementen van het dossier betreft, wijst verweerder 3 erop dat de hem ten laste gelegde schendingen niet langer dan tien jaar kunnen hebben 16 Dit artikel somt op niet-limitatieve wijze de taken van functionarissen voor gegevensbescherming op. 17 Conclusie van verweerder 3, p. 12. 18 Ibid. Beslissing ten gronde 69/2025 — 14/40 voortgeduurd, aangezien de dienst pas sinds 1 januari 2017 een volwaardige gewestelijke overheidsdienst is. Verder wijst hij erop dat volgens het onderzoeksverslag tussen 29 november 2019 en 25 februari 2021 slechts 28 problematische gevallen zouden zijn vastgesteld bij 603 curatoren. Verweerder 3 concludeert dat dit slechts een klein percentage betreft en dat deze – geïsoleerde – gevallen niet voortvloeien uit een “bewuste wil om de wetgeving inzake de bescherming van persoonsgegevens, waaronder de AVG, te omzeilen” 19 ; • Wat betreft de klacht met betrekking tot het beginsel van juistheid (art. 5.1.
31. d)van de AVG), voert verweerder 3 aan dat hij een systeem heeft opgezet om de fiscale procedures te automatiseren, en dat dit systeem de identificatiegegevens en de gegevens betreffende de hoofdverblijfplaats van de RR van de betrokken curatoren invoert in gevallen waarin een gegevensveld een RR-nummer bevat waarvoor nog geen informatie beschikbaar is. Hij onderstreept dat het verzenden van brieven naar de privéadressen van curatoren met betrekking tot hun professionele taken slechts in enkele geïsoleerde gevallen heeft plaatsgevonden en dat dit is gestopt sinds de invoering van interne maatregelen; • Wat betreft de grief betreffende de toegang tot het RR van de betrokken curatoren en de onrechtmatige verwerking van hun privéadres, merkt verweerder 3 in de eerste plaats op dat het slechts om een opmerking van de Inspectiedienst gaat waaraan de Geschillenkamer niet gebonden is. Hij voegt eraan toe dat het versturen van brieven aan de betrokken curatoren slechts in geïsoleerde gevallen heeft plaatsgevonden en dat hieraan een einde is gekomen na interne maatregelen van verweerder 3; • Wat betreft de grief met betrekking tot de verplichting om passende maatregelen te treffen om de naleving van de AVG en de beginselen inzake gegevensbescherming door ontwerp en door standaardinstellingen te waarborgen, merkt verweerder 3 in de eerste plaats op dat het slechts om een opmerking van de ID gaat waaraan de Geschillenkamer niet gebonden is. Vervolgens somt hij alle maatregelen op die hij heeft genomen om het probleem op te lossen. In wezen zijn deze maatregelen handmatig van aard en worden ze uitgevoerd op het moment dat een dossier over een curator intern wordt aangemaakt, waarbij het zakelijke adres van de curator als contactadres wordt geregistreerd. Bijgevolg is het niet mogelijk het adres van de hoofdverblijfplaats van de curator in het RR te raadplegen voordat deze handmatige invoer heeft plaatsgevonden. Daarnaast zouden er om de zes maanden vergaderingen worden georganiseerd om de doeltreffendheid van de genomen maatregelen te controleren. Ten slotte is hij van plan om in de toekomst 19 Ibid, p.13. Beslissing ten gronde 69/2025 — 15/40 maatregelen te blijven nemen met betrekking tot de verwerking van persoonsgegevens. Hij wijst erop dat hij ondanks de intern genomen maatregelen nog steeds automatisch het RR-nummer van de KBO ontvangt en concludeert dat het probleem bij de KBO ligt en niet bij hem: • Wat betreft de grief over de verplichting om over een register van de verwerkingsactiviteiten te beschikken, merkt verweerder 3 in de eerste plaats op dat het slechts om een opmerking van de ID gaat. Bovendien verklaart hij volledig te hebben meegewerkt met de ID – en de GBA in het algemeen – door de ID op eerste verzoek de vereiste documenten te verstrekken, met inbegrip van het register van de verwerkingsactiviteiten. In ieder geval erkent verweerder 3 dat, wat betreft het bepaalde in punt
32. a)van artikel 30.1 van de AVG, bepaalde gebruikte informatie niet actueel was of onjuist was gerefereerd; in dit verband verklaart hij dat hij de betreffende dossiers heeft aangepast. Wat betreft het bepaalde in de punten
33. f)en
34. g)van artikel 30.1 van de AVG, voert verweerder 3 bovendien aan dat de verstrekking ervan niet verplicht is, aangezien de Europese wetgever de volgende formulering heeft gebruikt: "indien mogelijk”. Ten slotte merkt hij op dat hij wel degelijk over de passende technische en organisatorische maatregelen beschikte in twee documenten die in het register van de verwerkingsactiviteiten werden vermeld, maar dat deze documenten "door onoplettendheid” niet aan de ID zijn toegezonden, en voegt hij daaraan toe dat deze documenten niet specifiek door de ID waren gevraagd, wat volgens hem wel verstandig zou zijn geweest. • Verweerder 3 verzoekt in de eerste plaats de klacht te seponeren wegens nietontvankelijkheid, of althans ongegrond te verklaren. 21. Dezelfde dag ontvangt de Geschillenkamer de aanvullende en syntheseconclusie van verweerder 1. Samengevat bepleit deze hierin het volgende: • Hij herhaalt dezelfde argumenten die verweerder 3 heeft aangevoerd met betrekking tot het onderzoeksverslag en voegt daaraan toe dat het onderzoek niet op tegenspraak zou zijn gevoerd, in tegenstelling tot wat met name professor Jacobs heeft gezegd naar aanleiding van de arresten Mantovanelli t. Frankrijk en Cottin t. België van het Europees Hof voor de Rechten van de Mens. Aangezien het onderzoek van de ID moet worden gelijkgesteld met een deskundigenonderzoek in de zin van het Europees Hof voor de Rechten van de Mens, is het volgens verweerder 1 legitiem om de rechtmatigheid van het onderzoek in deze zaak in twijfel te trekken; • Vervolgens stelt hij dat de curatoren op persoonlijke titel worden aangesteld, wat door de klager in zijn conclusie zou zijn erkend, en dat bijgevolg het adres van de betrokken curator moet worden opgezocht, en dat deze laatste bovendien de Beslissing ten gronde 69/2025 — 16/40 authentieke bron die door verweerder 1 kan worden geraadpleegd, naar behoren moet documenteren; • Wat betreft de wet van 15 augustus 2012 en de wet van 5 mei 2014 is verweerder 1 van mening dat, in tegenstelling tot wat de klager beweert, het doel ervan niet alleen is “te voorkomen dat de betrokkene om gegevens wordt gevraagd die reeds in het bezit zijn van de overheidsinstanties, maar ook om ervoor te zorgen dat de verwerkte gegevens juist en volledig zijn”20. Vervolgens verwijt verweerder 1 de klager dat hij suggereert dat hij meerdere gegevensbronnen zou moeten raadplegen die echter geen authentieke bronnen zijn of niet op de website van Bosa worden vermeld. • In de zin van de artikelen III.35, § 1, en III.36 van het WER concludeert verweerder 1 dat “de deelnemende overheidsdiensten de KBO als authentieke bron moeten raadplegen voor gegevens met betrekking tot de identificatie van ondernemingen, met uitsluiting van alle andere niet-authentieke bronnen”21 ; • Ondernemingen zijn verplicht om “juiste en volledige gegevens aan de KBO te verstrekken, evenals alle wijzigingen die zich in de loop van hun leven voordoen” 22. Verweerder 1 wijst er ook op dat deze verplichting des te meer gerechtvaardigd is omdat er in het geval van bepaalde curatoren, zoals meester Z, een tegenstrijdigheid bestaat tussen het adres dat in de KBO wordt vermeld en het adres dat in de faillissementsaankondiging in het Belgisch Staatsblad is gepubliceerd. Deze onduidelijkheid maakt zijn taak dan ook moeilijker; • Verweerder 1 concludeert als volgt: "De onderneming moet bij haar registratie een aantal gegevens aan de KBO verstrekken en ervoor zorgen dat deze gegevens correct en volledig blijven. In die zin, en indien zij haar activiteit uitoefent op een andere plaats dan haar woonplaats voor natuurlijke personen of haar maatschappelijke zetel voor rechtspersonen, moet zij de vestigingseenheid registreren op straffe van een geldboete. Het is belangrijk op te merken dat de curator altijd op persoonlijke titel wordt aangesteld en dus als natuurlijke persoon, wat inhoudt dat zijn woonadres zijn “standaard"-adres bij de KBO is. 20 Conclusie van verweerder 1, pp. 6-7. 21 Conclusie van verweerder 1, p. 8. 22 Conclusie van verweerder 1, p. 10. Beslissing ten gronde 69/2025 — 17/40 Als de natuurlijke persoon niet bij de KBO is ingeschreven, kan de FOD Financiën indien nodig en in voorkomend geval toegang krijgen tot het Rijksregister als authentieke bron”23 ; • Met betrekking tot de raadpleging van het RR preciseert verweerder 1 dat hij verplicht is het RR als authentieke bron te raadplegen wanneer de gezochte informatie niet in de KBO is opgenomen; • Verweerder 1 voert aan dat hij de beginselen van juistheid en volledigheid in acht heeft genomen door de voor zijn verwerking benodigde gegevens uit een authentieke bron te halen – verweerder 1 kan de juistheid van de authentieke gegevens in deze bron niet in vraag stellen; • Er zijn geen objectieve elementen die erop wijzen dat de verwerking van het privéadres van de klager onrechtmatig is, aangezien het privéadres, bij gebrek aan mededeling van een vestigingseenheid door de klager aan de KBO, het adres is dat ter beschikking staat op de website van de KBO. Hij wijst erop dat de curator inderdaad op persoonlijke titel is aangesteld, wat blijkt uit het feit dat zijn rijksregisternummer in het vonnis van faillietverklaring is vermeld. In ieder geval verwerkt verweerder 1 de gegevens “voor doeleinden die verband houden met de uitoefening van het openbaar gezag dat aan hem is verleend” 24 ; • Wat betreft de grief met betrekking tot de verplichting om passende maatregelen te treffen om de naleving van de AVG en de beginselen inzake gegevensbescherming door ontwerp en door standaardinstellingen te waarborgen, voert verweerder 1 aan dat hij passende technische en organisatorische maatregelen heeft genomen, zoals blijkt uit het gebruik van authentieke gegevensbronnen. Hij geeft bovendien aan dat hij in onderhandeling is met de Franstalige en Duitstalige Orde van Advocaten en de Orde van Vlaamse Balies – die gezamenlijke verwerkingsverantwoordelijken zijn voor RegSol – met het oog op de goedkeuring van een protocol25 ter zake, teneinde de problemen in deze zaak op te lossen; • Verweerder 1 voert aan dat de Geschillenkamer hem geen dwangsommen kan opleggen, aangezien deze vergelijkbaar zijn met de administratieve boete (artikel 83 van de AVG), waarvan het gebruik ten aanzien van overheidsinstanties bij artikel 221, 23 Conclusie van verweerder 1, p. 12. 24 Conclusie van verweerder 1, p. 19. 25 De Geschillenkamer wijst er hier op dat de raadsman van verweerder 1 op 31 maart 2023 het in het Nederlands geformuleerde protocol heeft meegedeeld aan de Geschillenkamer en aan de andere partijen in de zaak. Beslissing ten gronde 69/2025 — 18/40 § 2, van de kaderwet is verboden. Verweerder 1 stelt verder dat, zelfs indien hem een dwangsom zou kunnen worden opgelegd, dit in casu niet gerechtvaardigd zou zijn; • Verweerder 1 verzoekt de klacht ontvankelijk maar ongegrond te verklaren en te erkennen dat hij de AVG niet heeft geschonden. 22. Op 21 november 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 11 december 2024. 23. Op 11 december 2024 worden de partijen gehoord door de Geschillenkamer. 24. Op 18 december 2024 wordt het proces-verbaal van de hoorzitting aan de partijen toegezonden. 25. Op 10 januari 2025 heeft de Geschillenkamer geen opmerkingen van de verweerders met betrekking tot het proces-verbaal ontvangen. II. Motivering II.1. Voorafgaande opmerkingen II.1.1. De verwerkingsverantwoordelijken 26. De ID achtte het niet opportuun om een onderzoek in te stellen naar verweerder 2, aangezien de klager had aangegeven dat de betrokken curatoren recentelijk geen brieven meer hadden ontvangen van verweerder 2 en dat de door de klager verstrekte informatie niet voldoende was om de in het kader van deze klacht betwiste verwerking te identificeren. 27. Derhalve is de Geschillenkamer van oordeel dat de tegen verweerder 2 geuite grieven op technische gronden moeten worden geseponeerd, aangezien zij niet over bewijs beschikt waaruit kan worden afgeleid dat verweerder 2 de hem ten laste gelegde verwerkingen heeft uitgevoerd, en dat het onderzoek naar de overeenstemming van de verwerkingen met de AVG en de wetgeving inzake de bescherming van persoonsgegevens moet worden beperkt tot verweerders 1, 3 en 4. II.1.2. Het belang om in rechte op te treden 28. De Geschillenkamer merkt op dat de klacht is ingediend door meester X, die heeft aangegeven op te treden in zijn hoedanigheid van “SYNDICUS van de Franstalige curatoren van Brussel”26. Uit de stukken van het dossier en uit de uitwisselingen tijdens de hoorzitting blijkt dat meester X deze klacht heeft ingediend om zowel zijn rechten als die van zijn collega's van het college van Franstalige curatoren van Brussel te verdedigen. In de 26 Klachtenformulier. Beslissing ten gronde 69/2025 — 19/40 conclusie van de klager wordt dan ook gesteld dat deze "zowel namens het college van curatoren als zodanig wordt ingediend, als namens zijn individuele leden, waaronder Mr. X”27. De Geschillenkamer oordeelt dan ook dat meester X een belang heeft bij de procedure, aangezien de klacht zowel zijn rechten als betrokkene als de belangen van elk van de curatoren die lid zijn van het college en waarop de aangeklaagde verwerking betrekking heeft, beoogt te verdedigen. 29. Artikel 58 van de WOG bepaalt het volgende: "Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een verzoek indienen bij de Gegevensbeschermingsautoriteit.”28 30. In de voorbereidende werkzaamheden verduidelijkt de wetgever in dit verband dat onder “eenieder” moet worden verstaan: "natuurlijke personen maar eveneens rechtspersonen, verenigingen of instellingen die een vermeende inbreuk van de verordening wensen aan te klagen”29. De Geschillenkamer merkt op dat de wetgever geen onderscheid maakt tussen verenigingen met rechtspersoonlijkheid en verenigingen zonder rechtspersoonlijkheid. 31. In het onderhavige geval staat vast dat de gegevens van meester X het voorwerp zijn geweest van verwerkingen door verweerders 1 en 4, zoals aan de orde gesteld in de klacht. Hij is dus een persoon die betrokken is bij de betwiste verwerkingen die door verweerders 1 en 4 zijn uitgevoerd. 32. Zijn gegevens zijn niet als zodanig door verweerder 3 verwerkt, maar uit de stukken van het dossier en het onderzoeksverslag blijkt dat verschillende Franstalige curatoren in Brussel het voorwerp hebben uitgemaakt van deze verwerking van persoonsgegevens. Deze curatoren worden vertegenwoordigd door de syndicus van het college van Franstalige curatoren van Brussel, waarvan zij deel uitmaken. Tijdens de hoorzitting werd bovendien aangevoerd dat de syndicus van de Franstalige curatoren van Brussel “een soort mandataris” is van de vereniging van het college van Franstalige curatoren van Brussel. De klager was dus volkomen gerechtigd om de curatoren te vertegenwoordigen die betrokken waren bij de in deze zaak aan de orde zijnde verwerking 30. 33. Verder merkt de Geschillenkamer op dat het feit dat de ID in zijn onderzoeksverslag herhaaldelijk heeft geschreven dat de klager de “syndicus van de Franstalige curatoren van België” was, in plaats van de “syndicus van de Franstalige curatoren van Brussel”, geen afbreuk doet aan het belang van de klager om op te treden. Dit kan alleen maar worden 27 Conclusie van repliek van de klager, p.5. 28 De Geschillenkamer onderstreept. 29 Wetsontwerp van 23 augustus 2017 tot oprichting van de Gegevensbeschermingsautoriteit, Memorie van toelichting, Parl. St., Kamer, gewone zitting 2016-2017, nr. 54-2648/1, p. 40; Zie in die zin ook Cass, GBA t. Verreyt, 7 oktober 2021, C.20.0323.N beschikbaar op: https://juportal.be/content/ECLI:BE:CASS:2021:ARR.20211007.1N.4/NL. 30 Zie in die zin het arrest van het Hof van Beroep van Brussel (19e kamer A, sectie Marktenhof) van 16 februari 2022, 2021/AR/1363, punt 22, beschikbaar via: https://www.autoriteprotectiondonnees.be/publications/arret-du-16-fevrier-2022de-la-cour-des-marches-ar-1363.pdf (beschikbaar in het Frans). Beslissing ten gronde 69/2025 — 20/40 beschouwd als een materiële fout, die geen specifieke gevolgen heeft voor de beoordeling van het belang van de klager. Meester X heeft zich altijd voorgesteld als de syndicus van de Franstalige curatoren van Brussel. Bovendien ontbreekt elk bewijs voor het bestaan van een college van Franstalige curatoren van België (verweerder 3 voert juist aan dat dit orgaan niet bestaat31), laat staan voor het feit dat meester X de curator van dit orgaan zou zijn geweest. De Geschillenkamer heeft zelf trouwens geen spoor gevonden van het bestaan van een eventueel college van Franstalige curatoren van België. In tegenstelling tot wat verweerder 3 beweert, bestaat er dus geen enkele onduidelijkheid over de vraag of meester X optrad als syndicus van de Franstalige curatoren van België of van Brussel. Op basis van het bovenstaande lijdt het geen twijfel dat meester X optrad als syndicus van de Franstalige curatoren van Brussel. In ieder geval mag de klager niet de gevolgen ondervinden van een materiële fout van de Inspectiedienst. II.1.3. Klachtenformulier 34. Verweerder 3 wijst er ook op dat de klager in het klachtenformulier verwijst naar artikel 39 van de AVG, dat echter geen verband houdt met de aangeklaagde feiten, en dat de klacht daarom niet-ontvankelijk moet worden verklaard. 35. Dit argument is niet relevant. 36. De Geschillenkamer is niet gebonden aan de juridische kwalificatie die een klager aan de door hem aangevoerde omstreden feiten geeft. Ze heeft daarentegen de plicht om de door de klager aangeklaagde feiten correct juridisch te kwalificeren 32. In dit verband bepaalt de WOG dat een klacht alleen ontvankelijk is als deze "een uiteenzetting van de feiten bevat alsook de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft”33, maar in geen geval bepaalt zij dat de klacht, om ontvankelijk te zijn, ook de aangeklaagde feiten juridisch correct moet kwalificeren. 37. In ieder geval moeten klachtenformulieren ruim en flexibel worden geïnterpreteerd, zodat betrokkenen of personen die een voldoende belang kunnen aantonen, de rechten kunnen 31 Syntheseconclusie van verweerder 3, paragraaf 10. 32 Voorlopig arrest van het Hof van Beroep van Brussel (19e Kamer A, sectie Marktenhof) van 8 juni 2022, 2021/AR/606, punt 5, beschikbaar via: https://www.autoriteprotectiondonnees.be/publications/arret-du-8-juin-2022-de-la-cour-des-marchesar-606.pdf (beschikbaar in het Frans). 33 Artikel 60, tweede lid van de WOG.: “Een klacht is ontvankelijk wanneer: - zij opgesteld is in een van de landstalen; - zij een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft; - zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit.” Beslissing ten gronde 69/2025 — 21/40 doen gelden die zij – of de personen die zij vertegenwoordigen – op grond van de AVG hebben, maar ook zodat de GBA haar toezichthoudende taak doeltreffend kan uitoefenen 34. II.1.4. Over het onderzoek 38. De Geschillenkamer benadrukt dat de procedurele waarborgen onverkort moeten worden nageleefd en dat mocht het risico hebben bestaan dat de verweerders zouden worden benadeeld door de wijze waarop het inspectieverslag was opgesteld, dit nadeel later volledig is weggenomen35, waardoor er geen sprake kan zijn van enige inbreuk op de beginselen van behoorlijk bestuur. De door verweerders 1 en 3 aangevoerde procedurele elementen vormen geen schending van de rechten van de verdediging, aangezien verweerders 1 en 3 de gelegenheid hebben gehad om hun argumentatie volledig uiteen te zetten in hun conclusies en bovendien hun recht op tegenspraak ten volle hebben kunnen uitoefenen tijdens de zitting van de Geschillenkamer. Verweerders 1 en 3 hebben dus geen enkel nadeel ondervonden en de rechten van de verdediging zijn bijgevolg wel degelijk geëerbiedigd. 39. Er moet op worden gewezen dat tegen de beslissingen van de Geschillenkamer beroep kan worden aangetekend bij het Marktenhof, overeenkomstig artikel 108 van de WOG. Die bepaling voorziet in het volgende: "Tegen de beslissingen van de geschillenkamer op grond van de artikelen 71 en 90 staat beroep open bij het Marktenhof die de zaak behandelt zoals in kort geding overeenkomstig de artikelen 1035 tot 1038, 1040 en 1041 van het Gerechtelijk Wetboek”. 40. Dit mechanisme om beroep aan te tekenen waarborgt de rechterlijke toetsing van de beslissingen van de GBA36. In het kader van zijn volle rechtsmacht onderzoekt het Marktenhof als rechterlijke autoriteit de beslissingen van de GBA, wat een grondig onderzoek mogelijk maakt, zowel op feitelijk als juridisch vlak. 41. Het is belangrijk op te merken dat dit systeem om beroep aan te tekenen ertoe bijdraagt dat de grondbeginselen van behoorlijk bestuur en de rechten van de verdediging gedurende de hele procedure worden nageleefd, van de initiële administratieve fase tot de eventuele gerechtelijke fase. 34 Zie in die zin ook Cass, GBA t. Verreyt, 7 oktober https://juportal.be/content/ECLI:BE:CASS:2021:ARR.20211007.1N.4/NL. 2021, C.20.0323.N, beschikbaar op: 35 Zie in dit verband beslissing nr. 18/2020 van de Geschillenkamer van 28 april 2020; beslissing nr. 71/2020 van de Geschillenkamer van 30 oktober 2020; beslissing nr. 133/2021 van de Geschillenkamer van 2 december 2021 en beslissing nr. 38/2023 van de Geschillenkamer van 27 maart 2023. 36 Hof van beroep van Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, 2019/AR/741, 12 juni 2019, blz. 10. Beslissing ten gronde 69/2025 — 22/40 II.2. Wat betreft de inhoud van het dossier II.2.1. Voorafgaande opmerkingen 42. Binnen de Belgische federale overheid zijn de administraties gestructureerd in onderling verbonden netwerken en geldt het principe van unieke gegevensverzameling. 43. Van de overheidsinstanties die het grootste deel van de netwerken vormen, worden sommige aangeduid als “authentieke gegevensbronnen”. Artikel 2, 6°, van de wet van 15 augustus 2012 houdende oprichting en organisatie van een federale dienstenintegrator definieert de authentieke gegevensbron als een “gegevensbank waarin authentieke gegevens gehouden worden”. Het authentiek gegeven wordt gedefinieerd als: "gegeven dat door een instantie ingezameld en beheerd wordt in een gegevensbank en geldt als uniek en oorspronkelijk gegeven over de desbetreffende persoon of rechtsfeit, zodanig dat andere instanties ditzelfde gegeven niet meer hoeven in te zamelen". De authenticiteit van een authentiek gegeven heeft niet zozeer te maken met de aard ervan, maar wel met de wijze waarop dit gegeven "ingezameld, bewaard en ontsloten wordt”37. Bovendien moet worden opgemerkt dat het begrip “authentiek” in het kader van de bovengenoemde wet een zelfstandig begrip is en derhalve losstaat van de betekenis die eraan in andere wetteksten kan worden gegeven. 44. Binnen elk netwerk is er een dienstenintegrator. Er wordt een onderscheid gemaakt tussen verticale en horizontale dienstenintegratoren38. 45. Artikel 2, 1°, van de bovengenoemde wet definieert "dienstenintegrator" als volgt: "een instantie die door of krachtens de wet belast is, binnen een bepaald overheidsniveau of in een bepaalde sector met dienstenintegratie". Deze instantie is in principe openbaar, maar dat is niet altijd het geval. De Belgische wetgever dacht in dit verband 39 aan de orde van advocaten of de kamer van notarissen, die dienstenintegratoren zijn en tegelijkertijd particuliere instanties. Afgezien hiervan blijft de door de dienstenintegratoren uitgeoefende taak steeds van algemeen belang. 46. Samengevat wordt elke gegeven slechts één keer bij de burgers verzameld. Zodra de gegevens zijn verzameld, kan geen enkele overheidsinstantie deze gegevens meer opvragen bij de betrokken burger 40. Wanneer een overheidsinstantie bepaalde gegevens 37 Wetsontwerp van 31 mei 2012 houdende oprichting en organisatie van een federale dienstenintegrator, Memorie van toelichting, Parl. St., Kamer, gewone zitting 2011-2012, nr. 53-2223/1, p. 17. 38 Dienstenintegratoren worden soms ook "Trusted third party" genoemd. 39 Wetsontwerp van 31 mei 2012 houdende oprichting en organisatie van een federale dienstenintegrator, Memorie van toelichting, Parl. St., Kamer, gewone zitting 2011-2012, nr. 53-2223/1, p. 16. 40 Artikel 2 van de wet van 5 mei 2014: “Deze wet heeft tot doel de administratieve verplichtingen van burgers en rechtspersonen te vereenvoudigen door te waarborgen dat gegevens die reeds beschikbaar zijn in een authentieke bron niet opnieuw moeten worden meegedeeld aan een federale overheidsdienst en te komen tot een volledige gelijkschakeling tussen elektronische en papieren formulieren. Artikel 8, § 3 van de wet van 15 augustus 2012 (zoals gewijzigd bij artikel 13 door de wet van 5 mei 2014): "Participerende overheidsdiensten die beschikken over een rechtstreekse toegang tot een authentieke bron Beslissing ten gronde 69/2025 — 23/40 nodig heeft over een burger die al eerder zijn gegevens heeft verstrekt, moet zij deze gegevens bij een authentieke gegevensbron opvragen. De dienstenintegrator fungeert dan als tussenpersoon tussen de overheid en de authentieke gegevensbron, aangezien het de integrator is die de authentieke gegevensbron om de gegevens vraagt die de overheid nodig heeft. Vanuit het oogpunt van de overheid gaat het dus om een indirecte gegevensverzameling. 47. Deze structuur heeft tot doel de uitwisseling van gegevens tussen de verschillende overheidsdiensten te harmoniseren en ervoor te zorgen dat gegevens worden bewaard die “toereikend, ter zake dienend, nauwkeurig, niet overmatig, en indien nodig, bijgewerkt” 41 zijn. 48. Binnen de Belgische gefedereerde overheidssector wijst de Geschillenkamer ook op het bestaan van de ordonnantie van 8 mei 2014 betreffende de oprichting en organisatie van een gewestelijke dienstenintegrator (hierna “ordonnantie van 8 mei 2014”) en van de ordonnantie van 17 juli 2020 houdende verankering van het principe van de unieke gegevensinzameling in de werking van de diensten en instanties die behoren tot of taken uitvoeren voor de overheid en tot vereenvoudiging en gelijkschakeling van elektronische en papieren formulieren (hierna “de ordonnantie van 17 juli 2020”), die, althans wat de aspecten van het onderhavige dossier betreft, mutatis mutandis een soortgelijke rechtsregeling opleggen als die welke hierboven is uiteengezet met betrekking tot de federale overheidsinstanties. Wat de verordeningen betreft, zijn deze van toepassing op de overheden van het Brussels Hoofdstedelijk Gewest. 49. De Geschillenkamer stelt vast dat er binnen het Waalse Gewest geen normatieve tekst bestaat met betrekking tot het principe van unieke gegevensverzameling. De Geschillenkamer houdt er echter rekening mee dat dit een van de prioriteiten is die de Waalse regering heeft vastgelegd in haar regionale beleidsverklaring voor de legislatuur 2024-202942. II.2.2. Wat betreft het beginsel van juistheid (artikel 5.1.
35. d)van de AVG) en technische en organisatorische maatregelen door ontwerp en door standaardinstellingen (artikelen 5.2, 24 en 25 van de AVG) 50. Artikel 5.1.
36. d)van de AVG bepaalt dat persoonsgegevens die worden verwerkt "juist [moeten] zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren ('juistheid')". Concreet vertaalt hergebruiken de gegevens die erin beschikbaar zijn en mogen deze gegevens niet langer inwinnen bij de betrokkene, zijn lasthebber of wettelijke vertegenwoordiger.“ 41 Wetsontwerp van 31 mei 2012 houdende oprichting en organisatie van een federale dienstenintegrator, Memorie van toelichting, Parl. St., Kamer, gewone zitting 2011-2012, nr. 53-2223/1, p. 29. 42 Waalse Reg., Déclaration de politique régionale wallonne : Avoir le courage de changer pour que l’avenir s’éclaire, 11 juli 2024, pagina 10 https://www.wallonie.be/sites/default/files/2024-07/DPR2024-2029.pdf. Beslissing ten gronde 69/2025 — 24/40 deze juistheidsmaatregel zich in specifieke waarborgen zoals de rectificatie van gegevens 43, de wissing van gegevens die onjuist zijn en niet meer nodig voor de doeleinden waarvoor zij zijn verzameld44, of de beperking van de verwerking gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren45. Als aanvulling op het juistheidsbeginsel is het bijwerken van gegevens een veel concretere praktijk46. Zodra een gelegenheid tot actualisering zich voordoet, moet de gegevensverwerkingsverantwoordelijke deze benutten. Het beginsel van juistheid legt dus een inspanningsverbintenis op, aangezien zodra een verwerkingsverantwoordelijke ervan kennis heeft genomen dat hij persoonsgegevens verwerkt die onjuist zijn ten aanzien van de nagestreefde doeleinden, hij alle redelijke maatregelen moet nemen om deze onjuistheden “onverwijld”47 te corrigeren. 51. Het doel van dit beginsel is om verouderde gegevens te weren, waarvan het gebruik niet relevant of zelfs nadelig voor de betrokkene kan zijn. 52. In zijn arrest Nowak heeft het Hof van Justitie van de Europese Unie (hierna "HvJ-EU") gepreciseerd hoe de naleving van dit beginsel moet worden beoordeeld: "[...] de nauwkeurigheid en de volledigheid van persoonsgegevens [moeten] immers worden beoordeeld uitgaande van de doeleinden waarvoor zij worden verzameld”48. Dit houdt in dat de verwerkingsverantwoordelijke redelijke maatregelen treft om de juistheid van de persoonsgegevens die hij verwerkt te waarborgen. De strengheid waarmee de naleving van dit beginsel wordt beoordeeld hangt van de gevolgen van de verwerking van een onjuist gegeven op de rechten en belangen van de betrokkene. 53. Artikel 5.2 van de AVG bepaalt dat de verwerkingsverantwoordelijke verplicht is de beginselen inzake de bescherming van persoonsgegevens – waaronder het beginsel van gegevensjuistheid – en de verplichtingen die hem door de AVG worden opgelegd, na te leven en dit moet kunnen aantonen (beginsel van verantwoordingsplicht, ook accountability genoemd). Bovendien moet hij daartoe alles in het werk stellen, met inbegrip van de toetsing en actualisering van de getroffen maatregelen indien nodig, overeenkomstig artikel 24 van de AVG. Het beginsel van verantwoordingsplicht vereist namelijk niet alleen dat de verwerkingsbeginselen worden nageleefd, maar ook dat deze naleving op elk moment kan 43 AVG, artikel 16. 44 AVG, artikel 17.1.a). 45 AVG, artikel 18.1.a). 46 G. HAAS, Guide juridique du RGPD : la réglementation sur la protection des données personnelles, 3 éd, Edition ENI, 2022, pp. 86-89. 47 C. DE TERWANGNE, « Les principes relatifs au traitement des données à caractère personnel et à sa licéité », in Le Règlement Général de la Protection des Données (RGPD/GDPR) – Analyse approfondie (sous la dir. de C. DE TERWANGNE et K. ROSIER), Bruxelles, 2018, p. 111. 48 HvJ-EU, arrest van 20 december 2017, Nowak t. Data Protection Commissioner, zaak C-434/16, ECLI:EU:C:2017:994, punt 53. Beslissing ten gronde 69/2025 — 25/40 worden aangetoond. Daartoe moet de verantwoordelijke de aangevoerde rechtsgronden, de doeleinden, de noodzakelijkheidsanalyses en de uitgevoerde controlemaatregelen documenteren. Achteraf geleverde bewijzen kunnen niet in de plaats komen van een proactief beleid voor gegevensbeheer dat voldoet aan artikel 24 van de AVG. 54. Bovendien moet de verwerkingsverantwoordelijke ervoor zorgen dat de persoonsgegevens die hij verwerkt, juist zijn met betrekking tot de doeleinden waarvoor ze worden verwerkt door ontwerp en door standaardinstellingen, op grond van artikel 25 van de AVG. 55. In dit verband is het nuttig te vermelden dat onder de belangrijkste elementen voor bescherming door ontwerp en door standaardinstellingen door het Europees Comité voor gegevensbescherming (hierna “EDPB" - European Data Protection Board) met betrekking tot het beginsel van juistheid, als eerste element de gegevensbronnen worden genoemd, die "betrouwbaar moeten zijn wat de juistheid van de gegevens betreft”49. Ook wijst de EDPB op de controle van de gegevens en de handhaving van de juistheid ervan. 56. Verwerkingsverantwoordelijken hebben dus een waakzaamheidsplicht en moeten controleren of de authentieke bron van de gegevens die zij gebruiken geschikt is voor het nagestreefde verwerkingsdoel. Verwerkingsverantwoordelijken moeten met name aandacht hebben voor de architecturale evolutie van de Belgische e-government en voor het eventuele verschijnen van een nieuwe authentieke gegevensbron. 57. Verwerkingsverantwoordelijken moeten ervoor zorgen dat er mechanismen worden geïntegreerd om de toegang tot gegevens te beperken tot wat strikt noodzakelijk is, zowel wat de hoeveelheid als de kwaliteit van de gegevens betreft. Overeenstemming met artikel 25 van de AVG veronderstelt het bestaan van gedocumenteerde en controleerbare maatregelen. De formele naleving van een toegangsverplichting volstaat niet indien de concrete verwerkingsmodaliteiten deze minimalisering niet weerspiegelen. 58. Overweging 78 van de AVG bepaalt dat bij het plaatsen van overheidsopdrachten rekening moet worden gehouden met het beginsel van gegevensbescherming door ontwerp en het beginsel van gegevensbescherming door standaardinstellingen, waarmee wordt gewezen op de voorbeeldfunctie van overheidsinstanties. 59. Ten slotte voegt de Geschillenkamer eraan toe dat het Hof van Justitie in zijn arrest van 1 augustus 2022 heeft geoordeeld: "Benadrukt dient evenwel te worden dat de omstandigheid dat aan overheidsinstanties te weinig middelen worden toegekend, in geen geval een legitieme reden kan vormen die vermag te rechtvaardigen dat inbreuk wordt gemaakt op de door het Handvest [van de grondrechten van de Europese Uni] 49 EDPB, Richtsnoeren 4/2019 inzake artikel 25 - Gegevensbescherming door ontwerp en door standaardinstellingen, verzie 2.0, vastgesteld op 20 oktober 2020, punt 79, beschikbaar via: https://www.edpb.europa.eu/system/files/202104/edpb guidelines 201904 dataprotection by design and by default v2.0 nl.pdf. Beslissing ten gronde 69/2025 — 26/40 gewaarborgde grondrechten." 50 – zoals het recht op bescherming van persoonsgegevens, gewaarborgd door artikel 8 van het Handvest. 60. In het onderhavige geval antwoordt verweerder 1 dat hij niet in strijd met het beginsel van juistheid heeft gehandeld, aangezien door verbinding te maken met de KBO – een authentieke gegevensbron – hij er zeker van is dat de gegevens die daar worden opgehaald, juist en volledig zijn. Hij voegt eraan toe dat, aangezien hij niet de beheerder van deze authentieke bron is, het niet zijn taak is om eventuele fouten te corrigeren. In de periode van 2009 tot en met 2020 werden gemiddeld bijna 10.000 faillissementen per jaar bekendgemaakt. Als verweerder 1 dit allemaal handmatig zou moeten invoeren, zou alleen al dit werk een enorme klus zijn, wat onredelijk zou zijn in het licht van artikel 25 van de AVG. 61. Bovendien vermindert het gebruik van het geautomatiseerde systeem het risico op fouten die het gevolg kunnen zijn van onopzettelijke fouten van de personen die met deze taak zijn belast. 62. Verweerder 3 merkt op dat de fouten zijn ontstaan door de geautomatiseerde interne programmering. Hij voert aan dat hij op grond van de gevolgde IT-regel van de KBO verschillende gegevens ontving, waaronder het RR-nummer van de curatoren, en niet hun ondernemingsnummer, waardoor verweerder 3 hun privéadressen moest gebruiken. De verweerder verklaart echter dat hij zijn maatregelen intern heeft gewijzigd. Het nieuwe systeem blokkeert automatisch de raadpleging van het RR wanneer het RR-nummer door de KBO wordt afgegeven. Bovendien wordt de beschrijvende fiche van de curator handmatig aangemaakt, met vermelding van het kantooradres van de curator, dat wordt verkregen na raadpleging van de KBO of het Belgisch Staatsblad. De fiche kan niet worden aangemaakt zonder deze handmatige bewerking. Ten slotte geeft hij aan dat het slechts om enkele geïsoleerde gevallen zou gaan en dat het probleem inmiddels zou zijn opgelost. 63. Verweerder 4 verklaart dat het gebruik van het privéadres van de curatoren werd veroorzaakt door het feit dat de KBO, in antwoord op de vraag van het geautomatiseerde systeem van verweerder 4, de identificatie van de betrokken curator aan verweerder 4 terugstuurde in de vorm van het rijksregisternummer en niet het ondernemingsnummer, waardoor verweerder 4 het privéadres van de curatoren verzamelde. Betreffende verweerder 1 64. Het blijkt dat verweerder 1 inderdaad onjuiste persoonsgegevens heeft gebruikt in het licht van het doel van de verwerking, aangezien hij de privéadressen van curatoren heeft gebruikt omdat hun kantooradressen niet in de KBO waren opgenomen, en dat hij op de hoogte was 50 HvJ-EU, arrest van 1 augustus 2022, Ot vsVyriausioji tarnybinės etikos komisija, C-184/20, ECLI:EU: C :2022:601, punt 89). Beslissing ten gronde 69/2025 — 27/40 van de daaruit voortvloeiende problemen. Dit vormt echter niet de facto een schending van artikel 5.1.
37. d)van de AVG. 65. Zoals uiteengezet in punt 50 is het beginsel van juistheid immers een inspanningsverbintenis. Aangezien verweerder 1 een federale overheidsinstantie is, heeft hij bovendien de plicht om de gegevens die hij nodig heeft in voorkomend geval bij authentieke gegevensbronnen te verzamelen. Er moet bijgevolg worden onderzocht of verweerder 1 alle redelijke maatregelen heeft getroffen die hij moest nemen om aan zijn plicht te voldoen. 66. De Geschillenkamer stelt vast dat verweerder 1 gebruik heeft gemaakt van een van de authentieke bronnen die hem ter beschikking stonden om het contactadres van de curatoren te achterhalen, namelijk de authentieke bron KBO, die onder meer het privéadres van elke geregistreerde onderneming en natuurlijke persoon verzamelt en verwerkt en vervolgens doorgeeft aan verweerder 1. 67. Wat de KBO betreft, moet worden opgemerkt dat het aan de betrokkenen zelf was om hun kantooradres in de KBO in te schrijven, althans wanneer zij hun beroep als zelfstandige uitoefenden, zoals met name blijkt uit artikel XV.77 van het WER, dat een sanctie van niveau 251 oplegt aan zij die “[als inschrijvingsplichtige onderneming] ingeschreven zijn, en die activiteiten uitoefenen of een vestigingseenheid uitbaten die niet in de Kruispuntbank van Ondernemingen zijn ingeschreven”. Bovendien kent artikel III.32 van het WER ook een controlebevoegdheid toe aan alle ondernemingen die in de KBO zijn opgenomen, die erin bestaat dat zij kennis kunnen nemen van de daarin geregistreerde gegevens en deze indien nodig kunnen laten verbeteren. De wetgever zei dat deze controlebevoegdheid "vooral belangrijk [zou zijn] in de initiële fase van de oprichting van de [KBO], wanneer alle bestaande ondernemingsgegevens ge-upload worden”52. 68. Bovendien erkent verweerder 1 dat hij in kennis is gesteld van de vonnissen van faillietverklaring van de ondernemingsrechtbank, waarin onder meer het kantooradres van de curatoren is vermeld. 69. In dit verband moet worden verduidelijkt dat verweerder 1 geen fout heeft gemaakt door zich niet te baseren op de vonnissen van faillietverklaring waarvan hij systematisch in kennis werd gesteld. Hoewel het vonnis van faillietverklaring een authentieke akte is en dus 51 Artikel XV.70, § 1, 2°, WER: "2° de sanctie van niveau 2 bestaat uit een strafrechtelijke geldboete van een minimumbedrag van 26 euro tot een maximumbedrag van 10 000 euro of tot 4 % van de totale jaaromzet in het laatst afgesloten boekjaar voorgaand aan het opleggen van de geldboete waarover gegevens beschikbaar zijn die toelaten om de jaaromzet vast te stellen, indien dit een hoger bedrag vertegenwoordigt;" 52 Wetsontwerp van 9 oktober 2002 tot oprichting van een Kruispuntbank van Ondernemingen, tot modernisering van het handelsregister en tot oprichting van erkende ondernemingsloketten, Memorie van toelichting, Parl. St., Kamer, gewone zitting, nr. 50-2058/1, p. 25. Beslissing ten gronde 69/2025 — 28/40 bewijskracht53 heeft, vormt het op zichzelf geen authentiek gegeven.54 De Geschillenkamer herinnert eraan, zoals zij in de punten 42 tot en met 47 van de onderhavige beslissing heeft uiteengezet, dat de federale overheidsinstanties gegevens over burgers moeten verzamelen uit authentieke gegevensbronnen wanneer deze gegevens reeds door een andere administratie zijn verzameld; zo is de Belgische e-government georganiseerd. 70. Het raadplegen van een authentieke gegevensbron ontslaat de verwerkingsverantwoordelijke echter niet van de verplichting om de grondbeginselen van de AVG na te leven, met name die van juistheid (artikel 5.1.d)), minimale gegevensverwerking (artikel 5.1.c)) en doelbinding (artikel 5.1.b)). Het “authentieke” karakter van een gegeven doet geen afbreuk aan de relevantie of juistheid ervan met betrekking tot het specifieke doel van de door de verwerkingsverantwoordelijke beoogde verwerking. Het is dan ook aan deze laatstgenoemde om in elk geval aan te tonen dat het gegeven uit de authentieke bron niet alleen rechtens toegankelijk is, maar ook toereikend, ter zake dienend en noodzakelijk is voor het nagestreefde doel (artikelen 5.1.
38. a)en 6.1). Bovendien moet de verwerkingsverantwoordelijke, zoals uiteengezet in punt 56 van deze beslissing, ook zorgvuldig nagaan of de authentieke bron van de gegevens die hij raadpleegt, geschikt is voor het door hem nagestreefde doel. 71. Uit artikel XX.131, § 1, van het WER 55 blijkt dat voor elk faillissementsdossier een dossier wordt aangelegd in RegSol. Een van de elementen die het dossier moet bevatten is "een voor eensluidend verklaard afschrift van het vonnis van faillietverklaring”56. In de voorbereidende werkzaamheden heeft de wetgever gepreciseerd dat dit dossier "het kernstuk van de procedure" is en "de authentieke bron van de faillissementsgegevens"57 vormt. Er moet dus worden aangenomen dat het vonnis van faillietverklaring in dit faillissementsdossier een authentiek gegeven is. 53 Artikel 8.17 Burgerlijk Wetboek. 54 Zie in dit verband punt 43 van de onderhavige beslissing betreffende het autonome karakter van de kwalificatie “authentiek” in de wet van 15 augustus 2012. 55 Artikel XX.131, § 1, van het WER: “§ 1. Het register bevat, voor elk faillissement, een dossier dat ten minste het volgende bevat: 1° een voor eensluidend verklaard afschrift van het vonnis van faillietverklaring, van het vonnis dat het tijdstip van de staking van betaling bepaalt en van de beslissingen gewezen na uitoefening van de rechtsmiddelen tegen deze vonnissen; 2° het uittreksel van de bekendmakingen bedoeld in deze titel; 3° de beschikkingen genomen door de rechter-commissaris; 4° in voorkomend geval het proces-verbaal van plaatsopneming en de in artikel XX.134 bedoelde boedelbeschrijving; 5° de aangiften van schuldvordering en hun bijlagen; 6° de processen-verbaal van verificatie van de schuldvorderingen; 7° de tabel bedoeld in artikel XX.164; 8° de door de curatoren opgemaakte verslagen en uitdelingslijsten, bedoeld in de artikelen XX.128, XX.135, XX.168, XX.171 en XX.192; 9° de tabel bedoeld in artikel XX.147; 10° de lijst van de dadingen en de desbetreffende homologaties bedoeld in artikel XX.151; 11° de vereenvoudigde rekening bedoeld in artikel XX.170;" 56 57 Artikel XX.131, § 1, 1°, van het WER. Wetsontwerp van 20 april 2017 houdende invoeging van het Boek XX “Insolventie van ondernemingen”, in het Wetboek van economisch recht, en houdende invoeging van de definities eigen aan boek XX, en van de rechtshandhavingsbepalingen eigen aan boek XX, in boek I van het Wetboek van economisch recht, Memorie van toelichting, Parl. St., Kamer, gewone zitting, 20162017, nr. 54-2407/1, p. 88. Beslissing ten gronde 69/2025 — 29/40 72. Artikel XX.15 van het WER bepaalt immers dat RegSol een authentieke bron van gegevens is voor “alle akten en gegevens die erin zijn opgenomen”. 73. Bovendien bepaalt artikel XX.16 van het WER dat RegSol verschillende categorieën persoonsgegevens verwerkt, bevolkingsregister of de waaronder "het maatschappelijke adres zetel" van van inschrijving verschillende in het actoren in faillissementsprocedures, met inbegrip van vereffeningsdeskundigen 58. 74. Op basis van deze elementen is de Geschillenkamer van oordeel dat op het gebied van faillissementen RegSol de authentieke bron is die moet worden geraadpleegd, en niet de KBO of het RR. 75. De Geschillenkamer merkt op dat, hoewel boek XX van het WER op 1 mei 2018 in werking is getreden, RegSol niettemin al sinds 1 april 2017 bestaat 59. Deze authentieke gegevensbron werd namelijk voor het eerst vastgelegd in de wet van 1 december 2016 tot wijziging van het Gerechtelijk Wetboek en van de faillissementswet van 8 augustus 1997 met het oog op de invoering van het Centraal Register Solvabiliteit. Deze wet werd vervolgens geconcretiseerd door het Koninklijk Besluit van 23 maart 2017 houdende de werking van het Centraal Register Solvabiliteit – beide traden in werking op 1 april 2017. 76. Verweerder 1 heeft tijdens de hoorzitting terecht aangevoerd dat hij geen toegang had tot RegSol toen het systeem werd ingevoerd. Er moest namelijk een protocol worden gesloten met de verwerkingsverantwoordelijken van de authentieke bron om de toegang tot deze bron te regelen. 77. De Geschillenkamer merkt echter op dat dit protocol pas op 27 januari 2023 is aangenomen, na twee of drie jaar van onderhandelingen, waarover verweerder 1 getuigt dat zich veel moeilijkheden hebben voorgedaan, die deels veroorzaakt werden door de context waarin hij en de onderhandelende partijen zich bevonden, namelijk de gezondheidscrisis als gevolg van de COVID-19-pandemie. 78. Op het moment dat verweerder 1 onderhandelingen startte met de verwerkingsverantwoordelijken van RegSol om toegang te verkrijgen, bestond deze authentieke bron al bijna drie jaar. De Geschillenkamer merkt op dat: (
39. i)verweerder 1 een federale instantie is en als zodanig een voorbeeldfunctie en een zorgvuldigheidsplicht heeft, 58 Artikel I.23.7° van het WER: " 'vereffeningsdeskundige': een gerechtsmandataris waarvan de taak, mede op tussentijdse basis, erin bestaat, een of meer van de volgende taken te vervullen:
40. i)de in het kader van een insolventieprocedure ingediende vorderingen verifiëren en aanvaarden;
41. ii)het collectieve belang van de schuldeisers behartigen; iii) het geheel of een deel van de goederen waarover de schuldenaar het beheer en de beschikking werd ontzegd, beheren;
42. iv)de onder iii) bedoelde goederen vereffenen en in voorkomend geval de opbrengst verdelen onder de schuldeisers; of
43. v)toezien op het beheer van de onderneming van de schuldenaar;" 59 Artikel 5 van de wet van 1 december 2016 tot wijziging van het Gerechtelijk Wetboek en de faillissementswet van 8 augustus 1997 met het oog op de invoering van het Centraal Register voor Solvabiliteit. Beslissing ten gronde 69/2025 — 30/40 en; (
44. ii)faillissementsprocedures procedures zijn waarvan de gevolgen voor de betrokkenen zeer ingrijpend60 kunnen zijn, en dat in dit verband de grootste zorgvuldigheid geboden is bij het verzenden van brieven aan curatoren. 79. De Geschillenkamer houdt ook rekening met het feit dat verweerder 1 al sinds ten minste 25 mei 201861 op de hoogte was van de problemen die de betrokken curatoren ondervonden. De Geschillenkamer stelt bovendien vast dat verweerder 1 de betrokken curatoren niet op de hoogte heeft gebracht van de situatie en van de nagestreefde oplossing. 80. Door zo laat onderhandelingen te starten met de verwerkingsverantwoordelijken van RegSol, terwijl hij op de hoogte was van de problemen die de betrokken curatoren ondervonden, heeft verweerder 1 niet alle passende middelen ingezet om de toegang tot RegSol te organiseren en heeft hij dus niet met de vereiste zorgvuldigheid gehandeld. 81. Tijdens de hoorzitting heeft de Geschillenkamer begrepen dat verweerder 1 aanvoerde dat RegSol niet vanaf het begin een authentieke gegevensbron was, waardoor het gerechtvaardigd was dat hij niet eerder onderhandelingen had aangeknoopt om toegang tot RegSol te verkrijgen. De Geschillenkamer volgt deze zienswijze niet. RegSol wordt aangewezen als authentieke gegevensbron door de normatieve teksten waarmee het wordt bekrachtigd en die hieboven zijn aangehaald. Deze teksten zijn op zijn vroegst op 1 april 2017 in werking getreden en voorzien in geen enkele overgangsperiode waarna alleen RegSol een authentieke gegevensbron zou worden. Het feit dat RegSol aanvankelijk niet over bijzonder veel gegevens beschikte – aangezien het net was opgericht – doet geen afbreuk aan deze vaststelling, noch aan het feit dat verweerder 1 te laat met de onderhandelingen is begonnen. 82. Concluderend is de Geschillenkamer van oordeel dat verweerder 1 de artikelen 5.1.d), 5.2, 24 en 25 van de AVG heeft geschonden door niet zorgvuldig te handelen bij het organiseren van zijn toegang tot RegSol, de authentieke bron die op het gebied van faillissementen prevaleert, en dat hij aldus niet heeft gehandeld in overeenstemming met het beginsel van juistheid, en evenmin voldoende technische en organisatorische maatregelen door ontwerp en door standaardinstellingen heeft getroffen. Betreffende verweerder 3 83. Wat betreft de voorrang van RegSol als authentieke bron van gegevens inzake faillissementen verwijst de Geschillenkamer naar de punten 68 tot en met 74 van de onderhavige beslissing. 60 Denk hierbij met name aan kennisgevingen van uitvoerende beslagen onder derden die zeer korte termijnen tot handelen opleggen. 61 Zie pagina 32 van het onderzoeksverslag. Beslissing ten gronde 69/2025 — 31/40 84. De Geschillenkamer wijst er bovendien op dat de ordonnantie van 17 juli 2020 houdende verankering van het principe van de unieke gegevensinzameling in de werking van de diensten en instanties die behoren tot of taken uitvoeren voor de overheid en tot vereenvoudiging en gelijkschakeling van elektronische en papieren formulieren, op 11 september 2020 in werking is getreden. 85. De Geschillenkamer wijst erop dat verweerder 3 weliswaar onderhandelingen heeft aangeknoopt met de verwerkingsverantwoordelijken van RegSol om toegang tot deze authentieke bron te organiseren, maar dat hij dit duidelijk te laat heeft gedaan, aangezien er op het moment van de hoorzitting (11 december 2024) nog geen overeenkomst was gesloten. 86. De Geschillenkamer merkt op dat: (
45. i)verweerder 3 een deelstaatoverheid is en als zodanig een voorbeeldfunctie en een zorgvuldigheidsplicht heeft, en; (
46. ii)faillissementsprocedures procedures zijn waarvan de gevolgen voor de betrokkenen zeer ingrijpend 62 kunnen zijn, en dat in dit verband de grootste zorgvuldigheid geboden is bij het verzenden van brieven aan curatoren. 87. De Geschillenkamer houdt ook rekening met het feit dat verweerder 3 al sinds ten minste 18 februari 202163 op de hoogte was van de problemen die de betrokken curatoren ondervonden. De Geschillenkamer stelt bovendien vast dat verweerder 3 de betrokken curatoren niet op de hoogte heeft gebracht van de situatie en van de nagestreefde oplossing. 88. Door zo laat onderhandelingen te starten met de verwerkingsverantwoordelijken van RegSol, terwijl hij op de hoogte was van de problemen die de betrokken curatoren ondervonden, heeft verweerder 3 niet alle passende middelen ingezet om de toegang tot RegSol te organiseren en heeft hij dus niet met de vereiste zorgvuldigheid gehandeld. 89. De Geschillenkamer voegt eraan toe dat het Belgisch Staatsblad geen authentieke gegevensbron is en dat verweerder 3 de persoonsgegevens van de betrokken curatoren daar dan ook niet mag verzamelen. 90. Verder merkt de Geschillenkamer, in tegenstelling tot wat verweerder 3 in zijn conclusie betoogt, op dat de betwiste gevallen geen "geïsoleerde gevallen" zijn. De ID heeft immers 28 gevallen geteld onder 603 curatoren. De betwiste gevallen – die werden geteld – vertegenwoordigen iets minder dan 5% van de curatoren. Dit wijst dan ook op een systemisch probleem, dat in casu overigens bewezen is, aangezien uit de onderhavige analyse blijkt dat verweerder 3 niet de authentieke bron heeft gebruikt die hij had moeten 62 De Geschillenkamer denkt hier met name aan kennisgevingen van uitvoerende beslagen onder derden die zeer korte termijnen tot handelen opleggen. 63 Zie pagina 115 van het onderzoeksverslag. Beslissing ten gronde 69/2025 — 32/40 gebruiken, gelet op de doeleinden van de verwerkingen in kwestie, namelijk RegSol. In ieder geval geldt het beginsel van juistheid in alle gevallen; de AVG voorziet niet in een uitzondering hierop voor “geïsoleerde gevallen”. 91. Concluderend is de Geschillenkamer van oordeel dat verweerder 3 de artikelen 5.1.d), 5.2, 24 en 25 van de AVG heeft geschonden door niet zorgvuldig te handelen bij het organiseren van zijn toegang tot RegSol, de authentieke bron die op het gebied van faillissementen prevaleert, en dat hij aldus niet heeft gehandeld in overeenstemming met het beginsel van juistheid, en evenmin voldoende technische en organisatorische maatregelen door ontwerp en door standaardinstellingen heeft getroffen. Betreffende verweerder 4 92. In de eerste plaats merkt de Geschillenkamer op dat op verweerder 4 geen enkel decreet van toepassing is dat hem het beginsel van unieke gegevensverzameling bij authentieke gegevensbronnen oplegt, zoals zij reeds in punt 49 van deze beslissing heeft aangegeven. 93. Vervolgens stelt de Geschillenkamer vast dat verweerder 4 intern een geautomatiseerd systeem had opgezet dat de KBO raadpleegde om toegang te krijgen tot het kantooradres van de curatoren. Uit zijn conclusie blijkt echter dat in antwoord op de verzoeken van hun geautomatiseerde systeem, de KBO het RR-nummer van de curatoren doorstuurde in plaats van hun ondernemingsnummer, zodat hij brieven aan de curatoren naar hun privéadressen stuurde in plaats van naar hun kantooradressen. 94. Bijgevolg wordt vastgesteld – en zelfs door verweerder 4 erkend – dat hij persoonsgegevens heeft verwerkt die onjuist waren gelet op het doel waarvoor zij werden verzameld. 95. Dit volstaat echter niet om te concluderen dat verweerder 4 het beginsel van juistheid heeft geschonden. Het loutere feit dat een verwerkingsverantwoordelijke onjuiste persoonsgegevens heeft verwerkt, kan ons niet tot een dergelijke conclusie leiden; aangezien dit beginsel een inspanningsverbintenis inhoudt, moet nog worden aangetoond dat verweerder 4 niet alle redelijke maatregelen heeft genomen om aan dit beginsel te voldoen. 96. In die zin blijkt uit het onderzoekverslag dat verweerder 4 ten minste twee brieven van curatoren heeft ontvangen waarin deze problemen werden gemeld. Deze zijn gedateerd op 17 november 2020 en 30 december 2020. De Geschillenkamer stelt bovendien vast dat verweerder 4 de betrokken curatoren niet op de hoogte heeft gebracht van de situatie en van de nagestreefde oplossing. 97. De Geschillenkamer merkt voorts op dat de impact die het gebruik van onjuiste persoonsgegevens bij het verzenden van brieven aan curatoren kan hebben op de rechten en vrijheden van de betrokkenen vrij groot kan zijn (zie punt 78 van deze beslissing) en dat Beslissing ten gronde 69/2025 — 33/40 het beginsel van juistheid dan strikt moet worden uitgelegd, maar dat ook rekening moet worden gehouden met de hoeveelheid werk van verweerder 4, die jaarlijks een zeer groot aantal brieven moet verzenden (3,5 miljoen in 2020), en dat derhalve van verweerder 4 redelijkerwijs niet kon worden verwacht dat hij zijn maatregelen zou aanpassen binnen de dagen of weken nadat hij ervan in kennis was gesteld dat hij onjuiste gegevens verwerkte bij het verzenden van brieven aan de betrokken curatoren. Hoewel de administratieve lasten in aanmerking kunnen worden genomen bij de analyse van de evenredigheid van de corrigerende maatregelen, kunnen zij geen rechtvaardiging vormen voor het voortzetten van een niet-conforme verwerking. 98. Verweerder 4 geeft aan dat hij in maart 2021 een spoedprocedure heeft ingesteld om de ondernemingsnummers – en dus ook de kantooradressen – van de curatoren in zijn eSignaapplicatie op te nemen. Verweerder 4 geeft aan dat hij bij deze procedure handmatig gegevens moest invoeren, wat gezien het aantal belastingplichtigen de vertraging bij de invoering van deze procedure rechtvaardigt. Hij verduidelijkt dat deze spoedprocedure slechts tijdelijk is, dat een grondigere wijziging van zijn computerprogramma gepland is en dat het in de klacht gemelde probleem met de nieuwe versie van eSigna, die in principe eind februari 2022 beschikbaar zou zijn, verholpen zou moeten zijn. 99. De Geschillenkamer stelt vast dat er na die datum geen nieuwe verwijten aan verweerder 4 zijn gemaakt met betrekking tot dezelfde feiten. 100. In ieder geval merkt de Geschillenkamer op dat verweerder 4 een bron van persoonsgegevens van goede kwaliteit gebruikte, namelijk de KBO, hoewel deze laatste niet de authentieke gegevensbron is in het kader van faillissementsprocedures (zie punten 64 tot 71), maar niettemin een authentieke gegevensbron is. 101. Concluderend is de Geschillenkamer van oordeel dat verweerder 4 artikel 5.1.
47. d)van de AVG niet heeft geschonden, aangezien hij weliswaar gedurende enige tijd gegevens heeft gebruikt die onjuist waren gelet op het doel waarvoor zij werden verwerkt, maar hem niet kan worden verweten dat hij niet alle passende maatregelen heeft genomen om het beginsel van juistheid na te leven, aangezien hij een authentieke gegevensbron gebruikte om de postadressen van de betrokken curatoren te verzamelen en hij, zodra hij op de hoogte was gebracht van de problemen in dit verband, zijn maatregelen heeft aangepast om ervoor te zorgen dat hij juiste gegevens verwerkte. De Kamer herinnert er echter aan dat het gebruik van een authentieke bron een contextuele waakzaamheid niet overbodig maakt, met name wanneer herhaalde signalen wijzen op de ongeschiktheid van gegevens voor het doel van de verwerking. 102. Ter informatie wijst de Geschillenkamer verweerder 4 echter op de punten 64 tot en met 91 van deze beslissing en op het feit dat de KBO weliswaar een authentieke gegevensbron is, maar niet de authentieke gegevensbron die in het kader van faillissementen moet worden Beslissing ten gronde 69/2025 — 34/40 geraadpleegd (dat is RegSol), en dat het gebruik van de KBO duidelijk kan leiden tot fouten bij het adresseren van brieven aan curatoren, zoals is geconstateerd in het geval van verweerders 1 en 3, aangezien de KBO niet adequaat wordt aangevuld door curatoren die hun beroep van advocaat als zelfstandige uitoefenen. Verweerder 4 zou hiermee in de toekomst ook rekening moeten houden, indien eventuele toekomstige decreten hem in de toekomst inderdaad zouden verplichten tot het gebruik van authentieke gegevensbronnen en het principe van unieke gegevensverzameling. II.2.3. Wat betreft de rechtmatigheid van de verwerking van het privéadres van de curatoren (artikelen 5.1.
48. a)en 6 van de AVG) 103. Artikel 5.1.
49. a)van de AVG stelt dat persoonsgegevens moeten worden verwerkt "op een wijze die rechtmatig, behoorlijk en transparant" is.64 104. Elke verwerking van persoonsgegevens moet steunen op een van de zes rechtsgronden zoals vermeld in artikel 6.1 van de AVG. 105. In het onderhavige geval beroept verweerder 1 zich op een taak van algemeen belang in de zin van artikel 6.1.
50. e)van de AVG en wijst hij erop dat hij de KBO heeft geraadpleegd overeenkomstig de verplichtingen die hij uit hoofde van de wetten van 15 augustus 2012 en 5 mei 2014 moet nakomen. 106. Verweerder 3 verklaart dat hij brieven naar curatoren stuurt in het kader van de naleving van zijn wettelijke verplichting en de uitoefening van de taak van algemeen belang of van een taak in het kader van het gezag dat aan hem is opgedragen. 107. Verweerder 4 verklaart dat hij brieven naar curatoren stuurt in het kader van zijn wettelijke verplichting tot inning en invordering van Waalse belastingen die verschuldigd zijn door gefailleerde ondernemingen waarvan de vereffening is toevertrouwd aan die curatoren. 108. De Geschillenkamer acht het niet relevant om zich over dit aspect van het dossier uit te spreken, aangezien verweerders 1, 3 en 4 in het onderhavige geval ervan uitgingen dat zij het kantooradres van de curatoren gebruikten en niet hun privéadres. De kernvraag in deze zaak betreft dan ook de technische en organisatorische maatregelen die verweerders 1, 3 en 4 hebben genomen om het beginsel van juistheid van gegevens na te leven. De Geschillenkamer verwijst de partijen in dit verband naar de punten 64 tot en met 82 (wat verweerder 1 betreft), 83 tot en met 91 (wat verweerder 3 betreft) en 92 tot en met 102 (wat verweerder 4 betreft) van de onderhavige beslissing. 64 De Geschillenkamer onderstreept. Beslissing ten gronde 69/2025 — 35/40 II.2.4. Wat betreft de rechtmatigheid van de verzameling van en toegang tot het Rijksregister (artikelen 5.1.
51. a)en 6 van de AVG en de wet van 8 augustus 1983) 109. Verweerder 1 wijst op het authentieke karakter van het Rijksregister als authentieke bron. Verweerder 1 voegt hieraan toe dat als hij informatie over curatoren moet verzamelen, hij in de eerste plaats gebruikmaakt van de KBO, en dat hij in deze context informatie uit het RR kan verkrijgen zonder toegang tot het RR te hebben. Hij concludeert dat hij slechts subsidiair het RR kan raadplegen. 110. Verweerder 3 voert aan dat het verzenden van brieven naar het verkeerde adres van curatoren slechts in enkele geïsoleerde gevallen is voorgekomen en dat dit probleem inmiddels is opgelost. Hij verklaart bovendien dat hij het RR hiervoor niet gebruikt. 111. Verweerder 4 verklaart dat hij brieven verstuurt aan curatoren in het kader van zijn wettelijke verplichting tot inning en invordering van Waalse belastingen die verschuldigd zijn door gefailleerde ondernemingen waarvan de vereffening is toevertrouwd aan die curatoren. 112. De Geschillenkamer merkt op dat er geen bewijs is dat verweerders 1, 3 en 4 in deze zaak daadwerkelijk het RR hebben geraadpleegd, en acht het in ieder geval niet relevant om zich over dit aspect van het dossier uit te spreken. II.2.5. Wat betreft het register van de verwerkingsactiviteiten (artikel 30 van de AVG) 113. Allereerst moeten twee zaken worden vermeld. Ten eerste betreft de kwestie van het activiteitenregister alleen verweerders 3 en 4, en meer in het bijzonder verweerder 3. Ten tweede heeft de Inspectiedienst in zijn onderzoeksverslag inderdaad een inbreuk vastgesteld op artikel 30.1, juncto artikel 30.4, van de AVG door verweerders 3 en 4, omdat hun registers van de verwerkingsactiviteiten, zoals meegedeeld aan de Inspectiedienst, niet alle elementen bevatten die in artikel 30.1 van de AVG worden opgesomd, maar heeft de Geschillenkamer geoordeeld dat zij deze aspecten niet in het kader van de voor haar gevoerde debatten moest behandelen (zie punt 8 van de onderhavige beslissing). De partijen werden dan ook niet verzocht om in die zin te concluderen, en de Geschillenkamer zal op dit punt geen sanctie opleggen. 114. Dit gezegd zijnde, en voor zover verweerder 3 zich hierover heeft uitgesproken, merkt de Geschillenkamer op dat de Inspectiedienst verweerder 3 inderdaad het ontbreken van verschillende in artikel 30.1 van de AVG vermelde gegevens verwijt, en meer bepaald het ontbreken van de in de punten a),
52. f)en g)65 van datzelfde artikel bedoelde gegevens. 65 Artikel 30.1 van de AVG zoals benadrukt door de Geschillenkamer: “1. Elke verwerkingsverantwoordelijken en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens: Beslissing ten gronde 69/2025 — 36/40 115. De Geschillenkamer merkt op dat verweerder 3 erkent dat bepaalde informatie vermeld in punt
53. a)van artikel 30.1 van de AVG ontbrak in zijn register van de verwerkingsactiviteiten, wat hij later heeft gecorrigeerd. Hij is echter van mening dat er geen sprake is van een inbreuk met betrekking tot de informatie vermeld in de punten
54. f)en
55. g)van hetzelfde artikel, aangezien deze niet noodzakelijkerwijs verplicht is. Verweerder 3 baseert zich op de formulering van deze bepalingen. 116. De Geschillenkamer merkt op dat voor elk van deze twee punten inderdaad de woorden “indien mogelijk” worden gebruikt. Er moet dan ook vanuit worden gegaan dat er situaties zijn waarin het niet mogelijk is om deze informatie in het register van de verwerkingsactiviteiten te vermelden, of dat het in ieder geval niet mogelijk is om deze volledig te vermelden. De Geschillenkamer is echter van mening dat de verwerkingsverantwoordelijke in een dergelijke situatie de toezichthoudende autoriteit moet meedelen waarom dergelijke gegevens in voorkomend geval niet in zijn verwerkingsregister zijn opgenomen, zodat de naleving van artikel 30, leden 1 en 4, van de AVG daadwerkelijk kan worden gecontroleerd. Het register van de verwerkingsactiviteiten is in feite een centraal instrument voor de documenteerplicht van de verwerkingsverantwoordelijke (artikel 30) en een directe weerspiegeling van het verantwoordingsbeginsel. De Groep artikel 29 verklaarde al eerder: "Bijgevolg is dit dan een voorafgaande vereiste met het oog op naleving [van de AVG], en als dusdanig een effectieve maatregelen [sic] met het oog op verantwoording.”66 Op die manier hebben zowel de toezichthoudende autoriteit als de verwerkingsverantwoordelijke zelf een algemeen overzicht van alle activiteiten op het gebied van de verwerking van persoonsgegevens.
56. a)de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming;
57. b)de verwerkingsdoeleinden;
58. c)een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;
59. d)de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
60. e)indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende waarborgen;
61. f)indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist;
62. g)indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1.” 66 Groep "artikel 29", Richtlijnen voor functionarissen voor gegevensbescherming (Data Protection Officer, DPO), goedgekeurd op 13 december 2016 en laatstelijk herzien op 5 april 2017, p. 22, beschikbaar via: https://ec.europa.eu/newsroom/article29/items/612048. Beslissing ten gronde 69/2025 — 37/40 III. Corrigerende maatregelen en sancties III.1. Waaier aan sancties 117. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. III.2. Beoordeling van de passende sanctie/corrigerende maatregel door de Geschillenkamer 118. Wat betreft verweerder 1: de Geschillenkamer beslist om verweerder 1 een berisping te geven voor de inbreuk op de artikelen 5.1.d), 5.2, 24 en 25 van de AVG, aangezien hij onjuiste persoonsgegevens heeft verwerkt in het licht van het doel van de verwerking, en dit te wijten is aan zijn gebrek aan zorgvuldigheid bij het voeren van onderhandelingen over het sluiten van een protocol dat toegang mogelijk maakt tot de authentieke gegevensbron die in faillissementsprocedures moet worden gebruikt, namelijk RegSol. De Geschillenkamer houdt rekening met het feit dat verweerder 1 op 9 maart 2023 een dergelijk protocol heeft kunnen sluiten. Dit neemt echter niet weg dat er in het verleden sprake is geweest van schendingen. Beslissing ten gronde 69/2025 — 38/40 119. Wat betreft verweerder 2: de Geschillenkamer beslist om de aspecten van de klacht met betrekking tot verweerder 2 te seponeren om technische redenen, aangezien noch uit de stukken van het dossier, noch uit het onderzoeksverslag specifiek blijkt dat verweerder 2 daadwerkelijk de door de klager hem verweten verwerking van persoonsgegevens heeft uitgevoerd. 120. Wat betreft verweerder 3: de Geschillenkamer beslist om verweerder 3 een berisping te geven voor de inbreuk op de artikelen 5.1.d), 5.2, 24 en 25 van de AVG, aangezien hij onjuiste persoonsgegevens heeft verwerkt in het licht van het doel van de verwerking, en dit te wijten is aan zijn gebrek aan zorgvuldigheid bij het voeren van onderhandelingen over het sluiten van een protocol dat toegang mogelijk maakt tot de authentieke gegevensbron die in het onderhavige geval moet worden gebruikt, namelijk RegSol. De Geschillenkamer houdt rekening met het feit dat verweerder 3 in onderhandeling is over een protocol dat hem toegang geeft tot de authentieke gegevensbron die in faillissementsprocedures moet worden gebruikt, namelijk RegSol. Dit neemt echter niet weg dat er in het verleden sprake is geweest van schendingen. 121. Wat betreft verweerder 4: de Geschillenkamer beslist om de tegen verweerder 4 geuite grieven buiten vervolging te stellen, met dien verstande dat, hoewel verweerder 4 onjuiste persoonsgegevens heeft verwerkt in het licht van het doel van de verwerking, hij snel redelijke maatregelen heeft genomen om deze te corrigeren, en dat hij bovendien toereikende en redelijke technische en organisatorische maatregelen had getroffen om ervoor te zorgen dat hij door ontwerp en door standaardinstellingen juiste gegevens verwerkt bij het verzenden van brieven aan de betrokken curatoren. Voor het overige verwijst de Geschillenkamer verweerder 4 naar punt 102 van deze beslissing. IV. Publicatie van de beslissing 122. Gelet op het belang van transparantie met betrekking tot het besluitvormingsproces van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. 123. In de onderhavige zaak beslist de Geschillenkamer deze beslissing te publiceren met vermelding van het college van Franstalige curatoren van Brussel en van verweerders 1, 3 en 4. Dit dient verschillende doeleinden. 124. In de eerste plaats dient dit een doel van algemeen belang. De verweerders zijn overheidsinstanties; verweerder 1 is een federale overheid en verweerders 3 en 4 zijn deelstaatoverheden. Elk van hen verwerkt een zeer groot aantal persoonsgegevens, aangezien het om belastingautoriteiten gaat. Bovendien kunnen de betwiste verwerkingen een zekere impact hebben op de rechten en vrijheden van de betrokkene, aangezien het Beslissing ten gronde 69/2025 — 40/40 artikel 1034quinquies van het Ger.W.68, of via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get.) Hielke HIJMANS Voorzitter van de Geschillenkamer 68 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.