Beslissing ten gronde nr. 72/2025

1/48 Geschillenkamer Beslissing ten gronde 72/2025 van 22 april 2025 “Deze beslissing werd deels vernietigd door het Arrest 2025/AR/892 van het Marktenhof dd. 17 december 2025 in zoverre zij stelt dat de verweerder zich niet kan beroepen op de uitzondering voorzien in artikel 14.5.

1. a)AVG, een bevel oplegt om de verwerkingen in overeenstemming te brengen met de transparantieverplichting, en hiervoor een boete oplegt van 6000 EUR. Daarnaast hervormt het Marktenhof de overige administratieve boetes, zodat deze worden verminderd naar 6000 EUR en 4000 EUR.” Dossiernummer : DOS-2021-00561 Betreft : Klacht tegen een gegevensmakelaar De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Jelle Stassijns en Frank De Smet; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Y, vertegenwoordigd door meester Wim Wijsmans, hierna “de verweerder” Beslissing ten gronde 72/2025- 2/48 I. Feiten en procedure 1. De heer X (hierna, “de klager”) is managing partner bij het bedrijf Z1. Nadat hij een direct marketing e-mail ontvangt van Z2 International Sarl, dient hij bij deze laatste een verzoek tot verwijdering van zijn gegevens in. Op 15 januari 2021 informeert Z2 International de klager dat zij de gegevens van Y (de verweerder) heeft bekomen en per 7 januari 2021 heeft toegevoegd aan haar database. Zij stelt verder dat de betreffende gegevens nu uit haar database zijn verwijderd. Vervolgens stuurt de klager op 15 januari 2021 een verzoek van inzage naar de verweerder. Meer bepaald vraagt hij een overzicht van alle gegevens die de verweerder van hem heeft verzameld, hoe de gegevens werden verkregen, wanneer de gegevens werden verkregen, van welke bron de gegevens werden verkregen, van welke tussenpartijen de gegevens werden verkregen, aan welke partijen de gegevens werden doorgegeven, de opslagtermijn, en hoe de gegevens werden verwerkt. Voorts stelt de klager in dezelfde e-mail dat hij niet overeenkomstig de artikelen 13 en 14 AVG werd ingelicht op het moment van de verzameling van de gegevens of ten laatste één maand na de verwerking of op het moment van eerste contact. Daarnaast verwijst de klager naar de gebruiksregels van de Kruispuntbank van Ondernemingen (KBO), op basis waarvan het onwettig zou zijn om persoonsgegevens van de KBO te gebruiken voor direct marketing doeleinden. De klager eist bovendien dat de verweerder alle verwerkingen van zijn gegevens staakt en de gegevens wist nadat hij inzage heeft verkregen. Op 29 januari 2021 antwoordt de verweerder op de e-mail van de klager. De verweerder stelt dat zij een leverancier is van een platform waarop organisaties heel gedetailleerd hun zakelijke doelgroep in kaart kunnen brengen. Deze dienst kan als startpunt dienen voor analyses, verrijkingen, of marketing- en salesacties. De verweerder informeert de klager dat de gegevens die zij verwerkt uitsluitend de gegevens zijn van de organisatie van de klager zoals die geregistreerd zijn bij de KBO. Zij voegt een kopie van de gegevens toe in bijlage van de e-mail. De verweerder bevestigt dat de gegevens van de klager uit haar database zullen worden verwijderd, en dat er een geautomatiseerd verwijderverzoek zal worden doorgegeven aan haar klanten. Wat betreft de vraag van de klager omtrent de ontvangers van de gegevens, stelt de verweerder dat dit ten eerste een onevenredige inspanning zou vergen, en ten tweede dat dit geen vereiste is onder de AVG, daar het benoemen van de ‘categorieën’ van ontvangers voldoende is, met name: “organisaties die belang hechten aan een kwalitatief hoogwaardige Beslissing ten gronde 72/2025- 3/48 ondersteuning van B2B marketing- en salesacties, analyses van zakelijke doelgroepen en het actueel houden van zorgvuldig opgebouwde zakelijke databases”. Tenslotte meent de verweerder dat zij zelf nooit de klager heeft benaderd voor marketing- of salesdoeleinden, en dat de stelling van klager dat zij een actieve rol heeft met betrekking tot de direct-marketing communicatie die hij van Z2 heeft ontvangen, derhalve onjuist is. De verweerder stelt dat Z2 op foutieve wijze gebruik heeft gemaakt van haar diensten door ongevraagd een commercieel bericht te versturen naar het e-mailadres van de klager. De verweerder informeert de klager dat zij hier passende actie op zal ondernemen. 2. Op 1 februari 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. De klager stelt dat de verweerder gebruik maakt van zijn persoonsgegevens uit de KBO voor doeleinden van direct marketing. Hij verwijst naar de privacyverklaring op de website van de verweerder, waarin ten tijde van de klacht het volgende stond te lezen: “Alle persoonsgegevens in de database van Y hebben als uiteindelijke bron de Kruispuntbank van Ondernemingen of openbare bronnen”. Volgens de klager zou het gebruik van deze gegevens voor direct marketingdoeleinden onwettig zijn op basis van artikel 2, § 1, lid 2 van het koninklijk besluit van 18 juli 2008 betreffende het commercieel hergebruik van publieke gegevens van de Kruispuntbank van Ondernemingen1. Voorts stelt de klager dat hij bij het vragen van inzage in zijn gegevens bij de verweerder geen details krijgt over de ontvangers van zijn gegevens en de opvraging daarvan bij de KBO. Hij stelt dat de verweerder weigert haar plicht na te komen om de in artikel 14 AVG vereiste informatie te verstrekken aan de betrokkenen. 3. Op 24 februari 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 24 maart 2021 beslist de Geschillenkamer op grond van art. 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst. 5. Op 24 maart 2021 wordt overeenkomstig art. 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 1 Art. 2.§ 1. De openbare gegevens van de Kruispuntbank van Ondernemingen kunnen overeenkomstig de nadere regels en de voorwaarden van dit besluit, door de beheersdienst doorgegeven worden aan derden met het oog op commercieel hergebruik. Derden mogen evenwel geen persoonsgegevens voor direct marketingdoeleinden gebruiken en/of herverspreiden. Beslissing ten gronde 72/2025- 4/48 6. Op 20 mei 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de Inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG). 7. Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat Y inbreuken heeft begaan op de volgende artikelen: ▪ Artikel 5.1.a en 5.2, alsook artikel 6.1 van de AVG; ▪ Artikel 12.1, 12.2, 12.3 en 12.4 AVG, alsook artikel 15, artikel 17, artikel 19, artikel 21, artikel 24.1 en artikel 25.1 van de AVG; ▪ Artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1 alsook artikel 25.1 van de AVG. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat Y inbreuken heeft begaan op de volgende artikelen: ▪ Artikel 4.11, artikel 5.1.a en artikel 5.2 AVG, artikel 6.1.a, alsook artikel 7.1 en 7.3 van de AVG; ▪ Artikel 5 en artikel 24.1 AVG, alsook artikel 25.1 en 25.2 van de AVG; ▪ Artikel 30.1 en artikel 30.3 van de AVG; ▪ Artikel 38.1 en artikel 39.1 van de AVG. 8. Op 18 juni 2021 beslist de Geschillenkamer op grond van art. 96, § 2 WOG en toepassing makende van artikelen 63, 3° en 94, 2° WOG om een aanvullend onderzoek te vragen bij de Inspectiedienst. 9. Op 22 juni 2021 wordt het aanvullend onderzoek door de Inspectiedienst afgerond, wordt het aanvullend verslag bij het dossier gevoegd en wordt het dossier door de Inspecteurgeneraal overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG). Het aanvullend verslag besluit dat Y ook inbreuken heeft begaan op de volgende artikelen: ▪ Artikel 28.3 van de AVG. ▪ Artikel 12.1, artikel 14.2, artikel 5.2, artikel 24.1 alsmede artikel 25.1 van de AVG. 10. Op 21 januari 2022 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde, en worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in art. 98 WOG. Tevens worden zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Beslissing ten gronde 72/2025- 5/48 Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 4 maart 2022, deze voor de conclusie van repliek van de klager op 25 maart 2022 en ten slotte deze voor de conclusie van repliek van de verweerder op 15 april 2022. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder met betrekking tot de vaststellingen die niet rechtstreeks betrekking houden met het voorwerp van de klacht, werd daarbij vastgelegd op 4 maart 2022. 11. Op 21 januari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 12. Op 21 januari 2022 aanvaardt ook de verweerder elektronisch alle communicatie omtrent de zaak en geeft zij te kennen gebruik te willen maken van de mogelijkheid om een kopie van het dossier te verkrijgen (art. 95, §2, 3° WOG), dewelke haar werd overgemaakt op 26 januari 2022. Tevens geeft de verweerder te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 13. Op 4 maart 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Deze conclusie bevat eveneens de reactie van de verweerder omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. 14. Op 23 maart 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager, voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. 15. Op 15 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. 16. Op 9 oktober 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 4 november 2024. 17. Op 4 november 2024 worden de partijen gehoord door de Geschillenkamer. 18. Op 8 november 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 19. Op 15 november 2024 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 20. Op 19 februari 2025 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. Op 13 maart 2025 ontvangt de Beslissing ten gronde 72/2025- 6/48 Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. II. Procedure in Kort Geding 21. Op 6 maart 2025 heeft Y bij dagvaarding een vordering voor de rechtbank ingesteld. Zij vordert, in hoofdorde, te zeggen voor recht dat de publicatie van de beslissing van de Geschillenkamer opgeschort dient te worden tot op het ogenblik dat de beslissing definitief (of hervormd) zou worden, i.e. tot op het ogenblik van het aflopen van de beroepstermijn of tot op het ogenblik van de uitspraak van het Marktenhof en dit onder verbeurte van een dwangsom. In ondergeschikte orde vordert Yte zeggen voor recht dat de beslissing van de Geschillenkamer vóór de publicatie ervan geanonimiseerd dient te worden en dit onder verbeurte van een dwangsom. Hierbij vordert Y het recht te verkrijgen om de anonimisering van de beslissing te controleren en suggesties voor (bijkomende) anonimisering te doen. Voorts vordert Yte zeggen voor recht dat de Gegevensbeschermingsautoriteit zich dient te onthouden van enige publicatie met betrekking tot de beslissing (via nieuwsberichten of sociale media) om te vermijden dat de anonimiteit in hoofde van Y doorprikt kan worden. 22. Op de openbare zitting van 19 maart 2025 worden de partijen gehoord, worden de stukken van de partijen neergelegd, worden de debatten gesloten en wordt de zaak in beraad genomen. 23. Op 26 maart 2025 verklaart de kortgedingrechter de vordering van Y ontvankelijk doch ongegrond, en veroordeelt hij Y tot betaling van de kosten van het geding en de rolrechten. Er worden, volgens de voorzitter van de rechtbank, “geen materiële bewijzen of elementen voorgebracht van de beweringen en doemscenario’s die eiseres [Y] voorschotelt, ingeval van publicatie van de uitspraak van verweerster [de Gegevensbeschermingsautoriteit]”. Ten eerste oordeelt de kortgedingrechter dat Yde hoogdringendheid niet bewijst. De vermeende reputatieschade is volgens de rechter gebaseerd op eenzijdige beweringen, en financiële schade bij een commerciële onderneming kan, behoudens tegenbewijs, aangenomen worden herstelbaar te zijn. Y maakt niet geloofwaardig dat haar voortbestaan in het gedrang zou komen door de loutere publicatie van de beslissing. Bovendien wijst de rechter erop dat de publicatie van de beslissingen van de Geschillenkamer gebaseerd is op de wet (art. 95, § 1, 8°, 100, § 1, 16° en 108, § 3 WOG) en dus volledig verwacht kan worden. Aldus kan deze publicatie geen afdoende grond tot vermeende schade zijn. De stelling van Y volgen zou, volgens de rechter, leiden tot een verbod op publicatie voor elke beslissing tot er uitspraak is gedaan over het beroep, terwijl art. 108, § 3 WOG net de publicatie voorschrijft om rechten van derden te vrijwaren in het kader van de beroepsprocedure. Ten tweede oordeelt de kortgedingrechter dat Y niet laat blijken van een voldoende schijn van recht. De voorzitter van de rechtbank verduidelijkt dat de beslissingsbevoegdheid over publicatie exclusief en Beslissing ten gronde 72/2025- 7/48 enkel aan de Geschillenkamer toekomt. Hij merkt op dat de wetgever er klaarblijkend van uitging dat een publicatie de regel is en de niet publicatie de uitzondering. Door de Geschillenkamer preventief te verplichten al dan niet te publiceren, zou de voorzitter van de rechtbank zich de bevoegdheden van de Geschillenkamer toe-eigenen. Bovendien zou er geen begin van bewijs voorliggen dat de Geschillenkamer niet correct zou optreden. Tot slot herinnert de voorzitter van de rechtbank eraan dat de publicatie op grond van art. 108, § 3 WOG er gekomen is om derden de mogelijkheid te geven beroep in te stellen tegen een beslissing van de Geschillenkamer. De discussie in het onderhavige dossier blijkt in dat kader, volgens de voorzitter, een ruimere impact te hebben en ook de rechten en belangen van derden te raken. III. Motivering III.1. Beschrijving van de omstreden verwerkingsactiviteit door de verweerder 24. De verweerder,Y, is een dochteronderneming van de in Nederland ingeschreven vennootschappen Z3 en W2. Deze laatste is een datalicentieovereenkomst aangegaan met de eveneens in Nederland ingeschreven vennootschap Z7, op basis waarvan Z7 gegevens levert aan W, die de gegevens vervolgens doorgeeft aan haar dochterondernemingen, waaronder de verweerder3. De verweerder verleent vervolgens (sub-)licenties van de gegevens aan haar klanten4. In haar “Algemene Voorwaarden (verkort)” stelt de verweerder dat haar klanten de gegevens voor verschillende doeleinden kunnen inzetten, waaronder marketing- en salesacties, verrijkingen, en analyses5. In de praktijk worden de gegevens ter beschikking van de klanten gesteld via een portal van de verweerder6. 25. De categorieën van gegevens die door Z7 aan W worden geleverd, en die vervolgens door de verweerder ter beschikking worden gesteld aan haar klanten, worden in bijlage 1 van de overeenkomst tussen Z7 en W beschreven7. Deze gegevens betreffen een database van “Nederlandse Basisdata”, en, relevant binnen de reikwijdte van de onderhavige klacht, een database van “Belgische Basisdata”. Deze laatste database omvat volgens de overeenkomst 1,3 miljoen bedrijfsadressen en maandelijkse updates van een bepaalde lijst data-onderdelen. 2 Randnummer 1 syntheseconclusies verweerder 3 Stuk 1 syntheseconclusies verweerder 4 Stukken 4-5 syntheseconclusies verweerder 5 Stukken 6-7 syntheseconclusies verweerder 6 Randnummer 4 syntheseconclusies verweerder 7 Stuk 1 syntheseconclusies verweerder Beslissing ten gronde 72/2025- 8/48 III.1.1. Kwalificatie van de gegevens 26. De verweerder stelt in haar syntheseconclusies dat zij slechts in zeer beperkte mate persoonsgegevens verwerkt. De verwerking die aanleiding gaf tot de onderhavige klacht kan volgens haar niet worden gekwalificeerd als een verwerking van persoonsgegevens, waardoor de AVG niet van toepassing is. Volgens de verweerder is het e-mailadres “[…]” immers geen persoonsgegeven maar een gegeven over een rechtspersoon. Zij verwijst naar Overweging 14 van de AVG: “De bescherming die door deze verordening wordt geboden, heeft betrekking op natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats, in verband met de verwerking van hun persoonsgegevens. Deze verordening heeft geen betrekking op de verwerking van gegevens over rechtspersonen en met name als rechtspersonen gevestigde ondernemingen, zoals de naam en de rechtsvorm van de rechtspersoon en de contactgegevens van de rechtspersoon.” (nadruk van de verweerder) Volgens de verweerder moet het e-mailadres “[…]” worden aangemerkt als een contactgegeven van een rechtspersoon, en is de AVG overeenkomstig Overweging 14 niet van toepassing. In het algemeen stelt de verweerder dat de gegevens in haar databanken slechts als persoonsgegevens kunnen worden gekwalificeerd in geval van eenmanszaken of de namen van de bestuurders van rechtspersonen 8. 27. In dit verband wijst de Geschillenkamer op artikel 4.1 AVG, waar het begrip persoonsgegevens wordt gedefinieerd: “Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam…” 28. De klager is een natuurlijke persoon die rechtstreeks kan worden geïdentificeerd aan de hand van het e-mailadres “[..]”, waardoor dit e-mailadres volgens artikel 4.1 AVG weldegelijk als een persoonsgegeven moet worden beschouwd. Hoewel het een e-mailadres betreft dat de klager in het kader van een beroepsactiviteit gebruikt, blijft het informatie over een natuurlijke persoon. Het Hof van Justitie van de Europese Unie heeft bovendien geoordeeld dat de omstandigheid dat informatie behoort tot een professionele context niet afdoet aan de kwalificatie ervan als persoonsgegevens 9. De Geschillenkamer herinnert er bovendien aan dat dit Hof reeds in 2010 oordeelde dat de naam van een rechtspersoon als een 8 Randnummer 52 syntheseconclusies verweerder HvJEU, arrest van 9 maart 2017, Camera di Commercio, Industria, Artigianato e Agricoltura di Lecce t. Salvatore Manni, C-398/15, ECLI:EU:C:2017:197, punt 34 en aldaar aangehaalde rechtspraak 9 Beslissing ten gronde 72/2025- 9/48 persoonsgegeven wordt aangemerkt indien uit deze naam de identiteit van een of meer natuurlijke personen blijkt10. Overweging 14 dient ertoe te specifiëren dat de naam van een rechtspersoon zoals Y geen persoonsgegeven is indien het geen informatie bevat over een natuurlijke persoon. De verwerking van het e-mailadres van de klager valt aldus binnen het materieel toepassingsgebied van de verordening, conform artikel 2.1 AVG. Deze persoonsgegevens vallen immers niet onder de categorieën persoonsgegevens beschreven in art. 2.2 AVG waarop de AVG niet van toepassing is. Ten overvloede wijst de Geschillenkamer erop dat overweging 14 AVG geen uitzondering kan uitmaken op het materieel toepassingsgebied van de AVG in de zin van art. 2 AVG. III.1.2. Omvang van de gegevensverwerking 29. In randnummer 54 van haar syntheseconclusies verstrekt de verweerder een overzicht van de e-mailadressen die in haar databank van gegevens zijn opgenomen. In totaal zou de verweerder 229.557 e-mailadressen verwerken. Op basis van haar redenering betreffende de kwalificatie van gegevens stelt de verweerder dat 161.387 – oftewel 70,3% van de 229.557 – e-mailadressen “onpersoonlijk” zijn. Verder stelt de verweerder dat 21.017 emailadressen vermoedelijk persoonsgegevens zijn, 44.964 e-mailadressen “niet beoordeeld” zijn, en 2.184 e-mailadressen “onbekend” zijn. Op basis van haar hypotheses dat 50% van de “onbekende” e-mailadressen, en 70% van de “niet beoordeelde” emailadressen, persoonsgegevens zijn, stelt de verweerder dat 53.584 e-mailadressen mogelijkerwijze persoonsgegevens zijn. Volgens de verweerder is de AVG echter niet van toepassing op het merendeel van deze e-mailadressen omdat de meeste ervan het contactadres van een vennootschap zijn. In dat verband stelt zij dat slechts de gegevens met betrekking tot eenmanszaken als persoonsgegevens kunnen worden beschouwd. 30. Zoals hierboven uiteengezet, oordeelt de Geschillenkamer dat de verweerder gegevens, zoals het e-mailadres van de klager, onjuist kwalificeert als zijnde geen persoonsgegevens. Dientengevolge volgt de Geschillenkamer de berekening van de verweerder op basis van haar eigen kwalificatie-methode ook niet. Minstens 68.165 e-mailadressen zouden mogelijkerwijze persoonsgegevens kunnen zijn die ook binnen het toepassingsgebied van de AVG vallen, aangezien de verweerder zelf stelt dat 21.017 e-mailadressen vermoedelijk persoonsgegevens zijn, 44.964 e-mailadressen “niet beoordeeld” zijn, en 2.184 emailadressen “onbekend” zijn. In ieder geval komt de verweerder zelf in mei 2021 tot de conclusie dat zij persoonsgegevens op een grote schaal verwerkt 11. Bovendien stelt de Inspectiedienst in haar onderzoeksverslag vast dat de verweerder systematisch en op grote schaal persoonsgegevens verwerkt. Tijdens de hoorzitting stelt de verweerder dat 10 HVJEU, arrest van 9 november 2010, Volker und Markus Schecke GbR (C -92/09) en Hartmut Eifert (C-93/09) tegen Land Hessen, C-92/09 en C-93/09, ECLI:EU:C:2010:662, punten 53 en 54 11 Bijlage 14 bij de brief van de verweerder aan de GBA op 5 mei 2021 Beslissing ten gronde 72/2025- 10/48 het aantal gegevens dat heden wordt verwerkt niet veel zou verschillen van het aantal dat in de syntheseconclusies werd gecommuniceerd12. 31. Voorts merkt de Geschillenkamer op er onduidelijkheid is betreffende de oorspronkelijke bron van de gegevens, en met name of de gegevens van de klager oorspronkelijk bij de KBO werden verzameld. De klager stelt in zijn klacht dat de gegevens bij de KBO werden verzameld. Ten tijde van de klacht stelt de verweerder in haar privacyverklaring het volgende: “Alle persoonsgegevens in de database van Y hebben als uiteindelijke bron de Kruispuntbank van Ondernemingen of openbare bronnen”. De verweerder paste dit later aan, zodat haar privacyverklaring ten tijde van dit schrijven stelt dat “de Kruispunt van Ondernemingen niet de bron is van de gegevens opgenomen in onze database”. De verweerder stelt in haar syntheseconclusies dat de gegevens niet van de KBO of andere publieke bronnen afkomstig zijn, maar van Z7. De verweerder stelt echter ook dat zij ervan uitgaat dat de databank van Belgische bedrijfsinformatie van Z7 verrijkt is met gegevens van (onder meer) de KBO teneinde de juistheid ervan te garanderen. Z7 zou de gegevens van Z3 hebben bekomen, en volgens de verweerder zou deze partij de gegevens bij diverse bronnen zoals de KBO en Z6 hebben verzameld13. Tijdens de hoorzitting vraagt de Geschillenkamer aan de verweerder een toelichting over de relatie tussen Yen de KBO. De verweerder antwoordt dat zij geen relatie heeft met de KBO, maar dat de oorspronkelijke bron van de gegevens in veel gevallen de KBO zou zijn 14. Voorts stelt zij dat de gegevens niet rechtstreeks van de KBO komen, maar dat deze mogelijkerwijze onrechtstreeks bij de KBO werden verzameld door Z5. Die mogelijkheid leidt zij af uit de privacyverklaring van Z5. De verweerder stelt dat zij hier geen zicht op heeft15. III.2. Rechtmatigheid van de verwerking (artikel 5.1.a en 5.2, alsook artikel 6.1) 32. Artikel 5.1.
2. a)AVG bepaalt dat persoonsgegevens op een ten aanzien van de betrokkenen rechtmatige, behoorlijke en transparante wijze moeten worden verwerkt. Voorts bepaalt artikel 6.1 AVG dat de verwerking van persoonsgegevens slechts rechtmatig is indien en voor zover deze rust op één van de in artikel 6.1.
3. a)–
4. f)AVG vastgelegde rechtsgronden. De verwerkingsverantwoordelijke dient voorafgaand aan de verwerking na te gaan of er wordt voldaan aan de voorwaarden van één van de mogelijke rechtsgronden. Ten slotte moet de verwerkingsverantwoordelijke kunnen aantonen dat de verwerking rechtmatig is, gelet op de verantwoordingsplicht die krachtens artikel 5.2 AVG op hem rust. 33. In casu beroept de verweerder zich op de rechtsgrond voorzien in artikel 6.1.
5. f)AVG. Deze rechtsgrond bepaalt dat de verwerking rechtmatig is voor zover die “noodzakelijk [is] voor 12 PV Hoorzitting, pagina 4 13 Randnummers 60 en 61 syntheseconclusies verweerder 14 PV hoorzitting, pagina 4 15 PV hoorzitting, pagina 6 Beslissing ten gronde 72/2025- 11/48 de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”. De in deze bepaling bedoelde rechtsgrond moet volgens het Hof van Justitie restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven16. 34. Het Hof van Justitie heeft geoordeeld dat in artikel 6.1.
6. f)AVG drie cumulatieve voorwaarden worden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn, te weten, ten eerste, de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde, ten tweede, de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, ten derde, de voorwaarde dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde 17. 35. In het onderhavige geval stelt de Inspectiedienst vast dat de verweerder de verplichtingen opgelegd door artikelen 5.1.a), 6.1 en 5.2 AVG niet naleeft. De Inspectiedienst oordeelt dat de verweerder niet voldoende rekening houdt met de drie cumulatieve voorwaarden waaraan moet worden voldaan om de rechtsgrond van een gerechtvaardigd belang te kunnen inroepen. Volgens de Inspectiedienst voldoet de verweerder met name niet aan de voorwaarde dat de belangen of de grondrechten en de fundamentele vrijheden van de betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde (de “afwegingstoets”). 36. Deze afweging van de betrokken tegengestelde rechten en belangen hangt af van de omstandigheden van het concrete geval 18. De verwerkingsverantwoordelijke moet rekening houden met de belangen, de grondrechten en de fundamentele vrijheden van de betrokkene, de impact van de verwerking op de betrokkene en de redelijke verwachtingen van de betrokkene. Overweging 47 AVG bepaalt dat de belangen en de grondrechten van de betrokkene met name verwerkingsverantwoordelijke zwaarder wanneer wegen dan persoonsgegevens het belang worden van de verwerkt in omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet 16 HvJEU, arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond t. Autoriteit Persoonsgegevens, C-621/22, ECLI:EU:C:2024:857, punt 31 en aldaar aangehaalde rechtspraak 17 HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 106 en aldaar aangehaalde rechtspraak; zie ook Richtsnoeren 1/2024 over het verwerken van persoonsgegevens op basis van artikel 6, lid 1, onder f), AVG, Versie 1 van 8 October 2024. 18 HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 110 en aldaar aangehaalde rechtspraak. Beslissing ten gronde 72/2025- 12/48 verwachten19. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of er sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden 20. 37. De Inspectiedienst verwijst in haar verslag naar het arrest TK, waarin het Hof van Justitie oordeelt dat “de redelijke verwachtingen van de betrokkene dat zijn persoonsgegevens niet worden verwerkt wanneer hij, in de omstandigheden van het geval, redelijkerwijs geen verdere verwerking ervan kan verwachten” 21 relevant zijn. In dat verband stelt de Inspectiedienst vast dat het feit dat persoonsgegevens van betrokkenen worden verwerkt in het kader van en toegankelijk zijn via de KBO of openbare bronnen, niet impliceert dat die betrokkenen redelijkerwijs kunnen verwachten dat die persoonsgegevens vervolgens door de verweerder zonder hun toestemming systematisch en tegen betaling ter beschikking worden gesteld aan haar klanten en dus verder worden verwerkt. III.2.1. Belangenafweging ten aanzien van de belangen, de grondrechten en de fundamentele vrijheden van de betrokkene en de impact van de verwerking op de betrokkene 38. De verweerder stelt in haar syntheseconclusies dat haar eigen belangen, rekening houdend met de maatregelen die zij heeft voorzien, zwaarder doorwegen dan de rechten van de betrokkenen. Zij verwijst net zoals de Inspectiedienst naar het arrest TK, en meer bepaald naar punten 54 en 55 van dit arrest waarin het Hof van Justitie oordeelt dat er rekening mee kan worden gehouden dat de ernst van de aantasting van de grondrechten van de betrokkene als gevolg van de verwerking kan verschillen afhankelijk van de vraag of de betrokken gegevens beschikbaar zijn in voor het publiek toegankelijke bronnen22. Voorts volgt, volgens de verweerder, uit datzelfde arrest dat er voor deze afweging ook rekening moet worden gehouden met de aard van de betrokken persoonsgegevens en de verwerking, de concrete wijze van verwerking en de toegang tot de gegevens, en de redelijke verwachtingen van de betrokkene. De verweerder stelt dat de gegevens die zij verwerkt niet gevoelig zijn aangezien het slechts “bedrijfsgegevens” zijn die steeds publiekelijk beschikbaar zijn. 39. Betreffende de stelling van de verweerder dat de betrokken gegevens tevens op andere manieren publiek beschikbaar zijn, is de Geschillenkamer van oordeel dat de verweerder dit niet voldoende heeft aangetoond. De gegevens van de klager waren in casu publiek 19 HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 112. 20 Overweging 47 AVG. 21 HvJEU, arrest van 11 december 2019, TK tegen Asociatia de Proprietari blok M5A-ScaraA, C-708/18, ECLI:EU:C:2019:1064, punt 58 22 HvJEU, arrest van 11 december 2019, TK tegen Asociatia de Proprietari blok M5A-ScaraA, C-708/18, ECLI:EU:C:2019:1064, punt 54 Beslissing ten gronde 72/2025- 13/48 beschikbaar via de KBO, maar de verweerder stelt dat de KBO niet de bron was voor haar databank. Het is dan ook aan de verweerder om aan te tonen dat alle persoonsgegevens waar zij over beschikt publiek beschikbaar zijn. 40. Voorts stelt de verweerder dat het aantal betrokkenen waarvan zij de persoonsgegevens zou verwerken beperkt is omdat het een klein percentage van personen is in verhouding met de bevolking23. De Geschillenkamer herinnert eraan dat de verweerder in mei 2021 zelf beoordeelde dat zij persoonsgegevens op een grote schaal verwerkt 24. Zoals uiteengezet in randnummer 26 van deze beslissing kan niet worden uitgesloten dat de verweerder minstens 68.165 e-mailadressen verwerkt die persoonsgegevens kunnen zijn en binnen het toepassingsgebied vallen van de AVG. De verhouding tussen het aantal betrokkenen en de algemene bevolking doet niet af aan het feit dat de verweerder persoonsgegevens op een grote schaal verwerkt. 41. De verweerder stelt verder dat de betrokkenen de mogelijkheid hebben om bezwaar te maken tegen de verwerking. In dit verband verwijst de Geschillenkamer naar hoofdstuk III.3 van deze beslissing, waaruit blijkt dat de verweerder onvoldoende maatregelen neemt om betrokkenen proactief te informeren dat hun gegevens verwerkt worden. In het onderhavige geval werd de klager niet geïnformeerd door de verweerder dat zijn gegevens zouden worden verwerkt, en kon hij ook onmogelijk zijn recht van bezwaar uitoefenen totdat hij de nodige informatie had verkregen van een klant van de verweerder. 42. Vervolgens stelt de verweerder dat het risico op een inbreuk op de gegevens beperkt is omdat zij maatregelen genomen heeft om deze te beveiligen, en dat, indien er een inbreuk zou voorvallen, de impact ervan steeds beperkt zou zijn omdat er geen gevoelige gegevens worden verwerkt en omdat de gegevens steeds publiekelijk toegankelijk zijn. Zoals hierboven vermeld oordeelt de Geschillenkamer dat de verweerder dit laatste punt niet heeft aangetoond. 43. De Geschillenkamer stelt vast dat er in het document “belangenafweging” dat de verweerder in april 2021 opstelde25 geen aandacht wordt besteed aan de belangen, de grondrechten en de fundamentele vrijheden van de betrokkene, de impact van de verwerking op de betrokkene of de redelijke verwachtingen van de betrokkene. Aldus toont zij niet aan dat zij, voorafgaand aan de verwerking, heeft beoordeeld in welke mate betrokkenen mogelijk negatieve gevolgen zouden kunnen ervaren. Zonder deze essentiële elementen kan er geen sprake zijn van een belangenafweging zoals vereist door het Hof van Justitie. 23 Randnummer 78, pagina 29 syntheseconclusies verweerder 24 Bijlage 14 bij de brief van de verweerder aan de GBA op 5 mei 2021 25 Bijlage 9 bij de brief van de verweerder aan de GBA op 5 mei 2021 Beslissing ten gronde 72/2025- 14/48 44. De Geschillenkamer merkt op dat de verweerder in haar “belangenafweging” blijk geeft van misvattingen betreffende de vereiste belangenafweging. Om te beginnen leest titel 2.2 van de “Belangenafweging” als volgt: “2.2 Afweging van de belangen: is de verwerking nodig en noodzakelijk om één of meerdere doelstellingen van Y te bereiken?”. De vraag die de verweerder zichzelf stelt betreft de noodzakelijkheidstoets, en niet een afweging van de betrokken tegengestelde rechten en belangen26. Voorts schrijft de verweerder in dezelfde “belangenafweging” dat “Y [haar belangen altijd zorgvuldig afweegt] tegen het belang om klanten van de nodige bedrijfsinformatie te voorzien.” Dit is een onjuiste toets. De verweerder moet haar belangen namelijk afwegen tegen de belangen van de betrokkenen, en niet tegen die van haar klanten. Samenvattend stelt de Geschillenkamer vast dat de verweerder niet aantoont een belangenafweging te hebben uitgeoefend ten aanzien van de belangen, de grondrechten en de fundamentele vrijheden van de betrokkene en de impact van de verwerking op de betrokkene. Ten aanzien van de redelijke verwachtingen van de betrokkenen 45. De verweerder stelt in haar syntheseconclusies dat de betrokkenen op basis van de privacyverklaring van de KBO27 redelijkerwijs hadden kunnen verwachten dat de verweerder de gegevens ter beschikking van haar klanten zou stellen. Dit zou volgen uit het feit dat de KBO in haar privacyverklaring expliciet verwijst naar het doeleinde om de gegevens voor een al dan niet commercieel hergebruik toe te laten. De verweerder erkent echter dat het niet is toegestaan aan derden om persoonsgegevens die opgenomen zijn in de KBO en via licenties zijn verkregen voor direct marketingdoeleinden te gebruiken en/of verder te verspreiden. In dit verband stelt de verweerder dat zij het gebruik van de gegevens door haar klanten voor direct marketingdoeleinden heeft verboden in de relevante contracten. 46. De Geschillenkamer merkt op dat de verweerder bij de beoordeling van de redelijke verwachtingen van de betrokkenen verwijst naar de privacyverklaring van de KBO en artikel 2, § 1, lid 2 van het koninklijk besluit van 18 juli 2008 betreffende het commercieel hergebruik van publieke gegevens van de Kruispuntbank van Ondernemingen 28. Op basis daarvan zouden betrokkenen, volgens de verweerder, redelijkerwijs kunnen verwachten dat de verweerder de gegevens ter beschikking van haar klanten zou stellen. De 26 HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 110 en aldaar aangehaalde rechtspraak 27 Raadpleegbaar via https://economie.fgov.be/nl/kruispuntbank-van-1 28 Art. 2.§ 1. De openbare gegevens van de Kruispuntbank van Ondernemingen kunnen overeenkomstig de nadere regels en de voorwaarden van dit besluit, door de beheersdienst doorgegeven worden aan derden met het oog op commercieel hergebruik. Derden mogen evenwel geen persoonsgegevens voor direct marketingdoeleinden gebruiken en/of herverspreiden. Beslissing ten gronde 72/2025- 15/48 verweerder stelt evenwel dat zij geen relatie heeft met de KBO en tevens geen sub-licentie op de KBO-gegevens heeft, en dat de wettelijke verplichtingen in dat verband (vermoedelijk het verbod op het gebruik van die gegevens door derden voor direct marketing) niet op haar van toepassing zijn. 47. Indien de verwerking van persoonsgegevens van de KBO inhoudt dat betrokkenen redelijkerwijs bepaalde verdere verwerkingen dienen te verwachten, dan strekt dit slechts tot de verwerking van die persoonsgegevens door licentiehouders en derden zoals omschreven en gekaderd in de privacyverklaring van de KBO en het koninklijk besluit van 18 juli 2008. De Geschillenkamer benadrukt dat aldus wordt uitgesloten dat derden de gegevens verwerken voor direct marketing doeleinden. De verweerder stelt echter geen licentiehouder te zijn van KBO gegevens, waardoor de wettelijke verplichtingen die daarmee gepaard gaan volgens haar niet van toepassing zijn. Bovendien heeft de verweerder niet bevestigd dat de gegevens al dan niet oorspronkelijk van de KBO werden verzameld. Hierdoor kan zij onmogelijk beroep doen op de redelijke verwachtingen die de betrokkenen zouden hebben bij het verwerken van hun gegevens door de KBO. De Geschillenkamer oordeelt dus dat de algemene mogelijkheid van commercieel hergebruik van KBO-gegevens geenszins inhoudt dat de betrokkenen in casu redelijkerwijze hadden kunnen verwachten dat de verweerder de gegevens zou verwerken voor haar eigen doeleinden. 48. Volgens het Hof van Justitie blijkt uit overweging 47 AVG dat de belangen en de grondrechten van de betrokkene in het bijzonder zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkene een dergelijke verwerking redelijkerwijs niet verwacht29. 49. Voorts moet rekening worden gehouden met de verhouding tussen de betrokkene en de verwerkingsverantwoordelijke. Overweging 47 AVG bepaalt dat een gerechtvaardigd belang aanwezig kan zijn wanneer er sprake is van een “relevante en passende” verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, bijvoorbeeld in situaties waarin de betrokkene een klant is of in dienst is van de verwerkingsverantwoordelijke. In casu was er duidelijk geen relevante of passende verhouding tussen de klager en de verweerder en haar klanten. De klager was niet op de hoogte van het feit dat de verweerder zijn gegevens verwerkte totdat hij zijn recht van inzage uitoefende bij een derde partij die de gegevens had bekomen van de verweerder. 50. Uit de voorafgaande punten volgt dat de verweerder niet aantoont dat de betrokkenen, waaronder de klager, een dergelijke verwerking redelijkerwijs hadden kunnen verwachten. 29 HvJEU, arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond t. Autoriteit Persoonsgegevens, C-621/22, ECLI:EU:C:2024:857, punt 45 en aldaar aangehaalde rechtspraak Beslissing ten gronde 72/2025- 16/48 De oorzaak hiervan is met name dat de verweerder niet concreet kan aantonen van welke bron en op welk tijdstip de gegevens voor het eerst werden verzameld. Hierdoor kon zij niet beoordelen of de betrokkene op dat tijdstip en in dat kader redelijkerwijs kon verwachten dat zijn gegevens verder zouden worden verwerkt, en kon zij ook geen volledige afwegingstoets uitoefenen. 51. Aangezien de drieledige toets voor het verwerken van gegevens op basis van een gerechtvaardigd belang cumulatieve voorwaarden betreft, is het niet nodig om na te gaan of de verweerder voldoet aan de overige twee voorwaarden van artikel 6.1.
7. f)AVG. Het Marktenhof heeft in dat verband reeds geoordeeld dat als er niet wordt voldaan aan één van de drie elementen van de drieledige toets, de Geschillenkamer correct kan motiveren dat artikel 6.1.
8. f)AVG geen mogelijke rechtsgrond kan uitmaken30. 52. In deze omstandigheden moet worden geoordeeld dat de verweerder niet aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen, zodat de verwerking niet onder artikel 6.1.
9. f)AVG kan vallen. Aldus heeft de verweerder de verplichtingen opgelegd door artikelen 5.1.a), 6.1 en 5.2 AVG geschonden. III.3. Transparantie en informatieplichten (artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1 alsook artikel 25.1 van de AVG) 53. De Inspectiedienst stelt vast dat de verweerder een inbreuk heeft begaan op artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1 alsook artikel 25.1 van de AVG, aangezien de privacyverklaring van de verweerder niet transparant en begrijpelijk is voor de betrokkenen alsmede onjuiste informatie bevat. Bovendien besluit de Inspectiedienst dat de privacyverklaring van Y onvolledig is, vermits niet alle volgens artikelen 13 en 14 van de AVG verplicht te vermelden informatie effectief wordt vermeld. In haar aanvullend onderzoeksverslag stelt de inspectiedienst vast dat Y een inbreuk heeft begaan op artikel 12.1, artikel 14.2, artikel 5.2, artikel 24.1 alsmede artikel 25.1 van de AVG, doordat de verweerder in haar privacyverklaring verduidelijkt dat zij persoonsgegevens verwerkt die afkomstig zijn uit de KBO, de Bijlagen bij het Belgisch staatsblad en openbare bronnen zoals de website van een onderneming, doch niet vermeldt dat er persoonsgegevens worden verkregen van Z7. 54. Op grond van de artikelen 13 en 14 van de AVG moet elke persoon wiens persoonsgegevens worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij hem of bij derden worden verzameld, op de hoogte worden gesteld van de in die artikelen genoemde elementen. Wanneer de gegevens rechtstreeks bij de betrokkene worden verzameld, wordt deze op de hoogte gebracht van de elementen opgesomd in artikel 13.1 en 2 van de AVG. In artikel 14.1 en 2, worden soortgelijke elementen opgesomd, met dien 30 Hof van Beroep van Brussel, 19de Kamer, Sectie Marktenhof, arrest van 14 juni 2023, NMBS t. GBA, 2022/AR/723 Beslissing ten gronde 72/2025- 17/48 verstande dat artikel 14 van de AVG betrekking heeft op gegevens die niet rechtstreeks bij de betrokkene worden verzameld, maar bij derden. Deze informatie moet op grond van artikel 13 of artikel 14 van de AVG aan de betrokkene worden verstrekt op de wijze als bepaald in artikel 12 van de AVG. 55. In de voorliggende zaak staat allereerst vast dat de door de verweerder verwerkte persoonsgegevens niet rechtstreeks bij de klagers werden verzameld. Bijgevolg is enkel artikel 14 AVG van toepassing, waarvan de eerste twee leden de informatie vastleggen die aan de betrokkenen moet worden verstrekt31. 56. De Geschillenkamer herinnert eraan dat een essentieel aspect van het transparantiebeginsel, zoals benadrukt in de artikelen 12, 13 en 14 van de AVG, is dat de betrokkene van tevoren moet kunnen bepalen wat de reikwijdte en de gevolgen van de verwerking zijn, om in een later stadium niet verrast te zijn over de manier waarop zijn persoonsgegevens zijn gebruikt. De informatie moet concreet en betrouwbaar zijn, niet op abstracte of dubbelzinnige wijze worden geformuleerd en niet vatbaar zijn voor verschillende interpretaties. Meer in het bijzonder moeten de doeleinden en de rechtsgronden van de verwerking van persoonsgegevens duidelijk zijn. 31 1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie: a)de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
10. b)in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
11. c)de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking;
12. d)de betrokken categorieën van persoonsgegevens;
13. e)in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens; f)in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen: a)de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; b)de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd; c)dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking van bezwaar te maken en het recht op gegevensoverdraagbaarheid; d)wanneer verwerking op artikel 6, lid 1, punt
14. a)of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
15. e)dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; f)de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen; g)het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. Beslissing ten gronde 72/2025- 18/48 57. Krachtens artikel 14.3 AVG, welke meer specifiek slaat op de modaliteiten van de informatieverstrekking en als dusdanig een inherente aanvulling vormt op de kernverplichtingen uit artikel 14.1 en 14.2 AVG, moet de voormelde informatie binnen bepaalde termijnen worden medegedeeld aan de betrokkenen. Algemeen geldt de regel dat de verwerkingsverantwoordelijke de betrokkenen binnen een redelijke termijn doch uiterlijk binnen één maand na de verkrijging van hun persoonsgegevens dient te informeren over de verwerking, naargelang de concrete omstandigheden hiervan (artikel 14.3.
16. a)AVG). Volgens de richtsnoeren inzake transparantie onder de AVG kan deze termijn evenwel worden ingekort voor zover de verzamelde persoonsgegevens bestemd zijn voor een contactopname met de betrokkenen, in welk geval de informatie op het moment van de eerste contactopname met de betrokkene moet worden verstrekt (artikel 14.3.
17. b)AVG)32. Tot slot kan de termijn van één maand eveneens worden ingekort indien de persoonsgegevens worden medegedeeld aan een ontvanger in de zin van artikel 4.9 AVG. In dergelijke omstandigheden moeten de betrokkenen worden geïnformeerd uiterlijk op het tijdstip waarop hun persoonsgegevens worden verstrekt aan een andere ontvanger (artikel 14.3.
18. c)AVG). 58. In casu stelt de verweerder dat de betrokkenen door middel van haar privacyverklaring worden geïnformeerd over de verwerkingen die zij uitvoert. Daarbij stelt de verweerder dat zij niet verplicht zou zijn om de informatie opgenomen in artikel 14 AVG aan de betrokkenen te verschaffen, aangezien zij mocht aannemen dat de betrokkenen reeds over deze informatie beschikken op basis van de wettelijke context van de verwerking en de keten van gegevensverwerking. In de eerste plaats zou de gegevensverwerking duidelijk te verwachten zijn op basis van de wet, hetgeen betekent dat betrokkenen geacht worden op de hoogte te zijn van de verplichting tot publicatie van bedrijfsgegevens bij de KBO en de verdere verwerking door de verweerder. In de tweede plaats zou Z5 garanderen dat zij melding maakt aan de betrokkenen, en zou vervolgens de verweerder deze verplichting ook opleggen op haar klanten. Rekening houdend met artikel 14.5.
19. a)en overweging 62 van de AVG houdt dit in dat de verweerder voor de verwerkingen die zij uitvoert niet gehouden is om opnieuw de transparantieverplichting na te leven. In de mate dat haar klanten verdere verwerkingen wensen te doen (i.e. direct marketing) zijn zij wél gehouden tot deze verplichting. 59. De klager stelt dat Y de betrokkenen niet actief informeert bij het verzamelen of het verwerken van hun gegevens. Daardoor zou het onmogelijk zijn voor betrokkenen om op de hoogte te zijn van de verwerking van hun gegevens door de partijen in de keten van verwerkingsverantwoordelijken die de verweerder in haar conclusies beschrijft. De klager 32 Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 (WP260, rev. 01, 11 april 2018), overgenomen door de EDPB. Beslissing ten gronde 72/2025- 19/48 betwist het argument van de verweerder dat zij niet verplicht was de informatie opgenomen in artikel 14 AVG te verschaffen aangezien zij mocht aannemen dat de betrokkenen reeds over deze informatie beschikken. De klager zou pas op de hoogte zijn gesteld van het feit dat zijn gegevens werden verwerkt door de verweerder toen hij zijn recht van inzage uitoefende bij een klant van de verweerder. 60. Om te beginnen wijst de Geschillenkamer erop dat alle opeenvolgende verwerkingsverantwoordelijken (i.e., de verweerder, Z7, Z5, en haar klanten) afzonderlijk de betrokkenen moeten inlichten voor wat betreft de gegevensverwerkingen die zij zelf uitvoeren. De uitzondering in artikel 14.5.
20. a)AVG, volgens dewelke artikel 14.1 tot en met 14.4 AVG niet van toepassing zijn voor zover de betrokkene reeds over de informatie beschikt, is niet relevant. De verweerder kan zich niet aan haar informatieplichten onttrekken op basis van het feit dat Z5 reeds bepaalde informatie zou hebben verstrekt, aangezien Z5 een afzonderlijke verwerkingsverantwoordelijke is. De informatie in minstens artikelen 14.1.a), b), c), en
21. e)en 14.2.a), b), en
22. f)zou kunnen verschillen afhankelijk van de verwerkingsverantwoordelijke, waardoor er niet van kan worden uitgegaan dat de betrokkenen reeds over de informatie zouden beschikken. De verweerder geeft dit ook expliciet aan in verband met Z7 waar zij in haar opmerkingen over het PV van de hoorzitting de onderstreepte zin toevoegt: “De verweerster stelt, zoals ook de klager stelt, dat Z7 een afzonderlijke verwerkingsverantwoordelijke is, en niet een verwerker. Bijgevolg heeft zowel Z7 als verweerster haar eigen verplichtingen in het kader van de transparantie voorzien in artikel 14 AVG.”33 61. Artikel 14.1 en 14.2 voorzien in een plicht om informatie proactief te verstrekken wanneer de persoonsgegevens niet van de betrokkene zijn verkregen. De onrechtstreekse verzameling van persoonsgegevens bij de betrokkenen veronderstelt immers niet dat de informatieverstrekking aan de betrokkenen eveneens enkel op onrechtstreekse wijze dient te geschieden. Integendeel, uit de rechtspraak van het Hof van Justitie alsmede uit de bepalingen van de AVG vloeit voort dat het uitsluitend aan de verwerkingsverantwoordelijke die de middelen en doeleinden van de verwerking bepaalt, toekomt om de betrokkenen op een loyale en transparante wijze te informeren 34. De Geschillenkamer concludeert bijgevolg dat het te dezen in eerste instantie aan de 33 34 Pagina 3 van de brief van de verweerder aan de GBA op 15 november 2024 Overweging 60 — “Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt. […]”; Artikel 14 AVG — “1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie: […]” (de Geschillenkamer onderlijnt). Zie ook HvJEU, 1 oktober 2015, C-201/14, Smaranda Bara e.a. t. Președintele Casei Naționale de Asigurări de Sănătate (ECLI:EU:C:2015:638), randnr. 31. Beslissing ten gronde 72/2025- 20/48 verweerder toekomt om de betrokkenen proactief te informeren over de verwerking van hun persoonsgegevens door de verweerder zelf, in overeenstemming met artikel 14 AVG. Aangezien de verweerder de gegevens verstrekt aan andere ontvangers, dient zij de betrokkenen uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt te informeren (artikel 14.3.
23. c)AVG). 62. Betreffende de privacyverklaring van de verweerder stelt de Inspectiedienst vast dat noch in de versie van 30 maart 2021 noch in de versie van 5 mei 2021 wordt vermeld dat de persoonsgegevens worden verkregen van Z7. De aangepaste versie van de privacyverklaring van de verweerder stelt dat de KBO niet de bron is van de gegevens opgenomen in de database35. In de privacyverklaring ten tijde van de klacht was evenwel het volgende te lezen: “Alle persoonsgegevens in de database van Y hebben als uiteindelijke bron de Kruispuntbank van Ondernemingen of openbare bronnen.” Op basis van de rechtstreekse contradictie, die niet wordt verklaard door een feitelijke wijziging van de bron van de gegevens, concludeert de Geschillenkamer dat de verweerder onjuiste informatie heeft verstrekt aan de betrokkenen met betrekking tot artikel 14.2.
24. f)AVG. Dit artikel verplicht de verwerkingsverantwoordelijke om de bron van de persoonsgegevens, en in voorkomend geval, of deze afkomstig zijn van openbare bronnen, aan de betrokkenen te communiceren. Voorts merkt de Geschillenkamer op dat de verweerder aanvankelijk niet voldeed aan artikel 14.2.
25. e)AVG, op basis waarvan de verwerkingsverantwoordelijke betrokkenen moet informeren dat de betrokkenen het recht hebben klacht in te dienen bij een toezichthoudende autoriteit. Deze informatie wordt in de huidige versie van de privacyverklaring wel gecommuniceerd. 63. De Geschillenkamer concludeert dat de verweerder haar transparantie- en informatieverplichtingen overeenkomstig artikel 12.1, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1 alsook artikel 25.1 van de AVG niet is nagekomen doordat zij de betrokkenen niet proactief informeerde binnen de wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via haar privacyverklaring onvolledig en onjuist was. III.4. De rechten van de betrokkene (artikel 12.1, 12.2, 12.3 en 12.4 AVG, alsook artikel 15, artikel 17, artikel 19, artikel 21, artikel 24.1 alsook artikel 25.1 van de AVG) 64. Artikel 12, lid 1 AVG bepaalt dat de verwerkingsverantwoordelijke passende maatregelen moet nemen opdat de betrokkene de informatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt. Artikel 12 van de AVG regelt de wijze waarop de betrokkenen hun rechten kunnen uitoefenen en bepaalt dat de verwerkingsverantwoordelijke de uitoefening van die rechten door de betrokkene moet faciliteren (artikel 12.2 van de AVG), 35 Syntheseconclusies van de verweerder, stuk 23 Beslissing ten gronde 72/2025- 21/48 en hem onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet geven over de maatregelen die naar aanleiding van zijn verzoek zijn genomen (artikel 12.3 van de AVG). 65. Artikel 24 AVG vereist dat de verwerkingsverantwoordelijke, rekening houdend met de aard, de omvang, de context en het doel van de verwerking, passende technische en organisatorische maatregelen treft om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. 66. De Inspectiedienst stelt vast dat de verweerder een inbreuk heeft begaan op artikel 12.1, 12.2, 12.3 en 12.4 AVG, alsook artikel 15, artikel 17, artikel 19, artikel 21, artikel 24.1 alsook artikel 25.1 van de AVG, vermits de verweerder geen met documenten onderbouwd antwoord geeft op de vraag van de Inspectiedienst naar hoe betrokkenen concreet worden ingelicht over de verwerking van hun persoonsgegevens door de verweerder, en hoe hun rechten worden gewaarborgd overeenkomstig artikelen 12, 15, 17, 19 en 21 van de AVG. De Inspectiedienst besluit dat de privacyverklaring van de verweerder en de (contractuele) afspraken tussen de verweerder en haar klanten op zich geen antwoord bieden op de rechten van de klager voorzien in de voormelde artikelen van de AVG. III.4.1. Betreffende het recht van inzage 67. De klager probeerde in zijn e-mail van 15 januari 2021 zijn recht van inzage op basis van artikel 15 AVG uit te oefenen. De verweerder antwoordde op 29 januari 2021 op de e-mail van de klager, en stelt in haar syntheseconclusies dat zij het verzoek van de klager conform haar verplichtingen behandelde. 68. In de eerste plaats vroeg de klager om een volledig overzicht van de gegevens die de verweerder van hem verzameld had. Hij vroeg hierbij om kopieën, back-ups en andere versies van de gegevens die al dan niet verrijkt waren. Overeenkomstig artikel 15.1 en 15.3 AVG heeft de betrokkene recht op deze informatie en op een kopie van de gegevens. In haar e-mail op 29 januari 2021 verstrekte de verweerder dan ook een kopie van de gegevens die zij verwerkt in verband met de klager. Derhalve besluit de Geschillenkamer dat de verweerder op dit punt de AVG niet heeft geschonden. 69. In de tweede plaats vroeg de klager uitleg over hoe, wanneer, van welke bron, en van welke tussenpartij(
26. en)de verweerder de gegevens had verkregen. Wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, zoals in casu het geval is, bepaalt artikel 15.1.
27. g)AVG dat de betrokkene recht heeft om inzage te verkrijgen in alle beschikbare informatie over de bron van die gegevens. Aldus was de verweerder verplicht om in volledigheid te antwoorden op deze vragen. In haar reactie op het verzoek van de klager antwoordde de verweerder niet specifiek op de voormelde vragen. Zij informeert de Beslissing ten gronde 72/2025- 22/48 klager niet over hoe, wanneer, van welke bron, noch van welke tussenpartijen zij de gegevens verkregen had. Zij verwijst echter wel naar de KBO: “De gegevens die wij hebben geregistreerd zijn uitsluitend de gegevens van uw organisatie zoals door u geregistreerd bij de KBO. Desalniettemin kunnen betrokkenen onder de GDPR, bij ons een verzoek doen om bepaalde gegevens te laten verwijderen. Dit in tegenstelling tot de KBO.” Hieruit zou de klager kunnen begrijpen dat de KBO de bron van de persoonsgegevens van de klager was, hetgeen minstens misleidend is aangezien de verweerder in haar syntheseconclusies aangeeft dat de gegevens niet bij de KBO werden verzameld. In ieder geval gaf de verweerder geen antwoord op de bovenvermelde vragen, waardoor de Geschillenkamer besluit dat de verweerder een inbreuk heeft begaan op artikel 15.1.
28. g)AVG, door niet alle beschikbare informatie over de bronnen van de persoonsgegevens van de klager mede te delen. 70. Voorts vroeg de klager aan welke partijen de verweerder de gegevens doorgeeft of heeft doorgegeven. 71. Op basis van artikel 15.1.
29. c)AVG heeft de betrokkene het recht om inzage te verkrijgen in de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt. In haar reactie op de vragen van de klager verwijst de verweerder naar artikel 14.1 AVG, waarin wordt bepaald dat wanneer persoonsgegevens niet van de betrokkene zijn verkregen, de verwerkingsverantwoordelijke de ontvangers of categorieën van ontvangers van de persoonsgegevens verstrekt, gelezen in samenhang met artikel 14.5 AVG waarin wordt bepaald dat de leden 1 tot en met 4 van artikel 14.1 niet van toepassing zijn wanneer en voor zover het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen. Op basis daarvan stelt de verweerder dat zij niet verplicht is om de ontvangers van de gegevens van de klager te specifiëren, maar slechts de categorieën van ontvangers, hetgeen zij definieert als “organisaties die belang hechten aan een kwalitatief hoogwaardige ondersteuning van B2B marketing- en salesacties, analyses van zakelijke doelgroepen en het actueel houden van zorgvuldig opgebouwde zakelijke databases”. 72. Om te beginnen wijst de Geschillenkamer erop dat artikel 14.5 AVG een uitzondering vastlegt in het kader van artikel 14 AVG, en geenszins het recht van inzage op basis van artikel 15 AVG kan beperken. Het Hof van Justitie heeft bepaalt dat de betrokkene dient te beschikken over het recht om te weten wie de concrete ontvangers van zijn persoonsgegevens waren wanneer deze gegevens reeds aan derden zijn meegedeeld. Enkel wanneer het (nog) niet mogelijk is deze ontvangers te identificeren, is het de verwerkingsverantwoordelijke toegestaan om de medegedeelde informatie te beperken Beslissing ten gronde 72/2025- 23/48 tot de betreffende categorieën van ontvangers 36. Tijdens de hoorzitting stelde de verweerder dat het arrest van het Hof van Justitie nog niet was gepubliceerd ten tijde van het verzoek van inzage van de klager, en dat zij destijds voldoende reageerde op het verzoek. Deze redenering kan echter niet worden gevolgd, vermits dat arrest louter duiding geeft bij een verplichting die rechtstreeks voortvloeit uit artikel 15.1.
30. c)AVG, en die van tevoren al van toepassing was. De Geschillenkamer herinnert eraan dat deze uitleg van artikel 15.1.
31. c)AVG ook blijkt uit de richtsnoeren inzake het recht van inzage van de EDPB 37, alsook in de richtsnoeren inzake transparantie, die in 2017 door de Groep Gegevensbescherming Artikel 29 werden goedgekeurd en herzien op 11 april 2018 38, hetgeen ten tijde van het verzoek van inzage reeds beschikbaar was. 73. Gelet op het voorgaande besluit de Geschillenkamer dat de verweerder een inbreuk heeft begaan op artikel 15.1.
32. c)AVG, door niet alle beschikbare informatie over de specifieke ontvangers van de persoonsgegevens van de klager mee te delen. 74. Voorts vroeg de klager in zijn verzoek van inzage naar de opslagtermijn van zijn persoonsgegevens. Artikel 15.1.
33. d)AVG bepaalt dat hij het recht heeft inzage te verkrijgen in, indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen. De verweerder antwoordde niet op deze vraag. 75. Gelet op het voorgaande besluit de Geschillenkamer dat de verweerder een inbreuk heeft begaan op artikel 15.1.
34. d)AVG, door niet alle beschikbare informatie over de opslagtermijn aan de klager mee te delen. III.4.2. Betreffende het recht op de wissing van persoonsgegevens, het recht van bezwaar, en de verwerkingsbeperking 76. De klager probeerde in zijn e-mail van 15 januari 2021 ook zijn recht op gegevenswissing op basis van artikel 17 AVG en zijn recht op beperking van de verwerking op basis van artikel 18 juncto 21 AVG uit te oefenen. De verweerder antwoordde op 29 januari 2021 op de email van de klager met de bevestiging dat de gegevens van de klager onmiddellijk uit haar database zouden worden verwijderd, waardoor geen verdere verspreiding meer zou plaatsvinden en er een verwijderverzoek zou worden doorgegeven aan haar klanten. De 36 HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3), punt 39, 43 en 48. 37 EDPB – Richtsnoeren 01/2022 over de rechten van betrokkenen – Recht van inzage (v2.0, 28 March 2023), randnrs. 116117 38 Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 (WP260, rev. 01, 11 april 2018), pp. 43-44: “De (namen van
35. de)feitelijke ontvangers van de persoonsgegevens, of categorieën persoonsgegevens, moeten worden verstrekt. In overeenstemming met het behoorlijkheidsbeginsel moeten verwerkingsverantwoordelijken informatie over de ontvangers verstrekken die voor de betrokkenen het meest betekenisvol is. In de praktijk zullen dit doorgaans met name genoemde ontvangers zijn, zodat betrokkenen precies weten wie hun persoonsgegevens heeft.”. Beslissing ten gronde 72/2025- 24/48 verweerder stelt in haar syntheseconclusies dat zij het verzoek van de klager conform de verplichtingen behandelde. 77. Aangezien de verweerder de persoonsgegevens van de klager tijdig wiste, en de ontvangers van de gegevens daarvan in kennis bracht, oordeelt de Geschillenkamer dat de verweerder artikel 17, artikel 18 juncto artikel 21 AVG niet heeft geschonden. 78. De Geschillenkamer merkt echter op dat de klager in dezelfde e-mail verzocht informatie te krijgen over de ontvangers van de gegevens. Artikel 19, tweede volzin, AVG verleent de betrokkene uitdrukkelijk het recht om door de verwerkingsverantwoordelijke te worden geïnformeerd over de concrete ontvangers van de hem betreffende gegevens, in het kader van de verplichting van deze laatste om alle ontvangers te informeren over de uitoefening van de rechten waarover deze persoon op grond van artikel 16, artikel 17.1, en artikel 18 AVG beschikt39. Aangezien de verweerder geen informatie verstrekte over de specifieke ontvangers van de persoonsgegevens, besluit de Geschillenkamer dat de verweerder een inbreuk heeft begaan op artikel 19 AVG. III.5. Ten aanzien van de vaststellingen buiten de scope van de klacht 79. Om een doeltreffende en doelmatige handhaving van de rechten van de klager te waarborgen, beslist de Geschillenkamer om de vaststellingen door de Inspectiedienst gedaan buiten de reikwijdte van de klacht niet te behandelen in de onderhavige beslissing. Dit laat evenwel onverlet dat het aan de verweerder is maatregelen te nemen voor de volledige naleving van alle verplichtingen die uit de AVG voortvloeien. IV. Over de corrigerende maatregelen en straffen 80. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 39 HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3), punt 41 Beslissing ten gronde 72/2025- 25/48 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. IV.1. Corrigerende maatregelen IV.1.1. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de verweerder niet aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen, zodat de verwerking niet onder artikel 6.1.
36. f)AVG kan vallen, en onrechtmatig is wegens een gebrek aan een geldige rechtsgrond: 81. De Geschillenkamer beslist, ten eerste, om de verweerder krachtens 58.2.
37. g)AVG alsmede artikel 100, § 1, 10° van de WOG, de verwijdering te bevelen van persoonsgegevens waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over een geldige rechtsgrond beschikt overeenkomstig 5.1.a), 6.1 en 5.2 AVG. Overeenkomstig Art. 108, § 1, derde lid WOG is dit bevel niet uitvoerbaar bij voorraad. 82. Voorts beslist de Geschillenkamer om de verweerder krachtens 58.2.
38. g)AVG alsmede artikel 100, § 1, 10° van de WOG te gelasten om alle ontvangers van de voornoemde persoonsgegevens in kennis te brengen van het voorgaande bevel alsmede de onderhavige beslissing, en te benadrukken dat de aangehaalde rechtsgrond voor de verwerkingen niet overeenstemt met de AVG. 83. Deze bevelen zijn noodzakelijk om de onrechtmatige verwerking van persoonsgegevens stop te zetten. IV.1.2. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, doordat de verweerder de betrokkenen niet proactief informeerde binnen de wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via haar privacyverklaring onvolledig en onjuist was: Beslissing ten gronde 72/2025- 26/48 84. De Geschillenkamer beslist de verweerder krachtens 58.2.
39. d)AVG alsmede artikel 100, § 1, 9° van de WOG te gelasten om de toekomstige verwerkingen van persoonsgegevens in overeenstemming te brengen met de bepalingen van de AVG, door overeenkomstig artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, de betrokkenen proactief te informeren binnen de wettelijk verplichte termijn. 85. Dit bevel is noodzakelijk om de verweerder in conformiteit te brengen met de informatieverplichtingen. IV.1.3. Betreffende de inbreuk op artikel 15.1.c), 15.1.
40. d)en 15.1.
41. g)AVG, aangezien de verweerder niet alle beschikbare informatie over de specifieke ontvangers, de bronnen en de opslagtermijn van de persoonsgegevens aan de klager meedeelde in het antwoord op zijn verzoek tot inzage; en betreffende de inbreuk op artikel 19 AVG 86. De Geschillenkamer beslist om de verweerder krachtens 58.2.
42. c)AVG alsmede artikel 100, § 1, 6° WOG te bevelen dat binnen een termijn van 30 dagen na de kennisgeving van de onderhavige beslissing wordt voldaan aan de verzoeken van de klager om zijn rechten uit te oefenen: i. door overeenkomstig artikel 15.1.
43. c)alsook 19, tweede volzin, AVG, alle beschikbare informatie over de specifieke ontvangers van de persoonsgegevens aan de klager mee te delen; ii. door overeenkomstig artikel 15.1.
44. d)AVG, alle beschikbare informatie over de opslagtermijn van zijn persoonsgegevens aan de klager mee te delen; iii. door overeenkomstig artikel 15.1.
45. g)AVG, alle beschikbare informatie over de bronnen van de persoonsgegevens aan de klager mee te delen. 87. Y stelt in haar reactie op het sanctieformulier dat zij zich in het mate van het mogelijke zal inspannen om te voldoen aan de verzoeken van de klager om zijn rechten uit te oefenen, maar dat zij de gegevens – in navolging van het verzoek van de klager – reeds verwijderd heeft in februari 2021. De Geschillenkamer oordeelt dat dit bevel niettemin noodzakelijk is om de rechten van de klager te waarborgen. De verweerder dient aldus te voldoen aan de verzoeken van de klager door alle beschikbare informatie te verstrekken. IV.2. Administratieve geldboetes 88. Naast de corrigerende maatregelen, beslist de Geschillenkamer tot het opleggen van drie administratieve geldboetes met het oog op een krachtige handhaving van de regels van Beslissing ten gronde 72/2025- 27/48 deze verordening. Zoals duidelijk blijkt uit overweging 148 AVG 40, stelt de AVG immers voorop dat bij elke inbreuk — dus ook bij een eerste vaststelling van een inbreuk — straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd. 89. De Geschillenkamer wiist er ook op dat het haar soevereine verantwoordelijkheid als onafhankelijke administratieve autoriteit is — met inachtneming van de relevante artikelen van de AVG en de WOG — om de passende corrigerende maatregelen en sancties vast te stellen. Dit volgt uit artikel 83 van de AVG zelf, maar ook het Marktenhof heeft in haar rechtspraak het bestaan van een ruime discretionaire bevoegdheid van de Geschillenkamer benadrukt aangaande de keuze van de sanctie en de omvang ervan, zoals onder meer in zijn arresten van 7 juli 2021 en 6 september 2023 41. 90. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2.
46. i)AVG. Het instrument van administratieve boete heeft geenszins tot doel inbreuken te beëindigen; daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, § 1, 8° en 9° WOG. 91. Artikel 83.3 AVG schrijft de factoren voor waarmee voor elk concreet geval rekening moet worden gehouden bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan. De Geschillenkamer houdt met name rekening met de zwaarte van de inbreuken, de duur van de inbreuken, en het nodige afschrikwekkende effect om toekomstige inbreuken te vermijden. Om te vermijden dat de beoordeling van elke factor herhaald word, verwijst de Geschillenkamer naar de beoordeling hieronder, waarin het opleggen van een administratieve geldboete en de hoogte ervan samen worden beoordeeld. 92. Om in elk geval een doeltreffende, evenredige en afschrikkende boete op te leggen, wordt van de toezichthoudende autoriteiten verwacht dat ze de administratieve boetes 40 Overweging 148 AVG bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.” 41 Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2021/AR/320, pp. 37-47; Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2020/AR/1160, p. 34. Beslissing ten gronde 72/2025- 28/48 aanpassen en daarbij binnen de marge blijven die in de EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (Versie 2.1, Vastgesteld op 24 mei 2023) is voorzien. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van de boete, afhankelijk van de omstandigheden van de zaak. De toepassing van deze Richtsnoeren is noodzakelijk om de coherentie van de toepassing van de AVG te waarborgen. Overeenkomstig de EDPB Richtsnoeren worden administratieve geldboeten voor inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen 42. Deze vijf stappen worden in de volgende paragrafen systematisch doorlopen. De Geschillenkamer herinnert eraan dat zij niet verplicht is criteria te onderzoeken die niet van toepassing zijn43. IV.2.1. Samenloop van inbreuken en de toepassing van artikel 83.3 AVG 93. De Geschillenkamer beslist geldboeten op te leggen wegens de volgende inbreuken: i. Inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de verweerder niet aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen, zodat de verwerking niet onder artikel 6.1.
47. f)AVG kan vallen, en onrechtmatig is wegens een gebrek aan een geldige rechtsgrond; ii. Inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, doordat de verweerder de betrokkenen niet proactief informeerde binnen de wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via haar privacyverklaring onvolledig en onjuist was; iii. Inbreuk op artikel 15.1.c), 15.1.
48. d)en 15.1.
49. g)AVG, aangezien de verweerder niet alle beschikbare informatie over de specifieke ontvangers, de bronnen en de opslagtermijn van de persoonsgegevens aan de klager meedeelde in het antwoord op zijn verzoek tot inzage. 94. Als eerste stap stelt de Geschillenkamer vast dat er sprake is van een en dezelfde inbreuk makende gedraging. De verwerking van persoonsgegevens zonder geldige rechtsgrondslag, zonder de betrokkenen proactief te informeren, en zonder volledig in te gaan op de verzoeken van de klager om inzage, vormen in het kader van de verwerking een reeks verwerkingsactiviteiten die uit één enkele wil worden verricht en die contextueel, in ruimte en tijd met elkaar samenhangen. Zij moeten als “daarmee verband houdend” en als één enkele gedraging worden beschouwd. 42 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), p. 9 43 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), punt 6 Beslissing ten gronde 72/2025- 29/48 95. De Geschillenkamer oordeelt evenwel dat deze gedraging drie verschillende inbreuken opleverde, en dat deze inbreuken naast elkaar kunnen worden toegerekend bij het berekenen van de geldboetes. De bepalingen waarop inbreuken werden gemaakt streven namelijk onafhankelijke doelen na (het beginsel van rechtmatigheid, de informatieplicht, en het recht van betrokkenen om inzage te verkrijgen in het verwerken van hun persoonsgegevens), waarbij de ene bepaling niet wordt uitgesloten of omvat door de toepasbaarheid van de andere, hetgeen het opleggen van afzonderlijke geldboeten rechtvaardigt. De Geschillenkamer verwijst als voorbeeld naar het Bindend besluit 1/2021 van de EDPB: “Wat betreft de betekenis van artikel 83, lid 3, AVG, merkt het Comité [EDPB] op dat rekening houdend met de standpunten van de betrokken toezichthoudende autoriteiten in geval van meerdere inbreuken meerdere bedragen kunnen worden vastgesteld. De totale geldboete mag echter niet hoger zijn dan een maximumbedrag dat, in abstracto, door de AVG wordt voorgeschreven”44. 96. Voorts bepaalt artikel 83.3 AVG dat indien een verwerkingsverantwoordelijke opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, het totale bedrag van de geldboete niet hoger mag zijn dan het toegestane maximumbedrag voor de zwaarste inbreuk45. 97. Samenvattend oordeelt de Geschillenkamer in casu dat zij drie afzonderlijke geldboetes dient op te leggen, en dat de totale geldboete niet hoger kan zijn dan het maximumbedrag voor de zwaarste inbreuk. IV.2.2. Uitgangsbedrag voor de berekening 98. De berekening van administratieve geldboeten begint bij een geharmoniseerd uitgangsbedrag op basis van de Richtsnoeren 04/2022 van de EDPB 46. Hierbij wordt rekening gehouden met de indeling van inbreuken volgens hun aard op grond van artikel 83, leden 4 tot en met 6, AVG, de zwaarte van de inbreuk en de omzet van de onderneming. Indeling van inbreuken volgens hun aard op grond van artikel 83, leden 4 tot en met 6, AVG 99. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die strafbaar zijn onder artikel 83.4 van de AVG enerzijds en de inbreuken die strafbaar zijn onder artikel 83.5 en 83.6 van de AVG anderzijds. Op de eerste categorie inbreuken staat een maximumboete van 10 miljoen EUR of 2% van de totale wereldwijde jaaromzet in het 44 Bindend besluit 1/2021 van de EDPB over het geschil dat is ontstaan over het ontwerpbesluit van de Ierse toezichthoudende autoriteit betreffende WhatsApp Ireland op grond van artikel 65, lid 1, onder a), van de AVG, vastgesteld op 28 juli 2021, Par. 324 45 Zie ook EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), p. 17 46 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), p. 18 Beslissing ten gronde 72/2025- 30/48 voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een boete van maximaal 20 miljoen EUR of 4% van de van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. i. Voor de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
50. a)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is; ii. Voor de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
51. b)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is; iii. Voor de inbreuk op artikelen 15.1.c), 15.1.
52. d)en 15.1.
53. g)AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
54. b)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 100. Aangezien de hogere boetes van toepassing zijn, overeenkomstig artikelen 83.5.
55. a)en 83.5.
56. b)van de AVG, kan de Geschillenkamer per inbreuk een administratieve boete opleggen van maximaal 20 000 000 EUR of maximaal 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit hoger is. IV.2.3. Zwaarte van de inbreuken in elk individueel geval 101. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de verweerder niet aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen, zodat de verwerking niet onder artikel 6.1.
57. f)AVG kan vallen, en onrechtmatig is wegens een gebrek aan een geldige rechtsgrond: i. Artikel 83.2.
58. a)AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard van de inbreuk merkt de Geschillenkamer op dat het beginsel van rechtmatigheid (artikel 5.1.
59. a)en 6 AVG) een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd wordt. Dit beginsel is eveneens opgenomen in artikel 8.2 van het Handvest van de Grondrechten van de Europese Unie. Inbreuken op dit kernbeginsel vormen derhalve zwaarwegende inbreuken. Met betrekking tot de ernst van de inbreuk merkt de Geschillenkamer op dat de litigieuze verwerking plaatsvond in het kader van de zakelijke activiteiten van de verweerder. Deze laatste specialiseert zich in het beschikbaar stellen van gegevens tegen betaling. Bovendien merkt de Geschillenkamer op dat de verwerking omvangrijk is, en dat de verweerder in mei 2021 de conclusie bereikt dat zij persoonsgegevens op een grote Beslissing ten gronde 72/2025- 31/48 schaal verwerkt47. Wegens deze redenen moet de inbreuk ernstiger beoordeeld worden. Ten derde, betreffende de duur van de inbreuk, merkt de Geschillenkamer op dat W, de moedervennootschap van de verweerder, een datalicentieovereenkomst is aangegaan met Z7 op 21 november 2017. De Geschillenkamer begrijpt dat de verweerder sindsdien de betreffende gegevens ter beschikking stelt aan haar klanten, waardoor de Geschillenkamer concludeert dat de gegevensinbreuk reeds meerdere jaren duurt. ii. Artikel 83.2.
60. b)AVG – de opzettelijke of nalatige aard van de inbreuk: In casu is er volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de verweerder om met opzet artikelen 5.1.a), 6.1 en 5.2 AVG te overtreden door ongeldig beroep te maken op artikel 6.1.
61. f)AVG als rechtsgrond, doch minstens sprake van een ernstige nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU. 48 De Geschillenkamer merkt op dat de verwerking wellicht voortvloeit uit een verkeerde interpretatie vanwege de verweerder van artikelen 2 en 4.1 AVG, en overweging 14 AVG, waardoor zij de betreffende persoonsgegevens niet beschouwde als zijnde persoonsgegevens. Hoewel de verweerder verantwoordelijk is voor de naleving van de AVG, neemt de Geschillenkamer in overweging dat de inbreuk hierdoor onopzettelijk lijkt te zijn. Niettemin merkt de Geschillenkamer op dat de verweerder deze persoonsgegevens verwerkt heeft in het kader van haar professionele activiteiten, waarbij de verwerking van persoonsgegevens de kernactiviteit uitmaakt. De Geschillenkamer is dan ook van oordeel dat de verweerder op de hoogte had moeten zijn van het feit dat de litigieuze verwerking persoonsgegevens betrof, en dat het een onrechtmatige verwerking was, voortvloeiend uit ernstige nalatigheid. Bijgevolg kent de Geschillenkamer meer gewicht toe aan deze factor. iii. Artikel 83.2.
62. g)AVG – de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft: De litigieuze verwerking betreft het e-mailadres dat de klager in het kader van een beroepsactiviteit gebruikt, en aan de hand waarvan hij direct identificeerbaar is. Hoewel dergelijke persoonsgegevens prima facie niet van gevoelige of bijzondere aard zijn, oordeelt de Geschillenkamer dat zij niettemin behoren tot categorieën van persoonsgegevens waarvan betrokkenen doorgaans niet redelijkerwijs zouden verwachten dat die onrechtstreeks verzameld bij en nadien verwerkt worden door derde partijen. Dit categorie wordt als neutraal beoordeeld. 47 Bijlage 14 bij de brief van de verweerder aan de GBA op 5 mei 2021 48 Zie arrest C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78. Beslissing ten gronde 72/2025- 32/48 102. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, doordat de verweerder de betrokkenen niet proactief informeerde binnen de wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via haar privacyverklaring onvolledig en onjuist was: i. Artikel 83.2.
63. a)AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard van de inbreuk merkt de Geschillenkamer op dat de transparantie en informatieplichten fundamentele beginselen vormen van de AVG. Zij maken immers voor de betrokkenen de uitoefening mogelijk van de andere rechten die de AVG toekent, zoals het recht om bezwaar te maken en het recht om gegevens te laten wissen. Inbreuken op deze kernbeginselen vormen derhalve zwaarwichtige inbreuken, die met de hoogste administratieve boetes waarin de AVG voorziet kunnen worden bestraft. Betreffende de ernst en duur van de inbreuk verwijst de Geschillenkamer naar de bovenstaande vaststellingen dat de verweerder gedurende een periode van meerdere jaren financiële winst boekte door het verwerken van persoonsgegevens zonder een geldige rechtsgrond. Het feit dat zij dit deed zonder de betrokkenen proactief te informeren over de verwerking is in die context een ernstige inbreuk. Wanneer betrokkenen niet geïnformeerd worden over de verwerking van hun persoonsgegevens wordt hen de mogelijkheid ontnomen om hun rechten uit te oefenen en ontstaat er en een onevenwichtigheid in de relatie met de verwerkingsverantwoordelijke en ontvangers van de gegevens. Dit zet de deur open voor misbruik en onrechtmatige verwerkingen. ii. Artikel 83.2.
64. b)AVG – de opzettelijke of nalatige aard van de inbreuk: In casu is er volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de verweerder om met opzet inbreuk te maken op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 en artikel 25.1 AVG, doch wel een ernstige nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU 49. De verweerder was van mening dat zij niet gehouden was om proactief informatie te verstrekken aan de betrokkenen omdat deze betrokkenen reeds geïnformeerd zouden zijn geweest door een afzonderlijke verwerkingsverantwoordelijke over de verwerking van de gegevens. De verweerder had echter haar eigen, afzonderlijke, plicht om informatie te verstrekken aangezien zij zelf een verwerkingsverantwoordelijke was die de gegevens verwerkte voor haar eigen doeleinden en met haar eigen middelen. Daarnaast informeerde de verweerder in haar privacyverklaring de betrokkenen het volgende: “Alle persoonsgegevens in de database van Y hebben als uiteindelijke bron de Kruispuntbank van Ondernemingen of openbare bronnen”. Aangezien blijkt dat de ware bron van de persoonsgegevens Z7 is, kan de 49 Zie arrest C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78. Beslissing ten gronde 72/2025- 33/48 Geschillenkamer alleen tot de conclusie komen dat hier sprake is van ernstige nalatigheid bij het correct informeren van de betrokkenen. iii. Artikel 83.2.
65. g)AVG – de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft: Zie hierboven. 103. Betreffende de inbreuk op artikel 15.1.c), 15.1.
66. d)en 15.1.
67. g)AVG, aangezien de verweerder niet alle beschikbare informatie over de specifieke ontvangers, de bronnen en de opslagtermijn van de persoonsgegevens aan de klager meedeelde in het antwoord op zijn verzoek tot inzage: i. Artikel 83.2.
68. a)AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard van de inbreuk merkt de geschillenkamer op dat het recht op inzage de toegangspoort vormt voor de uitoefening van andere rechten waarin de AVG voorziet, zoals het recht om bezwaar te maken tegen de verwerking van persoonsgegevens (artikel 21 AVG) en het zogenaamde recht op vergetelheid (artikel 17 AVG). Het is derhalve van uiterst belang dat betrokkenen die hun recht van inzage uitoefenen daadwerkelijk inzage verkrijgen van alle persoonsgegevens die hen betreffen en door de verwerkingsverantwoordelijke zijn verzameld, alsook beknopte, transparante en begrijpelijke informatie ontvangen over de omstandigheden waarin hun persoonsgegevens verwerkt worden. Door geen volledige en voldoende gedetailleerde informatie te verstrekken aan de klager, ontneemt de verwerkingsverantwoordelijke hem de mogelijkheid om een passende mate van controle uit te oefenen over zijn eigen persoonsgegevens. Betreffende de ernst en duur van de inbreuk verwijst de Geschillenkamer naar de bovenstaande vaststellingen dat de verweerder gedurende een periode van meerdere jaren financiële winst boekte door het verwerken van persoonsgegevens zonder een geldige rechtsgrond en zonder de betrokkenen er proactief over te informeren. Het feit dat zij daarbij weigerde het recht van inzage van de klager te respecteren vormt in deze context een ernstige inbreuk. ii. Artikel 83.2.
69. b)AVG – de opzettelijke of nalatige aard van de inbreuk: In casu is er volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de verweerder om met opzet inbreuk te maken op artikel 15.1.c), 15.1.
70. d)en 15.1.
71. g)AVG, doch wel een ernstige nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU. 50 De klager vroeg expliciet om de informatie in de voornoemde artikelen te ontvangen, en artikel 15.1 AVG legt onmiskenbaar de plicht vast om deze informatie te verstrekken. Door enkel de categorieën van ontvangers te vermelden ofschoon de verweerder over de 50 Zie arrest C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78. Beslissing ten gronde 72/2025- 34/48 specifieke identiteit van deze ontvangers moet beschikken; door de reële bronnen niet mede te delen; en door geen informatie betreffende de opslagtermijn te verstrekken, acht de Geschillenkamer het voldoende bewezen dat de inbreuk op artikel 15 AVG wegens ernstige nalatigheid werd gepleegd. iii. Artikel 83.2.
72. g)AVG – de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft: Zie hierboven. 104. Op basis van een beoordeling van de bovenstaande factoren wordt de zwaarte van elke inbreuk als geheel bepaald: i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, neemt de Geschillenkamer in aanmerking dat het een ernstige, omvangrijke en langdurige inbreuk betreft van een fundamenteel beginsel van de AVG in het kader van de kernactiviteit van de verweerder, die met ernstige nalatigheid werd gepleegd. De Geschillenkamer concludeert dat het gaat om een inbreuk van gemiddelde zwaarte. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer het uitgangsbedrag voor de verdere berekening vaststellen op een punt tussen de 10 en 20 % van het toepasselijke wettelijke maximumbedrag51. De Geschillenkamer zal het uitgangsbedrag voor de verdere berekening vaststellen op 15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG; ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, neemt de Geschillenkamer in aanmerking dat het een ernstige, omvangrijke en langdurige inbreuk betreft van een fundamenteel beginsel van de AVG in het kader van de kernactiviteit van de verweerder, die met ernstige nalatigheid werd gepleegd, waardoor de Geschillenkamer concludeert dat het gaat om een inbreuk van gemiddelde zwaarte. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer het uitgangsbedrag voor de verdere berekening vaststellen op een punt tussen de 10 en 20 % van het toepasselijke wettelijke maximumbedrag52. De Geschillenkamer zal het uitgangsbedrag voor de verdere berekening vaststellen op 15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG; iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.
73. d)en 15.1.
74. g)AVG, neemt de Geschillenkamer in aanmerking dat het een ernstige inbreuk betreft van 51 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), par 60 52 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), par 60 Beslissing ten gronde 72/2025- 35/48 een fundamenteel beginsel van de AVG in het kader van de kernactiviteit van de verweerder, die met ernstige nalatigheid werd gepleegd, waardoor de Geschillenkamer concludeert dat het gaat om een inbreuk van gemiddelde zwaarte. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer het uitgangsbedrag voor de verdere berekening vaststellen op een punt tussen de 10 en 20 % van het toepasselijke wettelijke maximumbedrag53. De Geschillenkamer zal het uitgangsbedrag voor de verdere berekening vaststellen op 15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. 105. In haar reactie op het sanctieformulier stelt de verweerder dat uit het sanctieformulier blijkt dat er geen sprake is van opzet of manifeste grove nalatigheid. Zij stelt dat zij steeds te goeder trouw handelde, maatregelen nam en een beleid implementeerde om haar verplichtingen in de AVG na te leven en dat zij haar medewerking verleende aan zowel de klager als de Gegevensbeschermingsautoriteit. Dit zou zich echter niet vertalen in de berekening van de boetes. De Geschillenkamer merkt op dat de verweerder zich niet verweert tegen de vaststelling dat de drie inbreuken van “gemiddelde zwaarte” waren, waardoor het uitgangsbedrag werd vastgesteld op 15% van het wettelijk maximumbedrag. Verder worden er geen materiële bewijzen of elementen naar voren gebracht op basis waarvan de vaststelling van “gemiddelde zwaarte” zou moeten worden aangepast. IV.2.4. De omzet van de verweerder als relevant element om rekening mee te houden met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige geldboete op grond van artikel 83.1 AVG 106. Overeenkomstig artikel 83.1 AVG dient de Geschillenkamer ervoor te zorgen dat de administratieve geldboeten die worden opgelegd doeltreffend, evenredig en afschrikkend zijn. Aldus laat zij ook in de uitgangsbedragen een onderscheid naar de omvang van de onderneming tot uiting komen. 107. Artikelen 83.4 tot 83.6 AVG bepalen dat de totale wereldwijde jaaromzet van het voorgaande boekjaar moet worden gebruikt voor de berekening van de administratieve geldboete. Hieromtrent geldt dat de term “voorgaande” in overeenstemming met de rechtspraak van het Hof van Justitie in het mededingingsrecht geïnterpreteerd moet worden, zodat de relevante gebeurtenis voor de berekening het boetebesluit van de toezichthoudende autoriteit is, en niet het tijdstip van de gesanctioneerde overtreding 54. 108. De Geschillenkamer preciseert dienaangaande dat zij ten tijde van de verzending van het sanctieformulier d.d. 19 februari 2025 nog niet beschikte over de omzetcijfers voor het jaar 53 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), par 60 54 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), randnummer 131 Beslissing ten gronde 72/2025- 36/48 2024 en dus bijgevolg de omzetcijfers van 2023 in aanmerking moest nemen. Aangezien de omzetcijfers niet opgenomen werden in de jaarrekening van de verweerder van 2023, diende de Geschillenkamer de brutomarge van 2023 zoals opgenomen in de jaarrekening als alternatief te hanteren. Deze brutomarge bedraagt 52 404 EUR. De Geschillenkamer nodigde de verweerder uit om de omzetcijfers van het boekjaar 2023 over te maken aan de Geschillenkamer. 109. In haar reactie op het sanctieformulier stelde Y dat zij haar toekomstige financiële draagkracht niet kan inschatten. Zij verstrekt bovendien geen aanvullende omzetcijfers. De Geschillenkamer dient daarom uit te gaan van de beschikbare gegevens. 110. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar 2 096,16 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 83.5 AVG tot 20 000 000 EUR. In concreto leidt dit tot de volgende uitgangsbedragen: i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG stelde de Geschillenkamer het uitgangsbedrag voor de verdere berekening vast op 15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een uitgangsbedrag van 3 000 000 EUR; ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, stelde de Geschillenkamer het uitgangsbedrag voor de verdere berekening vast op 15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een uitgangsbedrag van 3 000 000 EUR; iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.
75. d)en 15.1.
76. g)AVG, stelde de Geschillenkamer het uitgangsbedrag voor de verdere berekening vast op 15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een uitgangsbedrag van 3 000 000 EUR; 111. Overeenkomstig de Richtsnoeren van de EDPB55, kan de Geschillenkamer voor ondernemingen met een jaaromzet van minder dan 2 miljoen EUR overwegen om de berekening voort te zetten op basis van een bedrag tussen de 0,2 en 0,4 % van het vastgestelde uitgangsbedrag. De Geschillenkamer besluit dat dit in casu gepast is, hetgeen leidt tot de volgende aangepaste bedragen: 55 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), randnummer 65 Beslissing ten gronde 72/2025- 37/48 i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG wordt het uitgangsbedrag van 3 000 000 EUR verlaagd naar 6 000 EUR (0,2% van het uitgangsbedrag); ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, wordt het uitgangsbedrag van 3 000 000 EUR verlaagd naar 6 000 EUR (0,2% van het uitgangsbedrag); iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.
77. d)en 15.1.
78. g)AVG, wordt het uitgangsbedrag van 3 000 000 EUR verlaagd naar 6 000 EUR (0,2% van het uitgangsbedrag). IV.2.5. Verzwarende en verzachtende omstandigheden 112. Volgens de AVG moet de toezichthoudende autoriteit, nadat zij een beoordeling heeft gemaakt van de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard van de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (zie hierboven), rekening houden met de overige verzwarende en verzachtende factoren zoals genoemd in artikel 83.2 AVG 56. i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de verweerder niet aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen, zodat de verwerking niet onder artikel 6.1.
79. f)AVG kan vallen, en onrechtmatig is wegens een gebrek aan een geldige rechtsgrond: a. 83.2.
80. c)AVG – de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken: Niet van toepassing. b. 83.2.
81. d)AVG – de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk organisatorische maatregelen is gezien die hij de technische heeft en uitgevoerd overeenkomstig de artikelen 25 en 32: Niet van toepassing. c. 83.2.
82. e)AVG – eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker: De Geschillenkamer houdt rekening met het gegeven dat de verweerder niet schuldig werd verklaard aan eerdere overtredingen op de AVG. Deze factor kan dus als neutraal beschouwd worden. d. 83.2.
83. f)AVG – de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve 56 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), randnummer 70 Beslissing ten gronde 72/2025- 38/48 gevolgen daarvan te beperken: De Geschillenkamer merkt op dat de verweerder zich coöperatief heeft opgesteld ten opzichte van haar. Overeenkomstig de richtsnoeren van de EDPB beschouwt de Geschillenkamer de gewone verplichting tot samenwerking als neutraal gelet op de algemene verplichting tot medewerking ex artikel 31 AVG. e. 83.2.
84. h)AVG – de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld: Niet van toepassing. f. 83.2.
85. i)AVG – de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen: Niet van toepassing. g. 83.2.
86. j)AVG – het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42: Niet van toepassing. h. 83.2.
87. k)AVG – elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien: De verweerder maakte gedurende een periode van meerdere jaren financiële winst door het verwerken van persoonsgegevens zonder een geldige rechtsgrond, hetgeen als een verzwarende omstandigheid wordt beoordeeld. ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, doordat de verweerder de betrokkenen niet proactief informeerde binnen de wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via haar privacyverklaring onvolledig en onjuist was: a. 83.2.
88. c)AVG – de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken: De Geschillenkamer merkt op dat de verweerder haar privacyverklaring heeft aangepast. Zij heeft echter geen indicatie ontvangen dat de verweerder de betrokkenen ook proactief informatie verstrekt. Deze factor wordt als neutraal beschouwd. Beslissing ten gronde 72/2025- 39/48 b. 83.2.
89. d)AVG – de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk organisatorische is maatregelen gezien die de hij technische heeft en uitgevoerd overeenkomstig de artikelen 25 en 32: Niet van toepassing. c. 83.2.
90. e)AVG – eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker: Zie hierboven. d. 83.2.
91. f)AVG – de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken: Zie hierboven. e. 83.2.
92. h)AVG – de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld: Niet van toepassing. f. 83.2.
93. i)AVG – de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen: Niet van toepassing. g. 83.2.
94. j)AVG – het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42: Niet van toepassing. h. 83.2.
95. k)AVG – elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien: Niet van toepassing betreffende deze inbreuk. iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.
96. d)en 15.1.
97. g)AVG, aangezien de verweerder niet alle beschikbare informatie over de specifieke ontvangers, de bronnen en de opslagtermijn van de persoonsgegevens aan de klager meedeelde in het antwoord op zijn verzoek tot inzage: a. 83.2.
98. c)AVG – de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken: Niet van toepassing. Beslissing ten gronde 72/2025- 40/48 b. 83.2.
99. d)AVG – de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk organisatorische is maatregelen gezien die de hij technische heeft en uitgevoerd overeenkomstig de artikelen 25 en 32: Niet van toepassing. c. 83.2.
100. e)AVG – eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker: Zie hierboven. d. 83.2.
101. f)AVG – de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken: Zie hierboven. e. 83.2.
102. h)AVG – de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld: Niet van toepassing. f. 83.2.
103. i)AVG – de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen: Niet van toepassing. g. 83.2.
104. j)AVG – het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42: Niet van toepassing. h. 83.2.
105. k)AVG – elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien: Niet van toepassing betreffende deze inbreuk. 113. De Geschillenkamer stelt vast dat de verweerder gedurende een periode van meerdere jaren financiële winst maakte door het verwerken van persoonsgegevens zonder een geldige rechtsgrond, hetgeen als een verzwarende omstandigheid wordt beoordeeld met betrekking tot de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG. Bijgevolg besluit zij om het boetebedrag voor deze inbreuk met 2 000 EUR te verhogen naar 8 000 EUR. 114. In haar reactie op het sanctieformulier stelt Y dat het feit dat de betrokken gegevens voornamelijk gegevens gerelateerd aan bedrijven zijn, in rekening dient te worden genomen bij het beschouwen van het nastreven van financiële winst als een verzwarende Beslissing ten gronde 72/2025- 41/48 omstandigheid. De Geschillenkamer oordeelt dat louter het feit dat persoonsgegevens ook bedrijven betreffen, niet afdoet van het feit dat het maken van financiële winst een verzwarende omstandigheid is bij het onrechtmatig verwerken van persoonsgegevens. IV.2.6. Afstemming met maximumbedragen 115. De maximumbedragen voor de boetes in het onderhavige geval werden hierboven reeds berekend. Ter herinnering: i. Voor de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
106. a)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is; ii. Voor de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
107. b)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is; iii. Voor de inbreuk op artikelen 15.1.c), 15.1.
108. d)en 15.1.
109. g)AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
110. b)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 116. De Geschillenkamer beschikt ten tijde van de verzending van het sanctieformulier d.d. 19 februari 2025 nog niet over de omzetcijfers voor het jaar 2024, en neemt bijgevolg de omzetcijfers van 2023 in aanmerking. Aangezien de omzetcijfers niet opgenomen werden in de jaarrekening van de verweerder van 2023, dient de Geschillenkamer de brutomarge van 2023 zoals opgenomen in de jaarrekening als alternatief te hanteren. Deze brutomarge bedraagt 52.404 EUR. De verweerder wordt uitgenodigd om de omzetcijfers van het boekjaar 2023 over te maken aan de Geschillenkamer. 117. Op basis van het voorgaande stelt de Geschillenkamer dat 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar 2.096,16 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 83.5.
111. b)AVG tot 20 000 000 EUR voor elk van de drie vastgestelde inbreuken. 118. Overeenkomstig artikel 83.3 AVG mag de totale geldboete niet hoger zijn dan die voor de zwaarste inbreuk. In casu is de Geschillenkamer voornemens de volgende geldboetes op te leggen: i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG: 8 000 EUR; ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG: 6 000 EUR; Beslissing ten gronde 72/2025- 42/48 iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.
112. d)en 15.1.
113. g)AVG: 6 000 EUR. 119. Aldus bedraagt de totale geldboete 20 000 EUR, hetgeen ruim onder de maximale boete van 20 000 000 EUR is. IV.2.7. Doeltreffendheid, evenredigheid en afschrikkend effect Doeltreffendheid 120. Overweging 148 AVG benadrukt dat administratieve geldboeten moeten worden opgelegd “[m]et het oog op een krachtiger handhaving van de regels van deze verordening”. De opgelegde geldboete moet daarom hoog genoeg zijn om deze doelstelling te verwezenlijken. 121. De Geschillenkamer overweegt dat de geldboetes van 8 000, 6 000 en 6 000 EUR geschikt zijn om de fundamentele beginselen waarop inbreuk werd gemaakt krachtig te handhaven. Evenredigheid 122. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde geldboete evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van met name de ernst ervan. 123. In casu werden de drie betreffende inbreuken als van gemiddelde zwaarte beoordeeld. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer, bij inbreuken van gemiddelde zwaarte, het uitgangsbedrag voor de verdere berekening vast te stellen op een punt tussen de 10 en 20 % van het toepasselijke wettelijke maximumbedrag57. De Geschillenkamer merkt op dat de financiële winst die de verweerder maakte uit het verwerken van persoonsgegevens zonder rechtsgrond, proactieve informatieverstrekking en naleving van het recht van inzage werd gemaakt, hetgeen daadkrachtig ontmoedigt dient te worden. Daarom stelde de Geschillenkamer de uitgangsbedragen voor de verdere berekening vast op 15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG. 124. De Geschillenkamer houdt echter ook rekening met de omzet van de verweerder, waardoor zij slechts 0,2% van de uitgangsbedragen gebruikte voor de berekening van de boetes (zie hierboven). Bovendien nodigde de Geschillenkamer de verweerder uit om informatie te verstrekken indien zij van oordeel is dat de onderhavige boetes haar levensvatbaarheid onherroepelijk in gevaar zouden brengen. De verweerder verstrekte echter geen materieel bewijsmateriaal dat dit zou kunnen bevestigen. 57 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), par 60 Beslissing ten gronde 72/2025- 43/48 Afschrikkend effect 125. Bij het opleggen van een geldboete houdt de Geschillenkamer rekening met zowel de specifieke als de algemene afschrikking. Een geldboete is afschrikkend wanneer de boete een particulier ervan weerhoudt om de in het EU-recht opgenomen doelstellingen en regelingen te schenden. 126. Het afschrikkende karakter van de boete moet twee dimensies hebben. Het moet de persoon aan wie de boete wordt opgelegd ervan weerhouden de inbreuk in de toekomst te herhalen, maar het moet ook andere personen ervan weerhouden het inbreukmakende gedrag van de eerste persoon te herhalen. 127. Verschillende factoren bepalen de afschrikkende werking van een boete: de aard en het bedrag van de boete en de waarschijnlijkheid dat de boete wordt opgelegd, zijn in dit opzicht doorslaggevend. Een boete moet hoog genoeg zijn om een aanzienlijke financiële impact te hebben op de onderneming die de inbreuk pleegt, terwijl de boete in verhouding moet staan tot de ernst van de inbreuk. Met andere woorden, het criterium van afschrikking overlapt met dat van doeltreffendheid. 128. In het onderhavige geval wordt het totale bedrag van de boete verminderd naar 20 000 EUR. Dit bedrag blijft evenwel voldoende afschrikkend om te voorkomen dat verweerster haar inbreuk op de regels van de AVG herhaalt. Bovendien is het ook bedoeld om andere ondernemingen ervan te weerhouden soortgelijke inbreuken te plegen. Deze boete, die evenredig is aan de ernst van de inbreuk en rekening houdt met de omzet van de verweerder, is bedoeld om zowel een specifieke als een algemene afschrikkende werking te hebben. Reactie van Y: 129. Y kreeg de gelegenheid om te reageren op de voorgenomen geldboeten. Zij deed dit op 13 maart 2025. 130. Om te beginnen stelt Y dat er sprake is van bijzondere omstandigheden. Ten eerste houden de inbreuken, volgens haar, in zeer beperkte mate rekening met de context waarbinnen zij onderneemt. Zij stelt specifiek dat het ernaar uitziet dat alle gegevens onder de zelfde noemer van persoonsgegeven worden geplaatst, terwijl een groot deel van de gegevens die door Y worden verwerkt niet als dusdanig dienen te worden gekwalificeerd. Op deze wijze zou er van een zwaardere inbreuk uitgegaan worden dan in realiteit voorhanden zou zijn. De Geschillenkamer oordeelt dat deze bezorgdheid niet pertinent is omdat zij wel degelijk een analyse heeft gemaakt van de aard van de gegevens die Y verwerkt (zie deel III.1.1. Kwalificatie van de gegevens). Verder stelt Y dat het feit dat de gegevens bedrijven betreffen zich zou moeten vertalen in de berekening van de geldboete. De Geschillenkamer Beslissing ten gronde 72/2025- 44/48 oordeelt dat louter het feit dat persoonsgegevens ook bedrijven betreffen, geen verzachtende omstandigheid kan zijn. 131. Voorts stelt Y dat zij maatregelen heeft genomen om ervoor te zorgen dat gegevens op een correcte manier worden verwerkt. Met name zou zij contractuele garanties hebben gesloten, zou zij het aantal gegevens dat ter beschikking van haar klanten wordt gesteld hebben beperkt, en zou zij de gegevens actualiseren en verwijderen. De Geschillenkamer neemt akte van deze maatregelen, maar oordeelt dat zij deel uitmaken van de wettelijke verplichtingen waartoe Y is gebonden, en dat zij aldus geenszins “bijzondere omstandigheden” uitmaken. Het naleven van wettelijke verplichtingen is, zoals eerder opgenomen met verwijzing naar richtsnoeren van de EDPB, een neutrale omstandigheid. 132. Verder meent Y dat de totale administratieve boete onevenredig zou zijn in het licht van artikel 83.1 en 83.2 AVG. Zij onderbouwt dit punt met verwijzing naar beslissing 07/2024 van 16 januari 2024 van de Geschillenkamer, waarin de Geschillenkamer Z6 administratieve geldboetes oplegde. Volgens Y zou de sanctie die aan Y opgelegd wordt aanzienlijk zwaarder zijn in verhouding met de sanctie opgelegd aan Z6. De Geschillenkamer oordeelt dat deze twee afzonderlijke dossiers verschillend zijn en niet vergeleken kunnen worden. Dit werd bevestigd door de kortgedingrechter in beschikking 2025/25/C, waarin de voorzitter van de rechtbank oordeelde dat de situatie van andere vennootschappen, en specifiek Z6, niet vergelijkbaar is met die van Y. 133. Bovendien stelt Y dat de voorgenomen inbreuken zeer gerin