← België

Beslissing ten gronde nr. 70/2025

1/14 Geschillenkamer Beslissing 70/2025 van 18 april 2025 Dossiernummer : DOS-2022-02223 Betreft : Bevraging van minderjarige leerlingen omtrent middelengebruik, gokken en gamen in het kader van het uitwerken van een gezondheidsbeleid op school De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Onderwijsinrichtingen Y, hierna “de verweerder” Beslissing ten gronde 70/2025 — 2/14 I. 1. Feiten en procedure Op 18 mei 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. 2. Het voorwerp van de klacht betreft het online bevragen via Smartschool van minderjarige leerlingen omtrent drug- en alcoholgebruik, gamen en gokken teneinde een gezondheidsbeleid te ontwikkelen op school. De klager voert aan dat er geen anonieme gegevensverwerking zou zijn waardoor het beginsel van minimale gegevensverwerking zou zijn geschonden. Bovendien stelt hij dat de gegevens van zijn dochter worden verwerkt zonder de vereiste vrije, geïnformeerde toestemming, hetwelk des te meer van belang is gelet op het feit dat door de bevraging informatie over de gezondheidstoestand van zijn dochter wordt verwerkt waarvoor de uitdrukkelijke toestemming is vereist. 3. Op 31 mei 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 2 februari 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 16 maart 2023, deze voor de conclusie van repliek van de klager op 6 april 2023 en deze voor de conclusie van repliek van de verweerder op 27 april 2023. 5. Op 3 februari 2023 geeft de klager te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 6. Op 15 februari 2023 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 16 februari 2023, en aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak. 7. Op 16 maart 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. Daarin wordt in essentie aangevoerd dat de verweerder niet optreedt als verwerkingsverantwoordelijke, alsook dat het anonieme gegevens betreft waarop de verweerder de AVG niet van toepassing acht en dat aan het beginsel van minimale gegevensverwerking is voldaan. De verweerder stelt tevens dat artikel 8 AVG (Voorwaarden voor de toestemming van kinderen met betrekking tot diensten van de informatiemaatschappij) niet van toepassing is. Beslissing ten gronde 70/2025 — 3/14 8. Op 3 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De klager bevestigt de bewering van de verweerder dat de leerlingen geen gebruik dienden te maken van het Smartschool platform voor het invullen van de bevraging. Samengevat stelt de klager verder dat de verweerder de verwerkingsverantwoordelijke is voor alle leerlingengegevens waarvan de klager betwist dat deze anoniem zouden zijn. Ook stelt zich volgens de klager een probleem op het vlak van technische en organisatorische maatregelen om de beveiliging van de leerlingengegevens te verzekeren. Omtrent de rechtsgrond stelt de klager dat toestemming de rechtsgrond dient te zijn en dat deze geïnformeerd, duidelijk en ondubbelzinnig moet zijn. 9. Op 27 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder waarin het standpunt wordt hernomen zoals in de conclusie van antwoord. 10. Op 24 juni 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 5 juli 2024. 11. Op 5 juli 2024 worden de partijen gehoord door de Geschillenkamer. 12. Op 8 juli 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 13. De Geschillenkamer heeft vanwege de partijen geen opmerkingen ontvangen met betrekking tot het proces-verbaal. Op 8 juli 2024 bezorgt de klager aan de Geschillenkamer en de verweerder wel nog de handleiding over de organisatie van de expertisecentrum Zleerlingenbevraging waarin de mogelijkheid is voorzien tot het invullen van de bevraging van thuis uit, waarnaar hij heeft verwezen tijdens de hoorzitting. II. Motivering

  1. a)Verwerkingsverantwoordelijke en gegevensverwerking 14. De klager heeft klacht ingediend tegen de verweerder, een school met zijn 13-jarige dochter als leerling. Daarnaast geeft de klager in de klacht aan dat hij zijn opmerkingen over het gebruik van toestemming eveneens aan de onderwijskoepel en de inrichtende vzw heeft verzonden. 15. De verweerder voert aan niet de hoedanigheid van verwerkingsverantwoordelijke te hebben, maar stelt dat het expertisecentrum Z optreedt als verwerkingsverantwoordelijke voor de leerlingenbevraging. 16. De Geschillenkamer stelt vast dat de Codex Secundair Onderwijs 1 als uitgangspunt fungeert bij het bepalen van de instantie aan wie de hoedanigheid van verwerkingsverantwoordelijke 1 Codificatie van 17 december 2010 betreffende het secundair onderwijs, gecoördineerd op 17 december 2010 Beslissing ten gronde 70/2025 — 4/14 dient te worden toegeschreven. Het betreft in het bijzonder artikel 123/22 2 van deze Codex waarin is opgenomen dat de school ertoe is gehouden een beleid te ontwikkelen over leerlingenbegeleiding dat is afgestemd op de noden van de leerlingenpopulatie en de context waarin de school zich bevindt. Zoals de verweerder aanhaalt, reikt het Vlaams Ministerie van Onderwijs en Vorming de scholen handvaten aan bij het opmaken van een beleid op leerlingenbegeleiding en ook bij het opmaken van een alcohol- en drugsbeleid op school 3. 17. Het beoogde doeleinde is aldus vastgelegd in het betreffende artikel 123/22 van de Codex Secundair Onderwijs, namelijk de ontwikkeling van een beleid op leerlingenbegeleiding afgestemd op de noden van de leerlingen en de context van de school. De realisatie van dit doeleinde wordt in deze bepaling van de Codex nadrukkelijk toegeschreven aan de school. Dit betekent dat het opmaken van een alcohol- en drugsbeleid op school een taak is die wordt opgedragen aan de school in het kader van de ontwikkeling van een beleid over leerlingenbegeleiding. Op basis van deze bepaling in de Codex moet dit doeleinde dan ook worden aangemerkt als eigen aan de school, aangezien de school in deze bepaling expliciet wordt aangeduid als instantie die het doeleinde ‘ontwikkeling van een beleid inzake leerlingenbegeleiding’, waaronder een beleid rond alcohol en drugs, vaststelt. Het doel van de verwerking is aldus in de Codex vastgelegd. De school kan worden aangemerkt als verwerkingsverantwoordelijke, aangezien deze bij wet is aangewezen voor de verwezenlijking van dit doel, deze publieke taak 4. 2 Art. 123/22. De school ontwikkelt een beleid op leerlingenbegeleiding dat is afgestemd op het pedagogisch project, de noden van de leerlingenpopulatie en de context waarin de school zich bevindt. Het beleid op leerlingenbegeleiding omvat de begeleiding van de leerlingen, het ondersteunen van het handelen van het onderwijzend personeel, het beleid voor de preventie van afzondering en fixatie en voor de afbouw ervan, vermeld in artikel 123/24/1, als de school of het centrum daar een beleid over ontwikkelt, en de coördinatie van alle leerlingbegeleidingsinitiatieven op niveau van de school. De school implementeert, evalueert en stuurt, zo nodig, dat beleid bij. Ter versterking van dat beleid voert de school een professionaliseringbeleid. De school wijst binnen haar personeelskader een of meer personeelsleden aan die geheel of gedeeltelijk met leerlingenbegeleiding worden belast. Bij de opmaak en evaluatie van het beleid op leerlingenbegeleiding betrekt de school relevante partners. Voor bijkomende inhoudelijke expertise doet de school een beroep op het centrum voor leerlingenbegeleiding. Voor schoolondersteuning zoekt de school externe ondersteuning bij de pedagogische begeleidingsdienst, eventueel in samenwerking met een externe dienst. Voor expertise met betrekking tot het onderwijs aan leerlingen met specifieke onderwijsbehoeften betrekt de school het leersteuncentrum. Een beleid op leerlingenbegeleiding beantwoordt aan de volgende principes: 1° het belang van elke leerling staat centraal; 2° het komt participatief tot stand en is gedragen door het hele schoolteam; 3° het is doelgericht, systematisch, planmatig en transparant; 4° het wordt discreet uitgevoerd; 5° er wordt verduidelijkt wie welke taak opneemt in de leerlingenbegeleiding met vermelding van het bevoegde personeel, vermeld in artikel 123/24/4, § 1, 3°, als er een beleid is voor de preventie van afzondering en fixatie en voor de afbouw ervan, vermeld in artikel 123/24/1. 3 https://onderwijs.vlaanderen.be/nl/directies-en-administraties/onderwijsinhoud-en-leerlingenbegeleiding/secundaironderwijs/schoolondersteuning-bij-grensoverschrijdend-gedrag/alcohol-en-drugsbeleid-op-school 4 Zoals uiteengezet in Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG (randnrs 22-24): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-conceptscontroller-and-processor-gdpr nl. Beslissing ten gronde 70/2025 — 5/14 18. Daarnaast bepaalt artikel 123/22 van de Codex ook de middelen die de school dient aan te wenden teneinde het vooropgestelde doel te bereiken. Die middelen zijn: ten eerste het betrekken van relevante partners bij de opmaak en evaluatie van het beleid op leerlingenbegeleiding, en ten tweede het zoeken van externe ondersteuning bij de pedagogische begeleidingsdienst, eventueel in samenwerking met een externe dienst ten behoeve van de schoolondersteuning. 19. Hieruit volgt dat zowel het doeleinde als de middelen wettelijk zijn bepaald en worden toegeschreven aan de school die als dusdanig optreedt als verwerkingsverantwoordelijke in de zin van artikel 4, 7) AVG 5. 20. Immers, om het vooropgestelde doeleinde te verwezenlijken, bepaalt de Codex dat de school daarbij relevante partners betrekt en voor ondersteuning een externe dienst inschakelt. Zoals de verweerder opwerpt, wordt de externe dienst expertisecentrum Z aanbevolen door het Vlaams Ministerie van Onderwijs en Vorming. Hieruit volgt dat het geenszins een verplichting is voor de school om de leerlingenbevraging en de daarmee gepaard gaande gegevensverwerking te laten uitvoeren door de externe dienst expertisecentrum Z. Het behoort dus tot de vrije keuze van de school om een beroep te doen op expertisecentrum Z. Dit wordt bevestigd in artikel 1 van het contract dat is gesloten tussen de verweerder enerzijds en expertisecentrum Z anderzijds, waarin is opgenomen dat de school vrijwillig deelneemt aan de leerlingenbevraging. Dit leidt ertoe dat niet alleen het doeleinde bestaande uit leerlingenbegeleiding dat dient te worden gerealiseerd door de school en aldus volledig eigen is aan de school, maar ook de middelen daartoe, worden bepaald door de school. Het is immers de school die bepaalt op welke wijze de persoonsgegevens van haar leerlingen zullen worden verwerkt om dit doel te bereiken en die daartoe beslist om een beroep te doen op een externe partner, in casu expertisecentrum Z, die deze gegevensverwerking in haar opdracht zal uitvoeren. 21. Het behoort derhalve tot de verantwoordelijkheid van de school om te waken over de verwerking van de persoonsgegevens van haar leerlingen in overeenstemming met de AVG, inzonderheid wanneer de school beslist de gegevensverwerking te laten uitvoeren door expertisecentrum Z en deze gegevens zoals in voorliggend geval mogelijk kunnen leiden tot de verwerking van gevoelige informatie. In dit kader werd dan ook een contract gesloten tussen de verweerder enerzijds en expertisecentrum Z anderzijds. Hieruit blijkt 5 Artikel 4 AVG. Voor de toepassing van deze verordening wordt verstaan onder: […] 7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; [eigen onderlijning] Beslissing ten gronde 70/2025 — 6/14 dat expertisecentrum Z de gegevens die werden verkregen door middel van de leerlingenbevraging kan verwerken na opdracht te hebben gekregen vanwege de school als verwerkingsverantwoordelijke. expertisecentrum Z kan dus worden beschouwd als verwerker in de zin van artikel 4, 8e AVG. 22. In overeenstemming met artikel 123/22 van de Codex ligt het dan ook volledig in lijn met de aanduiding van de school als verwerkingsverantwoordelijke dat in de onderlinge verhouding tussen de verweerder en expertisecentrum Z is opgenomen 6 dat de verweerder zelf instaat voor de naleving van de rechtsgrond waarop de leerlingenbevraging is gebaseerd doordat de verweerder zelf de toestemming dient te verkrijgen van de leerlingen ouder dan 13 jaar, dan wel van de ouders of voogd voor leerlingen jonger dan 13 jaar. Ook de vereiste voorafgaande informatie dient door de school zelf te worden verstrekt. Verder wordt in de onderlinge verhouding tussen partijen ook gestipuleerd dat niemand, ook niet de leerkracht(en), meekijkt naar de antwoorden of het scherm van de leerlingen gedurende de bevraging, noch fysiek, noch via pc-monitoring. Er wordt gesteld dat de vragenlijst polst naar gevoelige en persoonlijke gezondheidsgegevens waardoor de leerling met respect voor privacy eerlijk moet kunnen antwoorden. Daaraan wordt in het betreffende document toegevoegd dat het niet respecteren van de hieromtrent geldende wetgeving juridische consequenties voor de school kan hebben. De Geschillenkamer stelt vast dat de partijen hiermee aldus erkennen dat de school optreedt als verwerkingsverantwoordelijke, vermits de school instaat voor de naleving van de toepasselijke bepalingen van de AVG, en dat de juridische gevolgen die mogelijks kunnen voortvloeien uit het niet-naleven van de vereiste principes en garanties inzake gegevensverwerking dienen te worden toegerekend aan de school en dus niet aan expertisecentrum Z dat niet de hoedanigheid heeft van verwerkingsverantwoordelijke of gezamenlijke verwerkingsverantwoordelijke. 23. De verweerder staat zelf als verwerkingsverantwoordelijke in voor de rechtmatigheid van de gegevensverwerking. Daartoe verzoekt hij zelf om de toestemming bij de betrokkenen teneinde over een geldige rechtsgrond voor de verwerking te beschikken (art. 6 AVG). Aangezien het vaak ook gaat over bijzondere persoonsgegevens inzake de gezondheid moet eveneens worden voldaan artikel 9 AVG. Ook staat verweerder in voor de verstrekking van de essentiële informatie aan de betrokkenen (art. 13 AVG) omtrent de gegevensverwerking (nl. verzameling van informatie omtrent middelengebruik, gokken en gamen; enkel voor wetenschappelijke doeleinden; bepaling van de bewaartermijn, geen toegang tot de persoonsgegevens wegens gebrek aan mogelijkheid tot heridentificatie van de leerlingen, zowel in hoofde van de school als van expertisecentrum Z). 6 Zie hiervoor het document: “De expertisecentrum Z-leerlingenbevraging organiseren: handleiding” waarnaar wordt verwezen in het contract tussen de verweerder en expertisecentrum Z. Beslissing ten gronde 70/2025 — 7/14 24. Uit het geheel van deze feitelijke elementen volgt dat de verweerder ontegensprekelijk de wezenlijke middelen vaststelt van de gegevensverwerking. De verweerder argumenteert dat hij enkel de werkwijze van expertisecentrum Z volgt om leerlingen te laten deelnemen aan de bevraging om op basis daarvan te stellen dat de wezenlijke middelen niet door hemzelf, maar door expertisecentrum Z worden vastgesteld. De verweerder voert aan dat expertisecentrum Z bepaalt welke vragen worden gesteld, wie de antwoorden kan verwerken, welke scholen kunnen deelnemen, hoe de bevraging zal worden afgenomen, welke rapporten er worden gemaakt, alsook dat expertisecentrum Z heeft beslist om de leerlingenbevraging digitaal aan te bieden en niet meer op papier. 25. De rol van expertisecentrum Z beperkt zich tot het vaststellen van niet-wezenlijke middelen. 7 De Geschillenkamer stelt vast dat voor wat betreft de voorbereiding en de eigenlijke afname van de bevraging de rol van expertisecentrum Z zich beperkt tot het aanreiken aan de school van de nodige instrumenten zoals een door de school aan te passen modeldocument omtrent geïnformeerde toestemming aan de betrokkenen, alsook een handleiding omtrent de praktische organisatie van de bevraging met bijhorend instructiefilmpje en instructiekaart voor zowel de leerkrachten als de leerlingen. Het betreft louter praktische aspecten met betrekking tot de leerlingenbevraging die expertisecentrum Z ter beschikking stelt als externe ondersteunende partner vanuit haar expertise bij de organisatie van dergelijke bevraging. Ook de keuze voor een digitale bevraging in plaats van op papier behoort tot dergelijke niet-wezenlijke middelen. Aangaande de vragenlijst die expertisecentrum Z aanreikt aan de school om de leerlingenbevraging te doen, merkt de Geschillenkamer op dat deze lijst de concrete uitwerking vormt van het door de school beoogde doel zoals vastgelegd in artikel 123/22 van de Codex. Deze vragenlijst moet dan ook louter worden beschouwd als de concretisering van de door de school bepaalde categorie van te verwerken persoonsgegevens die nodig is in functie van het opmaken van een alcohol- en drugsbeleid op school , weliswaar tot stand gekomen op basis van de kennis en ervaring van expertisecentrum Z inzake de uitwerking daarvan. 26. Doordat de verweerder ervoor heeft geopteerd om een beroep te doen op expertisecentrum Z als externe partner die ondersteuning biedt bij de leerlingenbevraging, heeft de verweerder ervoor gekozen om de gegevens van de leerlingen te laten verwerken door expertisecentrum Z, waarbij na de afname de gegevens van de ingevulde vragenlijsten op een externe server worden bewaard, in een geaggregeerde databank. 27. In het tussen de verweerder en expertisecentrum Z gesloten contract is opgenomen dat expertisecentrum Z de verzamelde data van de school verwerkt en als enige toegang heeft 7 Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG (randnrs 39 e.v.): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-andprocessor-gdpr nl Beslissing ten gronde 70/2025 — 8/14 tot de data in een geanonimiseerde databank. Ook is daarin bepaald dat niemand, ook expertisecentrum Z niet, de individuele resultaten aan een bepaalde persoon kan linken. Daarenboven kan ook niemand, behalve expertisecentrum Z, de schooldata linken aan de school, omdat elke school een unieke code krijgt die alleen expertisecentrum Z kent. De school ontvangt vanwege expertisecentrum Z een rapport met de anonieme resultaten van de school, hetwelk de school helpt om zicht te krijgen op de leefwereld van de leerlingen die op school zitten om zo, op maat van deze resultaten, een preventief aanbod te plannen. Dit vormt voor de verweerder voldoende reden om te stellen dat in zijnen hoofde geen verwerking van persoonsgegevens plaatsvindt. 28. Dienaangaande brengt de Geschillenkamer in herinnering dat het niet noodzakelijk is dat de verwerkingsverantwoordelijke daadwerkelijk toegang heeft tot de gegevens die worden verwerkt. Iemand die een verwerkingsactiviteit uitbesteedt en daarbij een beslissende invloed heeft op het doel en de middelen van de verwerking, dient als verwerkingsverantwoordelijke te worden beschouwd, ook al heeft hij of zij nooit daadwerkelijk toegang tot de gegevens 8. Het Hof van Justitie van de Europese Unie heeft dit bevestigd in het arrest IAB Europe. 9 De anonieme rapportering op basis van de geaggregeerde gegevensverwerking uitgevoerd door expertisecentrum Z naar aanleiding van de informatie ingezameld door middel van de leerlingenbevraging, doet bijgevolg geen afbreuk aan het feit dat de verweerder wel degelijk optreedt als verwerkingsverantwoordelijke. 29. De Geschillenkamer wijst erop dat het vaststaat dat de leerlingenbevraging op het ogenblik van de afname ervan de verwerking van persoonsgegevens impliceert doordat de school via de gestelde vragen informatie inzamelt die door de leerlingen wordt verstrekt. Het feit dat de verweerder daarbij de werkwijze hanteert waarbij de leerling na het inloggen door middel van de toegewezen unieke logincode zijn inloggegevens dient aan te passen in die zin dat een nieuw wachtwoord dient te worden gekozen, maar met behoud van de gebruikersnaam, verandert hieraan niets. Elke deelnemende leerling verstrekt aanvankelijk door middel van de antwoorden op de gestelde vragen informatie die betrekking heeft op zijn persoon. De Geschillenkamer oordeelt dat het geheel van antwoorden normaal gesproken dermate specifiek en eigen is aan een welbepaalde persoon, zodanig dat die persoon identificeerbaar is. Daarenboven stipuleert het contract gesloten tussen de verweerder en expertisecentrum Z dat per leerling een unieke code wordt gegenereerd waarmee de leerling op de schoolcomputer of op de eigen computer, gsm of tablet kan inloggen. Verder wordt in dit contract ook bepaald dat voor leerlingen die geen eigen gsm 8 Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG (randnrs 44-45): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-andprocessor-gdpr_nl 9 Arrest van 7 maart 2024, C-604/22, ECLI:EU:C:2024:214, para 69. Beslissing ten gronde 70/2025 — 9/14 hebben, de school de mogelijkheid dient te voorzien om de vragenlijst in het computerlokaal in te vullen. Om het aanmaken van de logincodes te vergemakkelijken, dient de school aan expertisecentrum Z een excellijst met de voornaam en klascode van alle leerlingen te bezorgen. Deze elementen wijzen er niet op dat er sprake is van anonieme gegevens in de zin van artikel 4.1 AVG 10 en overweging 26 AVG 11. Hiertegenover staat enkel dat de verweerder tijdens de hoorzitting verklaart dat de enquête werd afgenomen in de school en dat de leerlingen die niet aanwezig waren op school binnen het voorziene tijdsslot niet hebben deelgenomen aan de enquête. Daaraan voegt de verweerder toe dat de school één internetlijn heeft met één IP-adres, zodanig dat op basis van het IP-adres gebruikt voor het invullen van de enquête geen unieke persoon kan worden geïdentificeerd. De bewering dat leerlingen enkel vanuit de school konden deelnemen via één enkel IP-adres werd evenwel niet gestaafd door de verweerder. 30. De Geschillenkamer merkt op dat de verweerder op geen enkele wijze aannemelijk maakt dat de anonimiteit van de verwerkte gegevens is verzekerd. De verweerder stelt in de conclusie dat vermits de bevraging vanuit expertisecentrum Z kwam en er duidelijk door expertisecentrum Z werd gesteld dat deze bevraging volledig anoniem was en dat niemand uit de gegevens noch uit de resultaten kon afleiden wie welke informatie gaf, de verweerder heeft beslist om deel te nemen aan het onderzoek. In dit verband wijst de Geschillenkamer erop dat artikel 5.2 AVG 12 een verantwoordingsplicht voorziet in hoofde van de verwerkingsverantwoordelijke, in casu de verweerder, zoals voorgaand uiteengezet. De Geschillenkamer is van oordeel dat indien de verweerder een anonieme gegevensverwerking door expertisecentrum Z voldoende achtte om het beoogde doel te bereiken, de verweerder zich ervan had moeten vergewissen dat de gegevens van de 10 Artikel 4 AVG: Voor de toepassing van deze verordening wordt verstaan onder: 1) 11 „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; Overweging 26 AVG: De beginselen van gegevensbescherming moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon gelden. Gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, moeten als gegevens over een identificeerbare natuurlijke persoon worden beschouwd. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken. Om uit te maken of van middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen. De gegevensbeschermingsbeginselen dienen derhalve niet van toepassing te zijn op anonieme gegevens, namelijk gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is. Deze verordening heeft derhalve geen betrekking op de verwerking van dergelijke anonieme gegevens, onder meer voor statistische of onderzoeksdoeleinden. 12 Artikel 5.2. AVG: De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”). Beslissing ten gronde 70/2025 — 10/14 leerlingen wel degelijk anoniem zouden worden verwerkt door expertisecentrum Z en dat daartoe de nodige technische en organisatorische middelen werden ingezet door expertisecentrum Z. 31. Doordat de verweerder in zijn verweermiddelen aangeeft dat hij niet heeft gehandeld als verwerkingsverantwoordelijke, dient de Geschillenkamer vast te stellen dat de verweerder deze toetsing aan artikel 5.1
  2. e)en
  3. f)AVG juncto artikel 24.1 en 28.1 AVG 13 niet heeft gedaan. Bij gebrek aan stukken in het dossier omtrent de mate waarin al dan niet de nodige technische en organisatorische maatregelen werden voorzien, beperkt de Geschillenkamer zich louter tot deze opmerking. Hetzelfde geldt voor de toetsing aan artikel 5.1
  4. c)AVG. Hoewel de verweerder aangeeft dat een anonieme bevraging volstaat om het vooropgestelde doel te bereiken, kan bij gebrek aan stukken tot staving van de anonimiteit van de betrokken leerlingen, niet worden geverifieerd of het beginsel van minimale gegevensverwerking werd gerespecteerd (artikel 5.1 c AVG). Het is op basis van de voorliggende stukken in het dossier immers niet duidelijk of een inhoudelijke combinatie van de antwoorden op de vragen al dan niet tot heridentificatie van een leerling kan leiden. Evenmin is duidelijk op welke wijze de anonimiteit van de leerlingen wordt verzekerd indien een excellijst met de voornaam en klascode van alle leerlingen door de verweerder aan expertisecentrum Z dient te worden bezorgd per leerling en een unieke code wordt gegenereerd waarmee de leerling op de schoolcomputer of op de eigen computer, gsm of tablet kan inloggen. 32. De Geschillenkamer besluit dat er weliswaar door de verweerder als verwerkingsverantwoordelijke een beroep kan worden gedaan op expertisecentrum Z voor inhoudelijke ondersteuning, maar dit maakt van expertisecentrum Z geen verwerkingsverantwoordelijke, gezamenlijk met de verweerder 14.
  5. b)Rechtmatigheid van de verwerking 33. De ontwikkeling van een beleid omtrent leerlingenbegeleiding is een verplichting die wordt opgelegd aan de school, dewelke haar grondslag vindt in artikel 123/22 van de Codex 13 Artikel 24.1 AVG. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd. Artikel 28.1 AVG. Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. 14 Zie in dezelfde zin Beslissing ten gronde 31/2020 van 16 juni 2020 Beslissing ten gronde 70/2025 — 11/14 Secundair Onderwijs. Onder leerlingenbegeleiding wordt in artikel 3, 17°/1/1 van de Codex Secundair Onderwijs 15 begrepen een geheel van preventieve en begeleidende maatregelen. Leerlingenbegeleiding situeert zich op vier domeinen: de onderwijsloopbaan, leren en studeren, psychisch en sociaal functioneren en preventieve gezondheidszorg. De maatregelen vertrekken steeds vanuit een geïntegreerde en holistische benadering voor de vier begeleidingsdomeinen en dit vanuit een continuüm van zorg. 34. De verweerder geeft aan autonoom te hebben beslist dat deze gegevensinzameling best zou gebeuren door een anonieme bevraging, teneinde het beleid af te stemmen op de noden van de leerlingenpopulatie. Ook hier neemt de verweerder het standpunt in dat de gegevensverwerking een anonieme bevraging betreft en de AVG bijgevolg niet van toepassing is, zodanig dat geen toestemming moet worden gevraagd en zelfs geen rechtmatigheidsgrond nodig is. Daartoe verwijst de verweerder naar overweging 26 AVG met betrekking tot anonieme gegevensverwerking. 35. Zoals hiervoor reeds uiteengezet, toont de verweerder niet op basis van stukken aan dat de leerlingenbevraging reeds van bij de gegevensinzameling op anonieme wijze plaatsvond. Op de verweerder als verwerkingsverantwoordelijke rust de verplichting ingevolge artikel 123/22 van de Codex Secundair Onderwijs tot de ontwikkeling van een beleid op leerlingenbegeleiding. Dit houdt op zich niet de verplichting in voor de verweerder om de leerlingen te bevragen, noch de verplichting voor de leerlingen om deel te nemen aan deze bevraging. Dit neemt echter niet weg dat het opmaken van een alcohol- en drugsbeleid op school, als onderdeel van leerlingenbegeleiding, is te beschouwen als een taak van algemeen belang in hoofde van de school. Op deze grondslag kan de leerlingenbevraging worden georganiseerd. Het spreekt immers voor zich dat alcohol- en drugspreventie een belangrijk onderdeel vormt van leerlingenbegeleiding en in die optiek kadert binnen de noden van de leerlingenpopulatie zoals vermeld in artikel 123/22 van de Codex. De Geschillenkamer stelt vast dat de verweerder zich kan beroepen op de haar opgedragen taak van algemeen belang (artikel 6.1
  6. e)AVG) 16 die is verankerd in een wettelijke norm overeenkomstig artikel 6.3 AVG. De door de verweerder te hanteren rechtsgrond voor de leerlingenbevraging is dan ook artikel 6.1
  7. e)AVG, zodat de verweerder er aldus toe is gerechtigd om de ingezamelde gegevens te verwerken of te laten verwerken door een verwerker zoals expertisecentrum Z. 15 Codificatie betreffende het secundair onderwijs, gecoördineerd op 17 december 2010 16 Artikel 6 AVG: 1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: […]
  8. e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; Beslissing ten gronde 70/2025 — 12/14 36. Zoals hierboven uiteengezet is ook artikel 9 van de AVG inzake bijzondere persoonsgegevens van belang. De inhoud van de vragenlijst betreft immers het gebruik door de betreffende leerling van middelen (tabak, alcohol, cannabis, andere illegale drugs,…) en activiteiten (gamen en gokken), alsook in hoeverre de leerlingen in contact komen met deze middelen in hun eigen omgeving. Door middel van de antwoorden die op deze vragen worden gegeven, wordt getracht inzicht te verwerven in de gezondheidstoestand van de betrokkene en wordt gepeild naar de mate waarin deze al dan niet een gezonde levenswijze heeft. Hierdoor staat het vast dat persoonsgegevens worden verwerkt in de zin van artikel 9 AVG, en dient dus ook een uitzondering op het verwerkingsverbod van deze persoonsgegevens van toepassing te zijn. 37. Het feit dat de verweerder in het kader van zijn taak van algemeen belang overgaat tot leerlingenbevraging, sluit niet uit dat de deelname van de leerlingen vrijwillig is en dat de gegevensinzameling, als onderdeel van het groter geheel van gegevensverwerking dat de leerlingenbevraging met zich meebrengt nadat de persoonsgegevens van de leerlingen werden ingezameld, wordt gebaseerd op de uitdrukkelijke toestemming (artikel 9.2
  9. a)AVG). Deze uitdrukkelijke toestemming is vereist gelet op het feit dat middels de bevraging informatie over de gezondheidstoestand van de leerlingen, in dit geval ook van de dochter van de klager, wordt ingezameld. De verweerder als verwerkingsverantwoordelijke kan de persoonsgegevens van de leerlingen enkel verwerken indien daartoe de uitdrukkelijke toestemming wordt gegeven. Immers, geen van de andere uitzonderingen op het verwerkingsverbod van deze persoonsgegevens is van toepassing. 38. De Geschillenkamer verduidelijkt hierbij dat voor wat betreft leerlingen jonger dan 18 jaar, deze uitdrukkelijke toestemming dient te worden verleend door de ouders of voogd als wettelijke vertegenwoordigers. De verweerder stelt in de conclusie dat indien toestemming de geldige rechtsgrond zou zijn, het voldoende zou zijn geweest dat de verwerkingsverantwoordelijke de toestemming had kunnen vragen aan de betrokkene zelf, in voorliggend geval de dochter van de klager, vermits zij reeds 13 jaar was op het ogenblik van de feiten. De Geschillenkamer verduidelijkt dienaangaande dat de leeftijdsgrens van 13 jaar enkel geldt voor wat betreft de toepassing van artikel 8 AVG en het in uitvoering van artikel 8.1, al. 2 AVG genomen artikel 7 van de wet van 30 juli 2018 17. Zowel de klager als de verweerder zijn het erover eens dat artikel 8 AVG niet van toepassing is. De Geschillenkamer treedt dit standpunt bij, aangezien in het verweer van partijen werd toegelicht dat enkel de informatiebrief omtrent de leerlingenbevraging via Smartschool werd verzonden, terwijl de bevraging als dusdanig niet plaatsvond via Smartschool. Bijgevolg is er geen sprake van enig aanbod van een dienst van de informatiemaatschappij, hetwelk een essentiële 17 Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens Beslissing ten gronde 70/2025 — 13/14 toepassingsvoorwaarde vormt voor artikel 8 AVG. Aangezien artikel 9.2
  10. a)AVG van toepassing is, dient de algemene regel (artikel 488 B.W. 18) te worden toegepast dat voor minderjarigen, waaronder dus leerlingen jonger dan 18 jaar, de toestemming van de ouders of voogd is vereist voor de verwerking van gezondheidsgegevens. 39. Aangezien de verweerder niet de hoedanigheid van verwerkingsverantwoordelijke heeft opgenomen en dus niet heeft nagegaan op welke rechtsgrond de leerlingenbevraging en de daarmee gepaard gaande gegevensverwerking van de deelnemende leerlingen is gebaseerd, stelt de Geschillenkamer vast dat een inbreuk werd gepleegd op het rechtmatigheidsbeginsel in artikel 5.1
  11. a)AVG, alsmede op artikel 6.1.
  12. e)AVG en artikel 9.2.
  13. a)AVG. III. Over de corrigerende maatregelen en straffen 40. Het is aan de Geschillenkamer om op basis van de mogelijkheden waarover zij beschikt op grond van artikel 100, § 1 WOG de meest geschikte sanctie te bepalen voor de inbreuk op artikel 5.1
  14. a)AVG, alsmede op artikel 6.1.
  15. e)AVG en artikel 9.2.
  16. a)AVG 41. Daarbij houdt de Geschillenkamer in belangrijke mate rekening met de onduidelijkheid die er heerste in de onderlinge verhouding tussen de verweerder en expertisecentrum Z, meer bepaald omtrent de vraag inzake de aanduiding van de verwerkingsverantwoordelijke. Doordat deze beslissing van de Geschillenkamer hieromtrent verduidelijking biedt, biedt dit de verweerder de mogelijkheid om zich aan te passen en in de nodige transparantie te voorzien aangaande de correcte rechtsgrond, namelijk artikel 6.1
  17. e)AVG teneinde te vermijden dat daaromtrent nog onduidelijkheid zou heersen, en artikel 9.2
  18. a)AVG voor wat betreft de verwerking van gezondheidsgegevens. IV. Publicatie van de beslissing 42. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. 18 Art. 488. Burgerlijk Wetboek: De meerderjarigheid is vastgesteld op de volle leeftijd van achttien jaren; op die leeftijd is men bekwaam tot alle handelingen van het burgerlijk leven.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.