1/14 Geschillenkamer Beslissing ten gronde 72/2020 van 9 november 2020 Dossiernr. : DOS-2018-02075 Betreft: klacht tegen een ziekenhuis (verwerking van gegevens over vakbondslidmaatschap) De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Yves Poullet en Christophe Boerave, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: - de klager: de heer X - de verweerder: ziekenhuis Y Beslissing ten gronde 72/2020 - 2/14 1. Feiten en procedure 1. Op 6 mei 2018 stuurt de klager een e-mail naar de Gegevensbeschermingsautoriteit (GBA) waarin hij advies vraagt in verband met de verwerking van gegevens door zijn werkgever, die hij op dat moment identificeert als een ziekenhuisinstelling gevestigd in het Waalse Gewest. 2. Volgens de e-mail is de klager vakbondsafgevaardigde van vakbond A in de ziekenhuisinstelling in kwestie. Hij vraagt het advies van de GBA in verband met het door de werkgever rechtstreeks op hun salaris inhouden van de vakbondsbijdrage van de leden van vakbond B. 3. De klager vraagt naar de rechtmatigheid van een dergelijke praktijk met betrekking tot de AVG . Hij merkt tevens op dat die inhouding gebeurt onder onduidelijke omstandigheden en zonder daarbij de wil van de werknemers en de vertrouwelijkheid van hun gegevens te eerbiedigen. Hij voegt eraan toe dat de verwerking van vakbondsgegevens zou leiden tot discriminatie tussen de werknemers op basis van vakbondslidmaatschap. Hij stelt zich in het algemeen af waarom een werkgever gegevens over het vakbondslidmaatschap van zijn werknemers zou verzamelen. 4. Nadat e-mails zijn uitgewisseld, dient de klager op 28 augustus 2020 een klacht in bij de GBA in verband met de feiten die in de verschillende e-mails aan bod komen. De werkgever van de klager, die ook verwerkingsverantwoordelijke is, wordt geïdentificeerd als zijnde ziekenhuis Y. 5. Op 12 september 2018 wordt de klacht ontvankelijk verklaard door de voorzitter van de GBA. Via een e-mail op 4 oktober 2018 wordt de ontvankelijkheid aan de klager bevestigd. Tijdens zitting nr. 2 van 23 oktober 2018 beslist de Geschillenkamer om een onderzoek aan te vragen bij de Inspectiedienst. De onderzoeksaanvraag wordt op 29 oktober 2018 bij de Inspectiedienst ingediend. De klager wordt er dezelfde dag via een e-mail van op de hoogte gebracht. 6. De Inspectiedienst contacteert de klager per e-mail op datum van 5 maart 2019. In die mail vraagt de Inspectiedienst of de klager hem de contactgegevens kan meedelen van de functionaris voor gegevensverwerking van de verwerkingsverantwoordelijke, van het hoogste niveau van de directie van ziekenhuis Y, en van het hoogste niveau in de hiërarchie van personeelszaken. Aan de hand van een reeks vragen verzoekt de Inspectiedienst de klager eveneens allerlei documenten te verstrekken om de inhoud van zijn klacht te onderbouwen. Op 4 juni 2019 stuurt de Inspectiedienst een herinneringsmail aan de klager. Beslissing ten gronde 72/2020 - 3/14 7. Op 12 juni antwoordt de klager op de mail van de Inspectiedienst. Hij legt uit dat ziekenhuis Y besloten heeft een einde te stellen aan het systeem van inhouding op het salaris van de vakbondsbijdragen van de leden van vakbond B. De definitieve stopzetting werd eerst vastgesteld op 31 maart 2019, en vervolgens uitgesteld tot 30 juni 2019. De klager bevestigt overigens de gegevens die de Inspectiedienst hem gevraagd had te verifiëren. 8. Op 19 juni 2019 stuurt de Inspectiedienst een brief naar de functionaris voor gegevensbescherming van ziekenhuis Y waarin deze wordt gevraagd binnen de maand bepaalde inlichtingen te verstrekken, waaronder de doeleinden en de rechtmatigheidsgrond van de verwerking, alsmede de lijst van verwerkte gegevens en de documentatie met betrekking tot die verwerking. In een brief op datum van 13 augustus 2019, ontvangen door de GBA op 19 augustus 2019, geeft de algemene directie van ziekenhuis Y antwoord op de vragen van de Inspectiedienst. 9. De brief van de verwerkingsverantwoordelijke begint met een overzicht van de historiek van de verwerking die in ziekenhuis Y werd uitgevoerd en die in de paragrafen hieronder wordt uiteengezet. 10. De verantwoordelijke legt uit dat de verwerking is ingevoerd in de tijd dat er nog maar één vakbondsafvaardiging in ziekenhuis Y was, namelijk vakbond B. Er was mondeling overeengekomen dat de aangesloten leden die dat wilden, ziekenhuis Y konden machtigen om de vakbondsbijdrage op hun salaris in te houden. Een voorbeeld van een machtiging, die op 17 april 2018 door een werknemer werd ondertekend, bevindt zich in de bijlage bij de brief. Volgens de verwerkingsverantwoordelijke had de sociale inspectie meerdere malen bevestigd dat iedere werknemer een dergelijke machtiging aan zijn werkgever kon geven. 11. Tijdens de sociale verkiezingen van 2008 kreeg een tweede vakbondsorganisatie, vakbond A, vakbondsafgevaardigden. Hen werd aangeboden te kiezen voor het systeem van inhouding op het salaris, wat zij afwezen. Volgens de verwerkingsverantwoordelijke heeft vakbond A, naar aanleiding van de inwerkingtreding van de AVG, laten weten dat hij het systeem als illegaal beschouwt. 12. De directie van ziekenhuis Y vroeg zijn functionaris voor gegevensverwerking om advies in deze kwestie. Het advies is op 11 september 2018 verstrekt. Het advies bevindt zich in de bijlage bij de brief. De functionaris raadt hierin met name aan de praktijk te beëindigen, aangezien hij niet nuttig blijkt te zijn ten aanzien van de doelstellingen van de instelling. 13. Ziekenhuis Y heeft de beslissing genomen de inhouding van de vakbondsbijdrage vanaf 30 juni 2019 stop te zetten. In de bijlage bij de brief bevinden zich twee uittreksels uit de notulen van ondernemingraden. Het eerste is gedateerd op 10 januari 2019 en vermeldt dat "het probleem van de inhouding van de bijdragen binnen 3 maanden zal zijn opgelost". Het tweede is gedateerd op 4 april Beslissing ten gronde 72/2020 - 4/14 2019 en vermeldt dat "er een einde zal worden gesteld aan het systeem van inhouding vanaf 30 juni 2019". 14. In het tweede deel van de brief antwoordt de verwerkingsverantwoordelijke op de vragen van de inspecteur-generaal. Hij verklaart met name dat de rechtmatigheidsgrond van de gegevensverwerking waaruit het vakbondslidmaatschap van de werknemer blijkt de "individuele en schriftelijke machtiging is die door de werknemer aan ziekenhuis Y is gegeven". 15. Wat betreft het doeleinde van de verwerking, merkt de verwerkingsverantwoordelijke op dat de gegevens nooit voor iets anders dan voor het beoogde doel zijn gebruikt. 16. Ziekenhuis Y voegt eraan toe dat het systeem is ingesteld na een "mondeling akkoord in het verleden tussen de vakbond en de directie. Er was formeel niets op schrift gesteld." Hij legt trouwens uit dat het niet ging om een door de werkgever algemeen toegepast systeem, maar een faciliteit die door deze laatste op specifiek verzoek van de werknemer werd verleend. 17. Op 27 augustus 2019 brengt de Inspectiedienst zijn onderzoeksverslag uit. Hij stelt met name vast dat het doeleinde van de verwerking het inhouden van de vakbondsbijdrage op het salaris was en dat de verwerking was gebaseerd op toestemming. Hij voegt er eveneens aan toe dat de wettelijkheid van het doeleinde niet in overeenstemming met het sociaal recht lijkt te zijn, maar dat volgens de klager (stuk 1) en de algemene directie van ziekenhuis Y (stuk 21), de sociale inspectie een dergelijke praktijk toel(aat)(iet). De Inspectiedienst vraagt zich af, gezien de duidelijke wanverhouding in het kader van de arbeidsverhouding tussen de betrokkene/werknemer en de verwerkingsverantwoordelijke/werkgever, of het vrije karakter van de toestemming van de werknemer in twijfel kan worden getrokken (overweging 43 van de AVG en advies nr. 282017 van de Groep gegevensbescherming artikel 29 over gegevensverwerking op het werk (WP 249)). De Inspectiedienst stelt ten slotte vast dat de verwerking is stopgezet vanaf 30 juni 2019. 18. Op 20 september 2019 beslist de voorzitter van de Geschillenkamer op grond van artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. Op diezelfde dag stuurt de Geschillenkamer de klacht en de stukken aangetekend naar de verweerder en nodigt zij de partijen uit om hun argumenten te formuleren volgens een vastgesteld tijdschema. 19. Per e-mail van 3 oktober 2019 informeert de verwerkingsverantwoordelijke de Geschillenkamer dat hij geen conclusies in deze zaak indient, omdat hij van mening is dat hij de Gegevensbeschermingsautoriteit reeds op de hoogte heeft gebracht van alle elementen in zijn bezit. 20. De klager heeft geen conclusies naar de Geschillenkamer gestuurd. Beslissing ten gronde 72/2020 - 5/14 2. Motivering 21. Op basis van de haar doorgestuurde klacht en het door de Inspectiedienst verstrekte onderzoeksverslag, beschouwt de Geschillenkamer het bewezen dat ziekenhuis Y de verwerkingsverantwoordelijke was van een verwerking van gegevens over het vakbondslidmaatschap van bepaalde werknemers, met het doel de vakbondsbijdrage op het salaris van de betrokkenen in te houden (stukken nrs. 1, 21 en 23). 22. De Geschillenkamer is van mening dat meerdere kwesties moeten worden onderzocht. Eerst en vooral, gezien de periode waarin de feiten zich hebben voorgedaan, wil de Geschillenkamer zich buigen over de kwestie van het toepasselijke recht en over haar bevoegdheid (deel 3.1 hierna). Vervolgens meent de Geschillenkamer dat de rechtmatigheid van de betwiste gegevensverwerking moet worden onderzocht vanuit het oogpunt van de rechtmatigheid (deel 2.2 hierna) en het doeleinde (deel 2.3 hierna) ervan. Ten slotte zal zij zich buigen over de kwestie van de sanctie (deel 2.4 hierna). 2.1 Het toepasselijke recht en de bevoegdheid van de GBA 23. Uit de stukken van het dossier blijkt dat de verwerking van vakbondsgegevens met het oog op een inhouding op het salaris van de vakbondsbijdrage van werknemers die zijn aangesloten bij vakbond B, ten minste sinds 2008 bestaat. 24. Overigens blijkt zowel uit de woorden van de klager (stuk nr. 17) als van de verweerder (stuk nr. 21) dat aan de verwerking definitief een einde is gesteld op datum van 30 juni 2019. De Geschillenkamer stelt dan ook vast dat de gegevensverwerking in kwestie heeft plaatsgevonden tijdens de periode van 2008 tot 30 juni 2019, met andere woorden meer dan tien jaar. 25. Het toepasselijke recht voor die gegevensverwerking verschilt naar gelang van de onderzochte periode. Vanaf het begin tot 25 mei 2018 was de verwerking onderworpen aan de Privacywet. De toepasselijke wetgeving is vanaf de invoering van de AVG op 25 mei 2018 veranderd. 26. De Gegevensbeschermingsautoriteit en bijgevolg de Geschillenkamer, zijn door de WOG opgericht, die in werking is getreden op dezelfde dag als de AVG, namelijk op 25 mei 2018. Derhalve meent de Geschillenkamer dat zij niet bevoegd is om de rechtmatigheid van de verwerking tijdens de periode vóór 25 mei 2018 te beoordelen. Zij zal dus de gegevensverwerking tijdens de periode 25 mei 2018 tot 30 juni 2019 onderzoeken. Beslissing ten gronde 72/2020 - 6/14 2.2 Rechtmatigheid van de verwerking 27. De Geschillenkamer wijst er eerst en vooral op dat de verwerking van gegevens over vakbondslidmaatschap in beginsel verboden is (artikel 9.1 van de AVG). Lid 2 van datzelfde artikel voorziet echter in een aantal uitzonderingen, waaronder de "uitdrukkelijke toestemming [van de betrokkene] voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden" 1 . 28. Al wordt er niet rechtstreeks naar verwezen, toch merkt de Geschillenkamer op dat de verwerkingsverantwoordelijke de uitdrukkelijke toestemming gebruikt als rechtmatigheidsgrond voor de desbetreffende gegevensverwerking, aangezien hij verklaart dat hij zich baseert op "een individuele en schriftelijke machtiging die de werknemer aan ziekenhuis Y heeft gegeven". Hij voegt eraan toe dat "het niet gaat om een door de werkgever algemeen toegepast systeem, maar een faciliteit die door deze laatste op specifiek verzoek van de werknemer werd verleend" (stuk nr. 21, blz. 2). De verwerkingsverantwoordelijke verstrekt een machtigingsformulier, ondertekend door een werknemer (waarvan de identificatiegegevens zijn verwijderd) op datum van 17 april 2018. 2 29. Er moet dus worden onderzocht of is voldaan aan de samenstellende elementen van de uitdrukkelijke toestemming hiervoor. Een definitie van "toestemming" wordt gegeven in artikel 4.11 van de AVG dat bepaalt dat deze "vrij, specifiek, geïnformeerd en ondubbelzinnig" moet zijn. Artikel 9.2.
- a)voegt daar overigens aan toe dat voor een gegevensverwerking in verband met vakbondslidmaatschap de toestemming eveneens "uitdrukkelijk" moet zijn. 30. Wat betreft het vrije karakter van de toestemming, blijkt uit de stukken van het dossier (zie punt nr. 27) dat deze bij schriftelijke machtiging werd gegeven, als een door de werkgever aan de werknemer verleende faciliteit. De partijen, evenmin als de inspectie, verstrekken enig element om te concluderen dat de toestemming ongeldig zou zijn geweest of onder dwang zou zijn gegeven. 31. Het onderzoeksverslag vermeldt echter dat wegens de duidelijke wanverhouding in het kader van de arbeidsverhouding tussen de betrokkene die in dienst is, en de verwerkingsverantwoordelijke, die werkgever is, het vrije karakter van de toestemming in twijfel kan worden getrokken. De Inspectiedienst baseert zich op overweging 43 van de AVG en een advies van de Groep 1 2 Artikel 9.2.
- a)van de AVG. Aangezien de verwerkingsverantwoordelijke niet anderszins aangeeft, gaat de Geschillenkamer ervan uit dat het machtigingsformulier sindsdien niet is veranderd en dat hetzelfde machtigingsformulier in gebruik is gebleven na de invoering van de AVG. Beslissing ten gronde 72/2020 - 7/14 gegevensbescherming artikel 29 over gegevensverwerking op het werk 3, om dit vast te stellen. De richtsnoeren over de toestemming 4 die van kracht waren op het moment dat de verwerking in kwestie plaatsvond5, wijzen eveneens op het risico van een wanverhouding in de relatie tussen de verwerkingsverantwoordelijke en de betrokkene die de toestemming ongeldig zou kunnen maken, in het bijzonder op het vlak van de arbeidsverhouding, wat het geval is in deze zaak. De richtsnoeren vermelden echter dat bij wijze van uitzondering de toestemming van de werknemer kan worden beschouwd als geldig verleend, wanneer het feit wel of niet zijn toestemming te hebben gegeven, voor de werknemer geen negatieve gevolgen kan hebben voor zijn persoon 6. 32. Met andere woorden, bij wijze van uitzondering kan een werknemer zijn toestemming voor het verwerken van zijn gegevens door de werkgever geldig verlenen, wanneer deze laatste geen enkel voordeel bij de verwerking heeft. Zoals hieronder beschreven (zie punten nrs. 41-44 en 56) beschikt de Geschillenkamer over geen enkel element waaruit zij kan besluiten dat de betwiste verwerking met een ander doeleinde zou worden uitgevoerd dan de aan de werknemer geboden faciliteit. De Geschillenkamer is dan ook van mening dat de verwerkingsverantwoordelijke geen voordeel heeft bij de toestemming van de werknemer, en dat de wanverhouding in de relatie tussen de partijen de toestemming niet ongeldig zou kunnen maken. Er mag dus van worden uitgegaan dat de werknemer zijn toestemming vrijelijk heeft gegeven. 33. Wat betreft het specifieke karakter van de toestemming, is de Geschillenkamer van mening dat hieraan wordt voldaan door het individuele machtigingsformulier dat de werknemer wordt gevraagd in te vullen (een voorbeeld hiervan in stuk nr. 21, bijlage 1). De machtiging vraagt de toestemming van de werknemer voor één gegevensverwerking, namelijk de verwerking die is verbonden aan de rechtstreekse inhouding op het salaris van de vakbondsbijdrage. Wat betreft het geïnformeerde karakter van de toestemming, bepalen de in 2018 vastgestelde richtsnoeren voor toestemming verschillende criteria om hierover te oordelen. Om toestemming met kennis van zaken te geven, moet de betrokkene met name de volgende informatie hebben ontvangen: - "De identiteit van de verwerkingsverantwoordelijke, - Het doel van elk van de verwerkingen waarvoor toestemming wordt gevraagd, - Welk(
- e)(soort) gegevens worden verzameld en gebruikt, - Het bestaan van het recht om zijn toestemming in te trekken, 3 Groep gegevensbescherming artikel 29, "Advies 2/2017 over gegevensverwerking op het werk", aangenomen op 8 juni 2017 (https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610169). 4 Groep artikel 29, “Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679”, aangenomen op 10 april 2018 (https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051.) Deze richtsnoeren zijn vervangen door een nieuw document van het EDPB, aangenomen op 4 mei 2020 (https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf.) 5 6 Groep gegevensbescherming artikel 29, "Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679", op. cit., blz. 8. Beslissing ten gronde 72/2020 - 8/14 - […] »7 35. De Geschillenkamer stelt vast dat de eerste drie elementen relatief duidelijk op het verstrekte machtigingsformulier staan (stuk 21, bijlage 1). Zij merkt eveneens op dat nergens melding wordt gemaakt van het feit dat de betrokkene (de werknemer) zijn toestemming te allen tijde kan intrekken om de verwerking te beëindigen, terwijl dit in de richtsnoeren een vereiste is op basis van artikel 7.3 van de AVG. De Geschillenkamer is daarom van mening dat de toestemming niet kan worden beschouwd als op geïnformeerde wijze gegeven. 36. Om redenen van de hierboven uiteengezette elementen (met name punt nr. 35) concludeert de Geschillenkamer dat artikel 9.2.
- a)juncto artikel 7.3 van de AVG niet is nageleefd, in de zin dat de toestemming niet als geïnformeerd kan worden gekwalificeerd. 37. Wat betreft het uitdrukkelijke karakter van de toestemming, is de Geschillenkamer van oordeel dat hieraan wordt voldaan met de door de betrokkene ondertekende schriftelijke machtiging, die op uitdrukkelijke en specifieke wijze bepaalt welke gegevensverwerking zal worden uitgevoerd. 38. In zijn mededelingen verwijst de klager verschillende keren naar het feit dat de toestemming van de betrokkenen niet systematisch werd gevraagd, en dat de verwerking dus soms zonder rechtmatigheidsgrond plaatsvond (stuk nr. 1). De Geschillenkamer merkt echter op dat de klager geen enkel document aanbrengt waaruit die elementen blijken en dat de verwerkingsverantwoordelijke zegt dat de toestemming van de werknemer systematisch wordt gevraagd (zie punt 43 hierna). Aangezien de Inspectiedienst ook geen specifieke vaststellingen hierover heeft gedaan, beschikt de Geschillenkamer over geen enkel element om aan te nemen dat de toestemming van de werknemers niet systematisch werd gevraagd. 2.3 Het doeleinde van de verwerking Artikel 5.1.
- b)van de AVG stelt dat persoonsgegevens “voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden [moeten] worden verzameld en [...] vervolgens niet verder op een met die doeleinden onverenigbare wijze [mogen] worden verwerkt”. 40. Voor de interpretatie van dat beginsel kan de Geschillenkamer zich baseren op het advies van de Werkgroep artikel 29, waarin wordt gespecificeerd wat onder een uitdrukkelijk omschreven doeleinde 7 Ibid., blz. 15. Beslissing ten gronde 72/2020 - 9/14 wordt verstaan.8 Het is belangrijk erop te wijzen dat de hoofdkenmerken van het beginsel van doelbinding identiek zijn gebleven tussen Richtlijn 95/469 en de AVG. De richtsnoeren die in 2013 zijn ontwikkeld blijven dus gelden voor wat betreft de interpretatie van de drie essentiële kenmerken van het beginsel van doelbinding. 41. Wat betreft het welbepaalde karakter van de doeleinde, merkt de Geschillenkamer op dat in zijn vraag om informatie de klager duidelijk verwijst naar een werkwijze van "rechtstreekse inhouding op het salaris van de vakbondsbijdrage voor vakbond B" (stuk nr. 1). 42. Uit de brief van ziekenhuis Y (stuk nr. 22) blijkt overigens dat "de bij vakbond B aangesloten werknemers die dat wilden, ziekenhuis Y konden machtigen om op hun salaris het bedrag van de vakbondsbijdrage in te houden". Dit wordt bevestigd in het voorbeeld van een machtigingsformulier dat de verwerkingsverantwoordelijke heeft verstrekt in de volgende zin: "Ik, ondergetekende, [...] vraag de directie van ziekenhuis Y uitdrukkelijk om vanaf... mijn vakbondsbijdrage voor vakbond B op mijn salaris in te houden." (stuk nr. 21, bijlage 1). 43. De nota van de functionaris voor gegevensbescherming getuigt eveneens van dat doeleinde (stuk nr. 21, bijlage 2) en het onderzoeksverslag van de Inspectiedienst komt tot dezelfde vaststelling (stuk nr. 23). 44. Op basis van deze stukken is de Geschillenkamer van oordeel dat het doeleinde van de verwerking welbepaald was, voor zover het ging om het toelaten van de rechtstreekse inhouding op het salaris van de vakbondsbijdrage. 45. Wat betreft het uitdrukkelijk omschreven karakter van het doeleinde, maakt het advies van Werkgroep artikel 29 het volgende duidelijk: "De doeleinden van de verzameling moeten niet alleen duidelijk gekend zijn door de personen die belast zijn met het verzamelen van de gegevens. Ze moeten eveneens uitdrukkelijk geformuleerd worden. [...] Het uiteindelijke doel van deze vereiste is ervoor te zorgen dat de doeleinden qua betekenis en intentie, ondubbelzinnig en nauwkeurig worden vermeld. De betekenis moet duidelijk zijn en geen twijfel oproepen of moeilijk te begrijpen zijn. [...] Groep gegevensbescherming artikel 29, "Advies 03/2013 over doelbinding", aangenomen op 2 april 2013 https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf.) 8 9 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Beslissing ten gronde 72/2020 - 10/14 De verplichting om de doelstellingen "uitdrukkelijk" te vermelden draagt bij tot transparantie en voorspelbaarheid. Zij maakt het mogelijk om ondubbelzinnig de grenzen te bepalen waarbinnen de verwerkingsverantwoordelijken de verzamelde persoonsgegevens mogen gebruiken, met het doel de betrokkenen te beschermen. Zij helpt iedereen die gegevens verwerkt in naam van de verwerkingsverantwoordelijke, evenals de betrokkenen, de gegevensbeschermingsautoriteiten en andere betrokken partijen, om een gemeenschappelijk begrip te hebben van hoe gegevens mogen worden gebruikt. Dit verkleint het risico dat de verwachtingen van de betrokkenen verschillen van die van de verwerkingsverantwoordelijke.”10 46. Het advies van de werkgroep legt dus de nadruk op de noodzaak van het uitdrukkelijk vermelden van het doeleinde, zodat iedereen de reden voor de gegevensverwerking begrijpt en misverstanden worden voorkomen. In verband met de manier waarop dat doeleinde moet worden geformuleerd, benadrukt het advies de volgende elementen: "In termen van verantwoordelijkheid zal de schriftelijke vermelding van het doel en het aanmaken van geschikte documenten bijdragen om aan te tonen dat de verwerkingsverantwoordelijke heeft voldaan aan de vereiste in artikel 6, lid 1, punt b)11. Dit maakt het voor de betrokkenen ook mogelijk hun rechten op doeltreffender wijze uit te oefenen - het zal bijvoorbeeld het oorspronkelijke doeleinde bewijzen en de vergelijking met de latere doeleinden van de verwerking mogelijk maken." 12 47. Volgens de verwerkingsverantwoordelijke is de gegevensverwerking in kwestie opgezet op basis van "een mondeling akkoord in het verleden tussen de vakbond en de directie. Er was formeel niets op schrift gesteld." (stuk 21, blz. 2). Het doeleinde van de verwerking staat echter vermeld op de door de werknemer gegeven schriftelijke individuele machtiging, zoals hierboven aangegeven (zie punt nr. 42). 48. Het feit dat het doeleinde van de verwerking uitsluitend op de individuele machtiging van de betrokken werknemer beschreven staat, roept diverse vragen op. Het betekent in de eerste plaats immers dat het doeleinde uitsluitend duidelijk gemaakt wordt op het ogenblik van het vragen van de toestemming aan de werknemer, en tegenover die werknemer. De andere werknemers worden er dus bijvoorbeeld niet uitdrukkelijk van op de hoogte gebracht. Dit gebrek aan documentatie aan de basis van de werkwijze zorgt ervoor dat een zekere dubbelzinnigheid blijft bestaan. 10 Groep gegevensbescherming artikel 29 "Avies 03/2013 over doelbinding", op. cit., blz. 17. Vrije vertaling. 11 Van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. 12 Groep gegevensbescherming artikel 29 "Avies 03/2013 over doelbinding", op. cit., blz. 18. Vrije vertaling. Beslissing ten gronde 72/2020 - 11/14 49. De Geschillenkamer herinnert er nogmaals aan (zie punt nr. 27) dat de verwerking van gegevens over vakbondslidmaatschap in beginsel verboden is. Artikel 24.1. van de AVG bepaalt overigens: “Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd.”13 50. De Geschillenkamer is van mening dat de verwerking van vakbondsgegevens door de werkgever een duidelijk risico inhoudt voor de betrokken werknemers, aangezien zij de werkgever een gevoelig gegeven aanreikt dat ten onrechte kan worden gebruikt om druk uit te oefenen op de werknemers of hen te discrimineren bij bevorderingsprocedures. Derhalve moeten specifieke voorzorgsmaatregelen worden genomen wanneer dit soort gegevens wordt verwerkt. In dat verband beschouwt de Geschillenkamer het gebrek aan een schriftelijk akkoord en het feit dat over de werkwijze is beslist op basis van een eenvoudig mondeling akkoord, als een grove nalatigheid. 51. De Geschillenkamer constateert trouwens dat dit gebrek aan een schriftelijk document, ertoe bijdraagt dat de bedoelingen van de verwerkingsverantwoordelijke vaag blijven, en een zekere twijfel opwekt bij de werknemers die niet bij de verwerking betrokken zijn, zoals blijkt uit de vraag om informatie en het verzoek van de klager. Dit gebrek aan documentatie veroorzaakt eveneens een bepaalde onzekerheid wat betreft de grenzen en de voorwaarden voor de verwerking. Zoals vermeld in de klacht kan men zich inderdaad bijvoorbeeld afvragen of niet-betaalde bedragen van de bijdrage voor vakbond B het voorwerp kunnen uitmaken van een rappel van de verwerkingsverantwoordelijke ten aanzien van de werknemers (stuk nr. 1). 52. Pas nadat zij inlichtingen van de klager had ontvangen en een onderzoek had gevraagd bij de Inspectiedienst (die de verwerkingsverantwoordelijke heeft ondervraagd) heeft de Geschillenkamer het doeleinde van de verwerking kunnen vaststellen (zie punten nrs. 41-44). Met andere woorden is pas na grondig onderzoek door de Geschillenkamer het doeleinde duidelijk geworden. Voor de Geschillenkamer kan een doeleinde dat dit soort onderzoek nodig heeft om duidelijk te worden, zeker niet worden beschouwd als uitdrukkelijk vermeld. 53. Wat betreft de rechtmatigheid van het doeleinde, die verschillende keren door de klager aan de orde is gesteld (stukken nrs. 1, 3, 6), stelt het onderzoeksverslag vast dat die "echter problematisch is: een dergelijke systematische inhouding op het salaris mag niet worden uitgevoerd, gezien de 13 De Geschillenkamer onderstreept. Beslissing ten gronde 72/2020 - 12/14 dwingende bepaling van artikel 23 van de wet van 12 april 1965 betreffende de bescherming van het loon der werknemers, die in principe elke inhouding op het loon verbiedt, zelfs in het geval van een voorafgaand akkoord." Het verslag verduidelijkt evenwel dat "uit de verklaringen van de klager (stuk 1) en de algemene directie van ziekenhuis Y (stuk 21) blijkt dat de sociale inspectie een dergelijke praktijk toeliet". 54. Overeenkomstig artikel 4, §1, van de WOG is de Gegevensbeschermingsautoriteit verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. De Geschillenkamer meent bijgevolg dat zij niet bevoegd is om de rechtmatigheid van een praktijk (in dit geval een rechtstreekse inhouding door de werkgever van een bijdrage op het salaris van werknemers) met betrekking tot het sociaal recht, vast te stellen. Zij stelt net als de Inspectiedienst vast dat de klager en de verwerkingsverantwoordelijke allebei verklaren dat de praktijk geaccepteerd of ten minste getolereerd werd door de sociale inspectie. Bijgevolg kan de Geschillenkamer geen schending vaststellen van artikel 5.1.b wat betreft de rechtmatigheid van het doeleinde van de verwerking. 55. Wat betreft de vraag over een verdere verwerking van de vakbondsgegevens voor andere dan de beoogde doeleinden, de door de klager aangevoerde verwerking (zie punt nr. 3) die met name bestaat in het toekennen van voordelen op basis van vakbondslidmaatschap, stelt de Geschillenkamer vast dat er geen enkel bewijs wordt geleverd om deze beweringen te staven. Het onderzoeksverslag doet in dit verband ook geen enkele vaststelling en de verwerkingsverantwoordelijke verklaart dat de gegevens voor geen enkel ander doeleinde worden verwerkt dan voor de inhouding op het salaris (stuk nr. 21, blz. 2). Bijgevolg is de Geschillenkamer van mening dat dit element ongegrond is. 2.4 De sanctie 56. Op grond van de analyse hierboven is de Geschillenkamer van oordeel dat de verwerkingsverantwoordelijke de volgende artikelen van de AVG heeft geschonden: - artikel 9.2.
- a)juncto artikel 7.3 in de zin dat de toestemming niet duidelijk was gegeven (zie punt 36); - artikel 5.1.
- b)juncto artikel 24.1 van de AVG in de zin dat het doeleinde niet uitdrukkelijk was vermeld (zie punt nr. 52). 57. De Geschillenkamer merkt evenwel op dat volgens beide partijen en het onderzoeksverslag, er een definitief einde is gesteld aan de verwerking op 30 juni 2019, en dat dit naar aanleiding was van Beslissing ten gronde 72/2020 - 13/14 het advies in die zin van de functionaris voor gegevensbescherming van de verwerkingsverantwoordelijke. 58. De Geschillenkamer merkt op dat zelfs al hadden deze schendingen een structureel karakter, aangezien ze de werkwijze in haar totaliteit betroffen en niet enkel een aantal aparte gevallen, zij waarschijnlijk niet bewust de bedoeling hadden om de wetgeving te omzeilen op het gebied van de bescherming van persoonsgegevens. 59. Het is eveneens belangrijk erop te wijzen dat de klager nooit betrokken is geweest bij de gegevensverwerking in kwestie, aangezien hij bij de vakbond hoort die had geweigerd deel te nemen aan de regeling. De Geschillenkamer is bovendien van mening dat het niet is bewezen dat hij enige schade heeft geleden. 60. Het feit dat de verwerkingsverantwoordelijke om advies heeft gevraagd aan zijn functionaris voor gegevensbescherming en dat hij heeft besloten het advies op te volgen, bewijst duidelijk dat de verplichtingen die voortvloeien uit de AVG ernstig zijn genomen. Door de definitieve stopzetting van de verwerking hoeft zijn verantwoordelijke trouwens niet te zorgen voor bijkomende aanpassingen inzake naleving. 61. Op basis van deze elementen vindt de Geschillenkamer het niet nodig om een van de maatregelen als bedoeld in artikel 100, §1, van de WOG, te nemen. 2.5 De transparantie 62. Gezien het belang van transparantie met betrekking tot het besluitvormingsproces en de beslissingen van de Geschillenkamer, zal deze beslissing worden gepubliceerd op de website van de Gegevensbeschermingsautoriteit, waarbij de directe identificatiegegevens van de genoemde partijen en personen, zowel natuurlijke als rechtspersonen, worden verwijderd. Beslissing ten gronde 72/2020 - 14/14 OM DIE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging: - dat er geen schending van de artikelen 5.1.
- b)juncto artikel 24.1, en artikel 9.2.
- a)juncto artikel 7.3 van de AVG heeft plaatsgevonden: - dat het niet nodig is om een van de maatregelen als bedoeld in artikel 100, §1, van de WOG te nemen. Tegen deze beslissing kan op grond van art. 108, §1 WOG beroep worden aangetekend bij het Marktenhof, binnen een termijn van dertig dagen vanaf de betekening van de kennisgeving, met de Gegevensbeschermingsautoriteit als verweerder. Hielke Hijmans Voorzitter van de Geschillenkamer