Beslissing ten gronde nr. 71/2022

1/29 Geschillenkamer Beslissing ten gronde 71/2022 van 4 mei 2022 Deze beslissing werd door het Marktenhof gedeeltelijk gewijzigd in die zin dat het bedrag van de geldboete werd verlaagd (arrest 2022/AR/723 van 14 juni 2023) Dossiernummer : DOS-2020-04750 Betreft : Nieuwsbrief Hello Belgium Railpass NMBS De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Yves Poullet en Frank De Smet; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De verweerder: NATIONALE MAATSCHAPPIJ DER BELGISCHE SPOORWEGEN (“NMBS”), nv van publiek recht, met maatschappelijke zetel in de Frankrijkstraat 56, 1060 Brussel, ingeschreven bij de Kruispuntbank van Ondernemingen (KBO) in Brussel, onder het nummer 0203.430.576, hierna “de verweerder” Beslissing ten gronde 71/2022 - 2/29 I. Feiten en procedure 1. Op 14 oktober 2020 kreeg de GBA een melding van een Twitter-gebruiker over een nieuwsbrief die zij had ontvangen van NMBS over de Hello Belgium Railpass. De Hello Belgium Railpass is een vervoersbewijs met een aantal gratis treinritten die op aanvraag kosteloos aan Belgische inwoners werd verstrekt. De nieuwsbrief bevatte volgens de persoon die de melding deed geen mogelijkheid tot uitschrijving ervan. 2. Op 19 oktober 2020 besliste de Inspectiedienst om de zaak uit eigen beweging aanhangig te maken op grond van artikel 63, 6° WOG omdat er ernstige aanwijzingen waren vast te stellen over het bestaan van een praktijk die aanleiding kon geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens. 3. Op 9 november 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG). 4. Het verslag bevat de volgende vaststellingen : • De per e-mail verzonden nieuwsbrief was niet noodzakelijk ter uitvoering van de overeenkomst (door aanvraag van de Hello Belgium Railpass) tussen verweerder en de betrokken reizigers. Er had gekozen kunnen worden voor een andere manier van publicatie van de nieuwsbrief. Er was bovendien geen rechtsgrond aanwezig voor de verwerking van de persoonsgegevens aangezien de verzending van de nieuwsbrief per e-mail geen uitvoering gaf aan de overeenkomst tussen verweerder en de reizigers. Er zijn geen passende technische en organisatorische maatregelen genomen om te waarborgen en aan te tonen dat de verwerking plaatsvond conform de AVG. Dit leidt volgens de Inspectiedienst tot een inbreuk op de artikelen 5. 1,

1. a)en
2. c)en 5.2 van de AVG, artikel 6.1 van de AVG, artikel 24. 1 van de AVG en artikel 25.1 en 25.2 van de AVG; • Het recht van bezwaar werd niet gefaciliteerd door verweerder terwijl de geviseerde e-mails kunnen worden aangemerkt als “direct marketing” hetgeen inbreuken oplevert op artikel 12. 2 van de AVG en artikel 21. 2, 21.3 en 21.4 van de AVG. Het verslag bevat daarnaast vaststellingen omtrent de functionaris voor gegevensbescherming: • De functionaris voor gegevensbescherming bracht geen verslag uit aan het hoogst leidinggevend orgaan binnen de organisatie van verweerder. • De functiebeschrijving, het aantal werkuren per week, en de toegang tot de middelen door de functionaris voor gegevensbescherming werden door de Inspectiedienst voldoende bevonden. De door de functionaris verstrekte adviezen in het kader van de verzonden geviseerde e-mails was Beslissing ten gronde 71/2022 - 3/29 volgens de Inspectiedienst eveneens voldoende om aan te nemen dat aan de wettelijke plicht op het vlak van geven van advies werd voldaan. Derhalve stelt de Inspectiedienst een inbreuk vast op artikel 38.3 van de AVG, doch geen inbreuk op artikel 38. 1, 38.2 en 38. 6 van de AVG en geen inbreuk op artikel 39 van de AVG. 5. Op 19 februari 2021 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 19 februari 2021 wordt verweerder in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in art. 98 WOG. Tevens wordt zij op grond van art. 99 WOG in kennis gesteld van de termijn om haar verweermiddelen in te dienen. 7. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 2 april 2021. 8. Op 4 maart 2021 vraagt de verweerder een kopie van het dossier aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. (art. 95, §2, 3° WOG) het dossier werd overgemaakt op 17 maart 2021. Conclusie van antwoord verweerder 9. Op 2 april 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. 10. Volgens de verweerder heeft zij de e-mail met daarin de nieuwsbrief over de Hello Belgium Railpass rechtmatig verzonden. Verweerder stelt dat de e-mails werden verzonden in het kader van de uitvoering van de overeenkomst tussen de aanvragers/gebruikers van de Hello Belgium Railpass en verweerder. De geviseerde verwerking van persoonsgegevens was volgens verweerder derhalve noodzakelijk ter uitvoering van de overeenkomst op grond van artikel 6.1 sub b AVG en om de sanitaire veiligheid van de reizigers te garanderen. De voorwaarden voor het gebruik van de Hello Belgium Railpass samen met de Algemene Vervoersvoorwaarden maken deel uit van de vervoersovereenkomst met de reizigers. Het was volgens verweerder bovendien noodzakelijk dat de e-mails verzonden werden gezien de precaire situatie op dat moment, waarbij een tweede golf in de Covid-19-epidemie in België op komst was en een ieder derhalve extra alert moest zijn teneinde de veiligheid in de treinen de kunnen waarborgen. Om de reizigers tijdig te bereiken was NMBS derhalve genoodzaakt om de aanvragers de nieuwsbrief per e-mail toe te sturen. De disclaimer van de e-mail bevatte volgens verweerder duidelijke informatie over het beoogde doel van de e-mail, namelijk het informeren van de reizigers over de manier waarop de Railpass zo correct en optimaal mogelijk gebruikt diende te worden. Er is volgens verweerder dus voldaan aan het beginsel van minimale gegevensverwerking conform artikel 5.1 sub c, aangezien er geen realistische en minder indringende alternatieven voorhanden waren om uitvoering te geven aan de overeenkomst. Beslissing ten gronde 71/2022 - 4/29 11. Bovendien vormde de geviseerde e-mail volgens verweerder geen direct marketing in de zin van artikel 21.2 AVG omdat de e-mail niet bestemd was voor het direct of indirect promoten van goederen, diensten of het imago van NMBS. De e-mail kaderde binnen de uitvoering van de overheidstaken van NMBS en deze taken zijn uitgesloten van het begrip ‘direct marketing’. Nu er geen sprake is van direct marketing en de verwerking plaatsvond op grond van artikel 6 .1, b (uitvoering van de overeenkomst), leidt dit er volgens verweerder toe dat het recht van bezwaar zoals neergelegd in artikel 21.1 AVG niet van toepassing is. Bovendien bevatte de disclaimer van de e-mail inzake de Hello Belgium Railpass volgens verweerder duidelijk een hyperlink naar de privacyverklaring van NMBS. De betrokkenen werden derhalve geïnformeerd over de rechten waarover zij beschikten. 12. Verweerder stelt voorts dat de vaststelling van de Inspectiedienst, volgens welke de functionaris voor gegevensbescherming niet rechtstreeks verslag zou uitbrengen aan het hoogst leidinggevend orgaan binnen NMBS, onjuist is. Verweerder maakt duidelijk dat de functionaris voor gegevensbescherming zowel periodiek als ad-hoc verslag uitbrengt aan de CEO van NMBS. De CEO is voorzitter van het Executive Committee als ook van het Directiecomité. Derhalve rapporteert de functionaris voor gegevensbescherming geheel conform artikel 38.3 aan het hoogste orgaan binnen NMBS en is er volgens verweerder geen sprake van een schending van dit artikel. 13. Op 14 februari 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 28 februari 2022. 14. Op 28 februari 2022 worden de partijen gehoord door de Geschillenkamer. 15. Op 16 maart 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 16. Op 23 maart 2022 ontvangt de Geschillenkamer vanwege de verweerder opmerkingen met betrekking tot het proces-verbaal. Verweerder merkt het volgende op ten aanzien van de weergave in het procesverbaal: de communicatie die voorwerp uitmaakt van onderhavige procedure betreft geen nieuwsbrief maar communicatie die gericht is aan de houders van de Hello Belgium Railpass. Verweerder is van mening dat de nadruk in het proces-verbaal wordt gelegd op het eerste onderdeel van de communicatie met daarin de boodschap “herontdek meer dan 500 bestemmingen in België". Voorgaande strookt volgens verweerder niet met hetgeen dat ter zitting is ingebracht door verweerder. Alle elementen in de communicatie dienen volgens verweerder als gelijkwaardig te worden beschouwd. De weergave van hetgeen door de verweerder werd toegelicht tijdens de zitting is volgens verweerder ook onvolledig. Ieder van de onderdelen van de communicatie was gericht op het spreiden van de reizigers, het aansporen om gebruik te maken van de Move Safe App en het correct vooraf invullen van de Railpass om agressie tegen personeel tegen te vermijden en controle te faciliteren. De Geschillenkamer benadrukt dat de reactie op het proces-verhaal de debatten niet doet heropenen, maar dat de weergave van deze reactie in casu nuttig is, voor een beter begrip van de positie van de verweerder. Beslissing ten gronde 71/2022 - 5/29 17. Op 16 maart 2022 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 18. Op 8 april 2022 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. 1 II. Motivering II.1. De naleving van de beginselen inzake de verwerking van persoonsgegevens (artikelen 5.1 en 5.2 AVG) en de rechtmatigheid van de verwerking (artikel 6.1 AVG) 19. De verwerking van persoonsgegevens is enkel rechtmatig indien deze steunt op een van de in artikel 6.1 AVG opgesomde rechtsgronden.2 De Inspectiedienst heeft vastgesteld dat de verwerking van persoonsgegevens van de reizigers die een e-mail ontvingen, met daarin een nieuwsbrief over de Hello Belgium Railpass, gebeurde zonder geldige rechtsgrond. In tegenstelling tot verweerder die meent een rechtsgeldig beroep te kunnen doen op artikel 6.1.b AVG, namelijk de uitvoering van een overeenkomst, is de Inspectiedienst van mening dat daar geen sprake van is. Volgens de Inspectiedienst was de verwerking van persoonsgegevens van treinreizigers door het versturen van een communicatie via e-mail niet noodzakelijk ter uitvoering of voorbereiding van de overeenkomst tussen de verweerder en de aanvragers/reizigers van de Hello Belgium Railpass. Bovendien was de verwerking niet noodzakelijk aangezien verweerder ervoor had kunnen kiezen om de informatie via andere kanalen zoals via haar website te verspreiden. De verwerking steunde volgens de Inspectiedienst derhalve niet op een van de in artikel 6.1 AVG opgesomde rechtsgronden en was volgens de Inspectiedienst in strijd met artikel 6.1 AVG. 1 Zie punt 68 van deze beslissing. 2 Artikel 6.1 sub b AVG: “De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
3. a)de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
4. b)de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
5. c)de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
6. d)de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
7. e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
8. f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.” Beslissing ten gronde 71/2022 - 6/29 20. Verweerder beroept zich op de uitvoering van de overeenkomst (artikel 6.1 (
9. b)AVG) die NMBS met de betrokkene heeft. Het beroep op deze rechtsgrond is volgens de verweerder rechtmatig aangezien de wettelijke voorwaarden in hoofde van NMBS vervuld zijn: er bestaat een geldige overeenkomst met de betrokkene en de verwerking is objectief gezien noodzakelijk voor de uitvoering van de overeenkomst. 21. Verweerder maakt duidelijk dat de beslissing om een gratis Hello Belgium Railpass te verstrekken aan Belgische inwoners een beslissing was die werd genomen bij Koninklijk besluit “met het oog op het herstel van de Belgische economie en het promoten van het spoor als openbaar vervoer”. 3 22. De Hello Belgium Railpassen konden worden gebruikt vanaf 5 oktober 2020. Dit moment viel samen met de “tweede golf” van de Covid-19-epidemie die steeds kritieker werd. Er werd een groot aantal railpassen aangevraagd en verstrekt, waardoor NMBS (opnieuw) problemen kon verwachten op bepaalde stations. Verweerder legt bij conclusie eveneens een aantal krantenartikelen over waaruit blijkt dat er bij haar directie al bij de aankondiging van de Hello Belgium Railpass bezorgdheid bestond over de gevolgen van het initiatief voor de sanitaire veiligheid van het personeel en de reizigers. Om voornoemde redenen werd de aanvang van de geldigheidsduur van de Hello Belgium Railpass volgens verweerder tot tweemaal toe uitgesteld. 23. Gezien de beschreven situatie bestond er volgens verweerder een noodzaak om al het mogelijke te doen om dit in goede banen te leiden en waar mogelijk drukte te vermijden. Volgens verweerder werd derhalve beslist dat: “ (
10. i)het versturen van een communicatie aan de houders (en dus aan de verwachte gebruikers) van de Hello Belgium Railpass noodzakelijk was om de bestaande initiatieven van NMBS om drukte te vermijden en de voorwaarden voor gebruik van het vervoersbewijs onder de aandacht te brengen en (
11. ii)dat dit de enige mogelijke manier was om de reizigers (tijdig) te bereiken.” 24. Verweerder zet bij conclusie uiteen dat de voorwaarden voor het gebruik van de Hello Belgium Railpass samen met de Algemene Vervoersvoorwaarden van NMBS de vervoersovereenkomst met de aanvrager/reiziger vormen. Deze Algemene Vervoersvoorwaarden zijn volgens verweerder beschikbaar op de website van NMBS en worden op iedere pagina van de website in de voetnoot weergegeven. Gezien het voorgaande is volgens verweerder derhalve sprake van een rechtsgeldige overeenkomst tussen NMBS en de aanvrager van de Hello Belgium Railpass. 25. De geviseerde e-mail die verweerder verstuurde aan de aanvragers van de Hello Belgium Railpass bevat de volgende tekst : (
12. i)“Herontdek meer dan 500 bestemmingen in België” vergezeld van een knop ‘Vind inspiratie’; 3 Koninklijk besluit van 28 juli 2020 tot wijziging van het koninklijk besluit van 21 december 2013 tot vaststelling van de voorlopige regels die als beheerscontract van Infrabel en NMBS gelden, BS 31 juli 2020: “In het koninklijk besluit van 21 december 2013 tot vaststelling van de voorlopige regels die als beheerscontract van Infrabel en NMBS gelden, laatstelijk gewijzigd bij het besluit van 9 april 2020, wordt een artikel 4/5 ingelast, dat luidt als volgt: "Art. 4/5. § 1. Naar aanleiding van de COVID-19-crisis wil de federale Staat het gebruik van het spoorvervoer, en de toeristische, recreatieve, culturele en economische sectoren promoten door enerzijds aan de NMBS te vragen om een nieuw gratis vervoerbewijs te verdelen voor het binnenlandse reizigersvervoer, nl. de 12-TRAJECTEN-PASS, en door anderzijds het gratis meenemen van de fiets op de trein tijdelijk toe te laten ». Beslissing ten gronde 71/2022 - 7/29 (
13. ii)“MoveSafe-app: jouw veiligheid” vergezeld van een knop ‘Download de app’ (iii) “Klaar voor je eerste reis?”; (
14. iv)“Nog vragen? Raadpleeg onze FAQ over het gebruik van je Hello Belgium Railpass”, vergezeld van een knop ‘Bekijk de voorwaarden’; (
15. v)De mededeling “We wensen je leuke reizen toe met je Hello Belgium Railpass!” (
16. vi)Disclaimer “Met bovenstaande communicatie wil NMBS u informeren over de manier waarop u uw Hello Belgium Railpass correct en zo optimaal mogelijk kan gebruiken. NMBS verwerkt uw persoonlijke gegevens om uitvoering te geven aan de overeenkomst die op basis van de Hello Belgium Railpass bestaat. Meer details over hoe NMBS uw persoonsgegevens verwerkt en over uw rechten, vindt u op www.nmbs.be/privacy”4 26. In artikel 4.1 AVG zijn persoonsgegevens gedefinieerd als: “Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.” In casu heeft het grootste deel van de aanvragers van de Hello Belgium Railpass hun naam en e-mailadres doorgegeven. Dit zijn persoonsgegevens in de zin van artikel 4.1 AVG. Artikel 4. 2 bevat de definitie van een verwerking, deze luidt: „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. De door de aanvragers verstrekte persoonsgegevens werden (initieel) door verweerder verzameld en gebruikt voor de afhandeling van de aanvraag van de Railpass. Derhalve is er sprake van een verwerking van persoonsgegevens in de zin van artikel 4.2 AVG. 27. De geviseerde e-mail van NMBS dient volgens verweerder te worden beschouwd als ”een officiële herinnering aan enkele van de wezenlijke voorwaarden van de vervoersovereenkomst met de reiziger, in het bijzonder de verplichting om het vervoersbewijs correct te gebruiken en om als reiziger steeds op de eigen veiligheid toe te zien. Beide verplichtingen kunnen nageleefd worden door niet allemaal tegelijk naar de voor de hand liggende (kust)bestemmingen te reizen. “ 28. Allereerst wijst de Geschillenkamer erop dat voor een geslaagd beroep op artikel 6.1.b AVG noodzakelijk is dat er sprake is van een overeenkomst waarbij de betrokkene zelf partij is en de verwerking een noodzakelijk uitvloeisel is van de overeenkomst. In casu dient derhalve te worden beoordeeld of de geviseerde e-mail kan worden aangemerkt als een noodzakelijk uitvloeisel van de vervoersovereenkomst tussen de aanvragers van de railpass en verweerder. 4 Zie bijlage 1 bij deze beslissing voor de geviseerde e-mail in zijn geheel Beslissing ten gronde 71/2022 - 8/29 29. Voor de Geschillenkamer staat buiten twijfel dat het garanderen van de sanitaire veiligheid van de treinreigers een noodzakelijk element is voor de uitvoering van de overeenkomst waarvan sprake. Echter, de e-mail bevat ook algemene informatie (die eerder promotioneel van aard
17. is)waarin niet enkel en specifiek wordt gecommuniceerd over de sanitaire situatie op dat ogenblik en de voorzorgsmaatregelen die genomen dienen te worden teneinde de veiligheid te waarborgen. Er wordt melding gemaakt van de grote hoeveelheid aanvragen van een Hello Belgium Railpass. Dit is echter zoals hierboven omschreven - niet de enige informatie die in de e-mail wordt gegeven. De tekst onder het onderdeel: “Herontdek meer dan 500 bestemmingen in België” luidt bijvoorbeeld : Bijna 3,6 miljoen Belgen hebben een Hello Belgium Railpass aangevraagd. Gelijk hebben ze! Je moet natuurlijk in alle veiligheid op ontdekkingstocht kunnen gaan in ons land. Laat je inspireren door onze blogs die overlopen van ideeën om op citytrip te vertrekken, op stap te gaan in de natuur, met familie of met vrienden… Je vindt in België voor elk wat wils! 30. De Geschillenkamer oordeelt – in overeenstemming met de vaststellingen van de Inspectiedienst - dat de e-mail dus ook algemene promotionele informatie bevat die geen betrekking heeft op de specifieke sanitaire situatie. Daarom kan de e-mail volgens de Geschillenkamer, anders dan door verweerder is betoogd, niet worden aangemerkt als “Een officiële herinnering aan enkele van de wezenlijke voorwaarden van de vervoersovereenkomst met de reiziger, in het bijzonder de verplichting om het vervoersbewijs correct te gebruiken en om als reiziger steeds op de eigen veiligheid toe te zien ...”. De nieuwsbrief bevat immers naast een verwijzing naar de Move Safe app en mededelingen over het juist gebruik van de Hello Belgium Railpass, ook blogs om inspiratie op te doen om bepaalde plaatsen te ontdekken. 31. De Geschillenkamer oordeelt tevens dat de in de e-mail opgenomen informatie evengoed zonder verwerking van de persoonsgegevens van de aanvragers van de Hello Belgium Railpass had kunnen gebeuren. De Inspectiedienst heeft vastgesteld dat verweerder voornoemde informatie eveneens op zijn website https://www.belgiantrain.be had gepubliceerd.5 De inhoud van de e-mail had volgens de Geschillenkamer geen dermate spoedeisend karakter, omdat het in dit specifieke geval zou volstaan om te publiceren op de website en/of de NMBS applicatie, gezien de inhoud ervan. 5 https://www.belgiantrain.be/nl van de VV die op 27/10/2020 werden genomen door de Inspectiedienst. Zie de schermafdrukken van de website op de volgende pagina Beslissing ten gronde 71/2022 - 9/29 De Geschillenkamer wijst in dit verband op de Richtsnoeren van het Europees Comité voor Gegevensbescherming (EDPB) inzake artikel 6.1. b waarin het volgende wordt gesteld: “Wat de wetgeving inzake gegevensbescherming betreft, moeten de verwerkingsverantwoordelijken er rekening mee houden dat de voorziene verwerkingsactiviteiten een passende rechtsgrond moeten hebben. Wanneer de overeenkomst bestaat uit meerdere afzonderlijke diensten of onderdelen van een dienst die in feite redelijkerwijs onafhankelijk van elkaar kunnen worden verricht, rijst de vraag in hoeverre artikel 6, lid 1, onder b), als rechtsgrondslag kan dienen. In overeenstemming met het evenredigheidsbeginsel moet de toepasselijkheid van artikel 6, lid 1, onder b), worden beoordeeld in de Beslissing ten gronde 71/2022 - 10/29 context van elk van die diensten afzonderlijk, waarbij wordt gekeken naar wat objectief nodig is om elk van de afzonderlijke diensten te verlenen die de betrokkene actief heeft uitgevoerd aangevraagd of aangemeld. Uit deze beoordeling kan blijken dat bepaalde verwerkingsactiviteiten niet noodzakelijk zijn voor de door de betrokkene gevraagde individuele diensten, maar eerder noodzakelijk zijn voor het bredere bedrijfsmodel van de verwerkingsverantwoordelijke. In dat geval zal artikel 6, lid 1, onder b), geen rechtsgrondslag zijn voor die activiteiten. Er kunnen echter andere rechtsgrondslagen voor die verwerking beschikbaar zijn, zoals artikel 6, lid 1, onder
18. a)of f), op voorwaarde dat aan de relevante criteria wordt voldaan.”6 32. De EDPB wijst er bovendien op dat een overeenkomst de categorieën van persoonsgegevens of het soort verwerkingsoperaties die nodig zijn voor de uitvoering van de overeenkomst waarbij de betrokkene partij is, niet kunstmatig mag uitbreiden. Daarbij wordt er eveneens op gewezen dat hetgeen onder een overeenkomst valt, niet alleen afhangt van het perspectief van de verwerkingsverantwoordelijke, maar ook van de redelijke verwachtingen van de betrokkene. Een zeer strikte toepassing is derhalve gezien de hoge mate van precisie van deze rechtsgrond op zijn plaats. 33. Hoewel niet strikt noodzakelijk, aangezien NMBS zich beroept op artikel 6.1.b, toetst de Geschillenkamer ambtshalve en ten overvloede of verweerder eventueel een geslaagd beroep toekomt op de rechtsgronden van artikel 6. 1 c, e en f van de AVG . De Geschillenkamer merkt op dat verweerder zich voor de geviseerde verwerking beriep op artikel 6.1 b, (de uitvoering van de overeenkomst ) maar anderzijds ook het volgende stelde : "Ten tweede kadert de e-mail inzake de Hello Belgium Railpass binnen de uitvoering van de overheidstaken van NMBS. NMBS heeft een openbaredienstverplichting inzake het binnenlands reizigersvervoer via het spoor. Zoals hoger vermeld, kreeg NMBS bij KB 28 juli 2020 van de Koning de opdracht om de Hello Belgium Railpassen aan de Belgische bevolking ter beschikking te stellen en de treinritten te verzorgen waarvoor deze titel kon worden gebruikt.” Verweerder kreeg van de Koning de opdracht om de Railpassen ter beschikking te stellen en diende daarvoor persoonsgegevens te verwerken om de aanvragen van de Railpassen juist af te kunnen handelen. Het Koninklijk besluit bevatte echter geen duidelijk omschreven bepalingen over de verdere verwerking van de persoonsgegevens nadat de aanvragen werden afgehandeld. Een eventueel beroep op artikel 6.1 sub c kan reeds om deze reden niet slagen. 34. Artikel 6. 1 e bevat de rechtsgrond taak van algemeen belang of een taak ter uitvoering van het openbaar gezag. Zoals hierboven reeds is aangegeven geldt ook voor deze rechtsgrond dat er sprake moet zijn van noodzakelijkheid voor de verwerking. De Geschillenkamer acht niet aannemelijk dat de (inhoud van
19. de)e-mail noodzakelijk was om de taak van algemeen belang (het ter beschikking stellen van de Hello Belgium Railpassen ) te dienen. 35. De Geschillenkamer wijst er in dit verband op dat overeenkomstig artikel 6.3 AVG, gelezen in samenhang met artikel 22 van de Grondwet en in het licht van de artikelen 7 en 8 van het Europees 6 EDPB, Richtsnoeren 2/2019 betreffende de verwerking van persoonsgegevens op grond van artikel 6, lid 1, onder b), van de AVG in het kader van de verlening van onlinediensten aan betrokkenen, 8 oktober 2019. Beslissing ten gronde 71/2022 - 11/29 Grondrechtenhandvest, een wetgevende norm de essentiële kenmerken van een gegevensverwerking moet vastleggen die noodzakelijk is voor de uitvoering van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is toevertrouwd.7 De Geschillenkamer benadrukt dat de betrokken verwerking dient te worden omkaderd door een norm die voldoende duidelijk en nauwkeurig is waarvan de toepassing voor de betrokken personen voorzienbaar is. Overeenkomstig artikel 6.3 AVG dienen de precieze doeleinde(
20. n)van de verwerking in de wettelijke norm zelf te worden opgenomen. Van voorgaande was in casu geen sprake. Bovendien is niet komen vast te staan dat de verzonden e-mails noodzakelijk waren ter uitvoering van het Koninklijk besluit. Daarin is bepaald dat verweerder het nodige kan doen en het gebruik van de Railpass kan beperken of stopzetten in geval van overmacht. De Covid-19-epidemie en de gevolgen ervan staan niet ter discussie. Echter waren de verzonden e-mails volgens de Geschillenkamer - zoals reeds eerder in de beslissing uiteen gezet - niet noodzakelijk voor het louter ter beschikking stellen van de Hello Belgium Railpassen, waardoor een eventueel beroep op artikel 6. 1, e niet kan slagen. 36. In artikel 6. 1 f AVG is de rechtsgrond gerechtvaardigd belang neergelegd. De Geschillenkamer gaat na of de verdere verwerking van de persoonsgegevens van de aanvragers van de railpass in casu eventueel rechtmatig was onder voornoemde bepaling. Om dit te kunnen bepalen dient de verwerkingsverantwoordelijke overeenkomstig de rechtspraak van het Hof van Justitie aan te tonen dat: 1) de belangen die zij met de verwerking nastreven, als gerechtvaardigd kunnen worden erkend (de “doeltoets”) 2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de“noodzakelijkheidstoets”) 3) een afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijken of van een derde (de “afwegingstoets”). 37. Allereerst is de vraag welk belang en doeleinde de verwerkingsverantwoordelijke met de verdere verwerking van de persoonsgegevens nastreefde (doeltoets). Door de persoonsgegevens van de betrokkenen te gebruiken om hen een e-mail te sturen waarin de railpass vooral werd gepromoot, bestond het doel van verweerder volgens de Geschillenkamer onder meer om de aanvragers van de railpass aan te sporen te gaan reizen. De promotie van de railpass door verweerder worden aangemerkt als een (commercieel) gerechtvaardigd belang. 38. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking noodzakelijk 7 was voor de verwezenlijking van de nagestreefde doeleinden Zie ook de adviezen van het Kenniscentrum van de GBA 36/2020, 42/2020, 44/2020, 46/2020, 52/2020 en 64/2020(https://www.gegevensbeschermingsautoriteit.be/burger/zoeken?q=&search_category%5B%5D=taxonomy%3Apublicati ons&search_type%5B%5D=advice&s=recent&l=2 Beslissing ten gronde 71/2022 - 12/29 (noodzakelijkheidstoets). Dit betekent dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende verwerking voor de betrokkenen. De Geschillenkamer stelt vast dat het geenszins noodzakelijk was om de persoonsgegevens van de reizigers verder te verwerken om hen de geviseerde e-mails te doen toekomen. De Geschillenkamer kwam immers eerder tot het oordeel dat de boodschap die werd aangekondigd in de e-mail eveneens op een andere wijze kenbaar gemaakt had kunnen worden. Aan de tweede voorwaarde is derhalve niet voldaan. 39. De derde voorwaarde betreft de “afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke enerzijds, en de fundamentele vrijheden en grondrechten van betrokkene, anderzijds. Overeenkomstig overweging 47 AVG dient bij de bepaling hiervan te worden nagegaan of de “betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden” De Geschillenkamer stelt vast dat de betrokkenen niet hadden kunnen verwachten dat de persoonsgegevens die werden verstrekt in het kader van een vervoersovereenkomst zouden worden aangewend voor andere doeleinden dan het verwerken van de aanvraag van een railpass, in het bijzonder promotionele activiteiten. Derhalve zou een eventueel beroep op artikel 6. 1, f niet slagen. 40. De Geschillenkamer is gezien het bovenstaande van oordeel dat de verwerking van de persoonsgegevens door verzending van e-mails gebeurde zonder de keuze (en zelfs de aanwezigheid) voor een rechtmatige grondslag. Het beroep van verweerder op de rechtsgrond uitvoering van overeenkomst van artikel 6.1b, kan in casu niet worden ingeroepen aangezien de email geen noodzakelijke uitvloeisel is van de vervoersovereenkomst tussen partijen. Daarom is er ook niet voldaan aan het beginsel van noodzakelijkheid zoals neergelegd in artikel 5.1c AVG. De Geschillenkamer stelt derhalve inbreuken vast op de artikelen 5. 1 a en c, 5 . 2 en 6 . 1 AVG. Recht van bezwaar en direct marketing 41. De Inspectiedienst is tot de vaststelling gekomen dat er sprake was van direct marketing door de verzending van de nieuwsbrieven door verweerder en dat daarbij geen effectief recht tot bezwaar werd toegekend aan de betrokkenen. Derhalve was volgens de Inspectiedienst sprake van inbreuk op de artikelen 21. 2 en 21.4 AVG. 42. Op basis van artikel 12 van de AVG dient de verwerkingsverantwoordelijke de betrokkenen transparant te informeren. De verwerkingsverantwoordelijke dient daarbij onder meer de uitoefening van de rechten van de betrokkene op basis van de artikelen 15 tot en met 22 van de AVG te faciliteren. In artikel 21 AVG wordt het recht van bezwaar van de betrokkenen ten opzichte van de verwerkingsverantwoordelijke geregeld. Artikel 21. 2, bepaalt dat wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, de betrokkene te allen tijde recht heeft om bezwaar te maken tegen de verwerking van de hem betreffende persoonsgegevens. Indien de betrokkene dat recht uitoefent tegen een verwerking voor direct Beslissing ten gronde 71/2022 - 13/29 marketing dan mogen de persoonsgegevens niet meer voor dat doeleinde worden verwerkt door de verwerkingsverantwoordelijke. Het recht van bezwaar dient volgens artikel 21. 4 uiterlijk bij het eerste contact met de betrokkene onder de aandacht van de betrokkene te worden gebracht en duidelijk en onderscheiden van de andere informatie worden weergegeven. 43. Verweerder betwist de vaststellingen van de Inspectiedienst en stelt dat er geen sprake was van direct marketing, aangezien: ”(
21. i)de e-mail niet bestemd was voor het direct of indirect promoten van goederen, diensten of het imago van NMBS en (
22. ii)de e-mail kadert binnen de uitvoering van de overheidstaken van NMBS die van het begrip ‘direct marketing’ zijn uitgesloten.” 44. De AVG bevat geen definitie van wat onder “direct marketing” moet worden verstaan. Evenmin bestaat er tot op heden een officiële, wettelijke, of algemeen aanvaarde definitie van dit begrip op Europees niveau. De GBA verduidelijkte haar interpretatie van dit wettelijk begrip in aanbeveling 1/2020 als volgt : “Elke communicatie, in welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een organisatie of persoon en gericht op de promotie of verkoop van diensten, producten (al dan niet tegen betaling), alsmede merken of ideeën, geadresseerd door een organisatie of persoon die handelt in een commerciële of niet- commerciële context, die rechtstreeks gericht is aan een of meer natuurlijke personen in een privé-of professionele context en die de verwerking van persoonsgegevens met zich meebrengt”. Onder “direct marketing” worden dus verschillende vormen van promotie verstaan, zoals nieuwsbrieven per e-mail, commerciële telefoontjes of sms’jes of e-mails, of online reclame en dit, al dan niet in een commerciële context.”8 45. Volgens bovenstaande interpretatie kan de promotie of verkoop van diensten of producten waar niet voor betaald hoeft te worden ook als direct marketing worden aangemerkt. De verweerder stelde echter dat e-mails betreffende de Hello Belgium Railpass - onder andere - niet kunnen worden aangemerkt als direct marketing omdat de railpass geheel gratis werd toegekend aan de aanvragers ervan. De Geschillenkamer is van oordeel dat die opvatting onjuist is uitgaande van bovenstaande interpretatie van het begrip direct marketing. 46. Daarenboven kadert de e-mail inzake de Hello Belgium Railpass volgens verweerder binnen de uitvoering van de overheidstaken van NMBS. Zij stelt in haar conclusie namelijk : ”NMBS heeft een openbaredienstverplichting inzake het binnenlands reizigersvervoer via het spoor. Zij kreeg bij KB 28 juli 2020 van de Koning de opdracht om de Hello Belgium Railpassen aan de Belgische bevolking ter beschikking te stellen en de treinritten te verzorgen waarvoor deze titel kon worden gebruikt. Bijgevolg kan de e-mail ook om deze reden niet als ‘direct marketing’ worden beschouwd. Dit wordt immers uitdrukkelijk bevestigd door de Aanbeveling direct marketing van de GBA zelf.” GBA, Aanbeveling nr. 01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct marketingdoeleinden”, p. 9 8 Beslissing ten gronde 71/2022 - 14/29 47. Tevens citeert verweerder het volgende uit de genoemde aanbeveling Direct Marketing van de GBA: ”Deze definitie omvat alle vormen van communicatie, ongeacht of deze gericht zijn op de promotie van goederen of diensten, de promotie van ideeën, voorgesteld of ondersteund door een persoon of organisatie, maar ook de promotie van die persoon of organisatie zelf, met inbegrip van haar merkimago of de merken die haar eigendom zijn of door haar worden gebruikt, met uitzondering van de promotie die wordt uitgevoerd op initiatief van overheidsinstanties die strikt handelen in het kader van hun wettelijke verplichtingen of openbare dienstverleningstaken voor diensten waarvoor zij alleen verantwoordelijk zijn.” Tot slot worden mededelingen van overheidsdiensten die bepaalde campagnes voeren (bv. vaccinatiecampagnes) of diensten (bv. telefooncentra voor bijstand aan personen in moeilijkheden) promoten waarvoor zij wettelijk verantwoordelijk zijn of die zij als openbare dienst aanbieden, niet beschouwd als direct marketingcommunicatie, tenzij zij tegelijkertijd specifieke diensten of producten promoten die door particuliere dienstverleners worden aangeboden.” 9 48. Uit het bovenstaande en het ter zitting verklaarde blijkt dat verweerder betoogt een plicht te hebben om de Hello Belgium Railpass te promoten omdat zij daartoe een wettelijke verantwoordelijkheid had. De e-mails zouden derhalve dienen te worden aangemerkt als een “mededeling van overheidsdiensten” ofwel een “promotie op initiatief van overheidsinstanties”. De aanbeveling van de GBA benadrukt echter dat er sprake moet zijn van een promotie die wordt uitgevoerd op initiatief van overheidsinstanties die strikt handelen in het kader van hun wettelijke verplichtingen of openbare dienstverleningstaken. 49. Bovendien kan verweerder niet zonder meer worden beschouwd als een “overheidsdienst”, zoals hierboven gedefinieerd. Immers, verweerder is een autonoom overheidsbedrijf. Kenmerkend aan het statuut van een autonoom overheidsbedrijf is de uitdrukkelijke mogelijkheid die aan deze ondernemingen wordt gelaten om naast hun wettelijke opdrachten van openbare dienst tevens andere activiteiten te ontwikkelen.10 Een restrictieve opvatting van het begrip overheidsdienst is volgens de Geschillenkamer gelet op het voorgaande, op zijn plaats. De Geschillenkamer wenst er eveneens op te wijzen dat verweerder volgens artikel 221 § 2 van de Wet bescherming persoonsgegevens een publiekrechtelijke rechtspersoon is die diensten aanbiedt op de markt waardoor haar in tegenstelling tot "de overheid en hun aangestelden of gemachtigden” wel een administratieve boete in de zin van 83 AVG kan worden opgelegd. Dit is volgens de Geschillenkamer eveneens een aanwijzing voor het feit dat verweerder niet kan worden beschouwd als "klassieke" overheid. 9 Citaat en markering door verweerder uit aanbeveling Direct marketing GBA 01/2020 10 Artikel 7 van de Wet betreffende de hervorming van sommige economische overheidsbedrijven Beslissing ten gronde 71/2022 - 15/29 50. De Geschillenkamer is van oordeel dat de verzonden e-mail (die ook algemene informatie bevat die geen betrekking heeft op de specifieke sanitaire situatie of die niet specifiek geldig is bij het gebruik van de Hello Belgium Railpass maar ook van toepassing zou kunnen zijn bij het gebruik van andere vervoersbewijzen) niet kan worden aangemerkt als promotie die strikt beperkt was tot het uitvoeren van de opgelegde wettelijke verplichting aan NMBS in het kader van het aanbieden van de Hello Belgium Railpass of die beperkt was tot het aanbieden van een openbare dienst. De Geschillenkamer wijst er bovendien op dat er in de verzonden e-mail ook sprake kan zijn van het (eventueel indirect) promoten van diensten of producten die door particuliere dienstverleners worden aangeboden, wat een bijkomende aanwijzing is dat de e-mail niet uitsluitend betrekking had op een openbare dienstverlening. 51. Ook indien ervan uit zou worden gegaan dat het een mededeling betreft die afkomstig was van een overheidsdienst, kan de inhoud van die mededeling niet onbegrensd zijn. Het verweer dat de e-mail die werd verstuurd geen direct marketing zou zijn omdat NMBS de taak als overheidsdienst had om de reizigers te verwittigen treft volgens de Geschillenkamer geen doel. Het zou verweerder vrij hebben gestaan om in het kader van haar wettelijke taak / taak van algemeen belang, de reizigers te verwittigen en in te lichten met betrekking tot de bijzondere sanitaire situatie vanwege de pandemie. Derhalve had verweerder in de mail kunnen opnemen dat er drukte op de stations werd verwacht en dat deze drukte gevaar met zich mee zou kunnen brengen. Daarbij had zij zich moeten beperken tot het inlichten van de reizigers omtrent dit gevaar. 52. Naar het oordeel van de Geschillenkamer kan de inhoud van de e-mail echter niet worden opgevat als louter feitelijke voorlichting over de toenmalige sanitaire situatie waarin reizigers werden gewaarschuwd en gevraagd voorzichtigheid te betrachten en zoveel mogelijk te spreiden. Integendeel, de e-mail had door de (door)verwijzingen en inhoud die soms weinig te maken had met de sanitaire situatie, (ook) een aanprijzend karakter gekregen, teneinde te bewerkstelligen dat er zoveel mogelijk personen gebruik zouden maken van de Railpass (en van andere diensten of producten, of (indirect) zelfs van andere vervoersbewijzen). 53. Derhalve is door verweerder dus niet aangetoond dat de e-mails er strikt toe dienden om de reizigers aan te moedigen om te kiezen voor minder druk bezochte steden. Alhoewel er wel tips gegeven worden om bepaalde steden te bezoeken, is de hoofdboodschap van de e-mail volgens de Geschillenkamer wel degelijk de promotie van de Hello Belgium Railpass of zelfs andere vervoersbewijzen en diensten of producten (alhoewel niet altijd expliciet vernoemd). Daarbij is niet van belang dat NMBS daar geen geldelijk voordeel uit zou halen. Immers, er wordt bij de verzending van de e-mails gewezen op de bijzondere diensten die door NMBS worden geleverd, hetgeen het bedrijfsimago ten goede komt. De Geschillenkamer is het dus met de Inspectiedienst eens, waar deze stelt dat er sprake is van promotie: De boodschap is immers dat de diensten van de VV treinreizigers toelaten om