Beslissing ten gronde nr. 75/2025

1/35 Geschillenkamer Beslissing ten gronde 75/2025 van 24 april 2025 Dossiernummer : DOS-2020-03929 Betreft : klacht inzake de verwerking van persoonsgegevens van bezoekers van een woonzorgcentrum tijdens de COVID-19-pandemie De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”1; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Y, vertegenwoordigd door meesters Magali Feys en Emma Van den Eynde, hierna “de verweerder” 1 De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link: https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het reglement van interne orde via deze link: https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-ordevan-de-gegevensbeschermingsautoriteit.pdf. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum. Beslissing ten gronde 75/2025 — 2/35 I. 1. Feiten en procedure Op 11 augustus 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. […]. De klacht kadert in de specifieke maatregelen die zijn genomen ten tijde van de Covid-19 Pandemie. 2. In zijn klacht stelt de klager dat hij, voorafgaande aan een bezoek aan zijn grootvader in een woonzorgcentrum van de verweerder, wordt verplicht om een kopie van zijn identiteitskaart over te maken aan de verweerder. Die verplichting staat uitdrukkelijk opgenomen in de bezoekregeling die hem werd doorgestuurd. Daarnaast klaagt hij aan dat hij persoonsgegevens, waaronder gezondheidsgegevens, dient in te vullen in een verklaring op eer en een verklaring van goed gedrag (verweerder noemt dit een ‘handvest’), waarvan de indiening tevens een verplichte voorwaarde uitmaakt voor bezoek. De klager legt uit dat de verklaring op eer, die hem op 17 juli 2020 werd doorgestuurd door de verweerder, een gezondheidsverklaring uitmaakt lichaamstemperatuur, en (de waarin de afwezigheid bezoeker van) wordt symptomen, gevraagd diagnoses, naar zijn recente risicocontacten en medicatiegebruik. 3. Bij ontvangst van de bezoekregeling en de in te vullen verklaringen stuurt de klager een mail naar het woonzorgcentrum met de mededeling dat hij niet akkoord gaat met het doorsturen van de opgevraagde documenten. De klager voert aan dat het opvragen van een kopie van zijn identiteitskaart onwettig is en in strijd is met de bepalingen van de AVG, gezien het woonzorgcentrum volgens hem evengoed ter plekke de identiteitskaart kan opvragen en de identiteit van bezoekers kan controleren. Overigens wijst de klager erop dat gegevens over iemands gezondheid worden beschouwd als een ‘bijzondere categorie van persoonsgegevens’ overeenkomstig artikel 9 AVG, en dat de verwerking daarvan principieel verboden is, behoudens enkele uitzonderingen. Tevens vraagt de klager naar een kopie van de privacyverklaring conform artikel 13 AVG. 4. Bij het uitblijven van een - volgens de klager - gepast antwoord, besluit hij op 17 juli 2020 om de eerdere e-mailconversaties door te sturen naar de functionaris voor gegevensbescherming (DPO) van de verweerder. Op 24 juli 2020 krijgt de klager het antwoord dat er enige tijd nodig is om zijn opmerkingen te bekijken, en verwijst de DPO naar de privacyverklaring van de verweerder. In zijn reactie op dit antwoord wijst de klager de DPO erop dat die privacyverklaring op geen enkele wijze melding maakt van de gegevensverwerkingen die gebeuren in het kader van de bezoekregeling. 5. Op 31 juli 2020 ontvangt de klager van de verweerder een aangepaste versie van de in te vullen verklaringen. De nieuwe versie van de verklaring op eer vraagt de bezoeker niet meer naar diens gemeten temperatuur, maar vraagt enkel nog aan de bezoeker om te verklaren dat hij/zij een temperatuurmeting heeft uitgevoerd. In zijn mail aan de klager merkt de Beslissing ten gronde 75/2025 — 3/35 verweerder hieromtrent het volgende op: “Naar aanleiding van de recente COVID-19 opflakkeringen en de verstrengde maatregelen, hebben wij een aangepaste versie van de verklaring op eer en het handvest. U vindt deze in bijlage. Wij verkiezen onze eigen versie te gebruiken en zijn niet gebonden door het model dat het Agentschap een tijd geleden als voorbeeld ter beschikking heeft gesteld. Wat betreft uw opmerking inzake temperatuurmeting meldt het Agentschap inderdaad dat dit weinig zinvol is. Dit is uiteraard zo indien men enkel koorts als belangrijkste symptoom zou beschouwen. Niettemin vinden wij het zinvol om dit nog steeds te doen en het is ook toegelaten. Koorts blijft een symptoom en het is niet aangewezen om onze kwetsbare groep van residenten noch onze personeelsleden bloot te stellen aan personen met koorts. Dit maakt o.i. deel uit van de voorzorgsmaatregelen in de strijd tegen de verdere verspreiding van COVID-19. Wij willen er u tevens op wijzen dat registratie hiervan niet de bedoeling was en is. Onze verklaring is ook aangepast op dat punt en vormt geen problemen in het licht van de AVG.” 6. Op 4 augustus 2020 ontvangt de klager een antwoord van de DPO van de verweerder op zijn opmerking dat de doorgestuurde privacyverklaring op geen enkele wijze melding maakt van de gegevensverwerkingen die gebeuren in het kader van de bezoekregeling. Hij ontvangt daarbij de privacyverklaring die van toepassing is op bezoekers en hij wordt geïnformeerd over de meest recente werkwijze met betrekking tot de bezoekersregistratie. De DPO legt uit dat de verweerder momenteel in een overgangsfase zit. In sommige woonzorgcentra kunnen bezoekers hun gegevens invoeren in een online reservatiesysteem, waarbij ze bij hun eerste bezoek een specifieke privacyverklaring krijgen, samen met een verklaring op eer en het handvest. De DPO legt uit dat nog niet alle woonzorgcentra zijn overgestapt naar het digitale systeem. In de centra die nog niet zijn overgeschakeld, wordt nog steeds met papieren documenten gewerkt. In die gevallen wordt de privacyverklaring van toepassing op bezoekers nu ook fysiek ter inzage voorgelegd aan de bezoekers. De DPO legt uit dat, vanwege de urgentie, de privacyverklaring op de website nog niet volledig werd aangepast aan de nieuwe situatie. De privacyverklaring die betrekking heeft op bezoekers werd aldus uitgewerkt in een afzonderlijk document die aan betrokkenen wordt overgemaakt wanneer deze willen registreren voor een bezoek, zij het online of op papier. 7. Op 25 augustus 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 8. Op 1 september 2020 beslist de Geschillenkamer op grond van artikel 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst. Beslissing ten gronde 75/2025 — 4/35 9. Op 2 september 2020 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 10. Op 27 oktober 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer conform artikel 91, § 1 - § 2 WOG. 11. Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht: 1) De verweerder is de verwerkingsverantwoordelijke met betrekking tot de verwerkingen van persoonsgegevens die het voorwerp uitmaken van de klacht, gezien zij zelfstandig en autonoom de bezoekersregistratie in functie van de bestrijding van COVID-19 organiseert. Alleen de verweerder bepaalt het doel en de middelen van de verwerking en treedt bijgevolg op als enige verwerkingsverantwoordelijke. 2) Wat betreft de inzameling van gegevens die gebeurde in het kader van de bezoekersregistratie, heeft de Inspectiedienst vastgesteld dat de verweerder een inbreuk heeft begaan op artikel 5, lid 1 en lid 2 AVG, artikel 6, lid 1 AVG, artikel 9, lid 1 en 2 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1 en lid 2 AVG. 3) Wat betreft de privacyverklaring van de verweerder zoals deze geraadpleegd werd door de Inspectiedienst, stelt zij vast dat de verweerder een inbreuk pleegde op artikel 12, lid 1 en lid 6 AVG, artikel 13, lid 1 en lid 2 AVG en artikel 14, lid 1 en lid 2 AVG. 4) Wat betreft de functionaris voor gegevensbescherming (DPO) van de verweerder, heeft de Inspectiedienst vastgesteld dat de verweerder een inbreuk heeft gepleegd op artikel 37, lid 5 en lid 7 AVG, alsook op artikel 38, lid 2 en lid 3 AVG. 12. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht: 1) De verweerder pleegt een inbreuk op artikel 30, lid 1 en 3 AVG, gezien het verwerkingsregister niet voldoet aan de daarin opgenomen minimumvereisten. Meer bepaald stelt de Inspectiedienst een inbreuk vast omdat de contactgegevens van de verwerkingsverantwoordelijke niet werden opgenomen in het register (art. 30.1.

1. a)AVG), omdat zij de beschrijving van de categorieën van betrokkenen en persoonsgegevens onvolledig acht (art. 30.1.
2. c)AVG), omdat het niet duidelijk is naar welke derde landen persoonsgegevens worden doorgegeven (art. 30.1.
3. e)AVG) en, meer algemeen, omdat aan de Inspectiedienst een onvolledig register van de verwerkingsactiviteiten werd voorgelegd (art. 30, lid 1 en 3 AVG). Beslissing ten gronde 75/2025 — 5/35 13. Op 21 januari 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 14. Op 21 januari 2021 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. 15. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de klager vastgelegd op 4 maart 2021 en deze voor de conclusie van repliek van de verweerder op 25 maart 2021. Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht wordt de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder tevens vastgelegd op 25 maart 2021. 16. Op 3 maart 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de klager voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De klager voert aan dat de verwerking van zijn persoonsgegevens door de verweerder niet louter hypothetisch is, gezien hij op 20 augustus 2020 effectief een bezoek bracht aan zijn grootvader. Om toegang te kunnen krijgen tot het woonzorgcentrum heeft hij twee papieren formulieren ingevuld en overhandigd. Die formulieren bevatten zijn contactgegevens (naam, adres, telefoonnummer, e-mailadres), de naam van de bewoner, de relatie die hij heeft tot de bewoner, en enkele verklaringen op eer die tezamen kunnen worden gelezen als een verklaring dat hij niet is besmet met het COVID-19 virus. De klager moest tevens aangeven of hij zijn temperatuur had gemeten, zonder evenwel de gemeten temperatuur te moeten noteren. In rechte sluit de klager zich aan bij de vaststellingen van de Inspectiedienst. De klager benadrukt dat de verweerder meerdere systemen voor de bezoekregeling hanteert (verschillende variaties van papieren formulieren, alsook een elektronisch systeem), hetgeen sommige verschillen tussen zijn klacht en de vaststellingen in het inspectieverslag zouden verklaren. De klager vraagt de Geschillenkamer rekening te houden met de oorspronkelijke klacht en de stukken die daarbij werden neergelegd. De klager merkt op dat de Inspectiedienst de verwerking van de kopie van de identiteitskaart in het kader van de bezoekregeling niet nader heeft onderzocht. De klager geeft aan dat hoewel de verweerder die praktijk na aandringen heeft stopgezet, de neergelegde bezoekregeling volstaat als bewijs van de grootschalige verwerking van de gegevens op de identiteitskaart van bezoekers. Tot slot vraagt de klager de houding van de verweerder ten aanzien van hem te kwalificeren als een verzwarende omstandigheid. 17. Op 25 maart 2021 ontvangt de Geschillenkamer de conclusie van repliek vanwege de verweerder. De verweerder schetst allereerst de situatie waarin de gegevensverwerkingen plaatsvonden (pandemische en onzekere omstandigheden), en gaat over tot een Beslissing ten gronde 75/2025 — 6/35 chronologische uiteenzetting van de feiten. In rechte voert de verweerder aan dat de bezoekregeling en de bezoekersregistratie, minstens op het ogenblik van het indienen van de klacht, volledig conform de bepalingen van de AVG werd opgezet. Vervolgens gaat de verweerder in op de vermeende inbreuken waarvan zij door de klager wordt beschuldigd. De verweerder stelt dat alle middelen aangevoerd door de klager in zijn klacht ofwel zonder voorwerp zijn, ofwel geheel ongegrond zijn. Wat betreft vaststellingen van de Inspectiedienst binnen de scope van de klacht voert de verweerder aan dat zij ongegrond dienen te worden verklaard. De conclusie bevat eveneens de reactie van de verweerder omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht, dewelke zij tevens ongegrond acht. Tot slot geeft de verweerder ook te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 18. Op 27 augustus 2021 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 21 september 2021. 19. Op 21 september 2021 worden de partijen gehoord door de Geschillenkamer. 20. Op 4 oktober 2021 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 21. Op 9 oktober 2021 ontvangt de Geschillenkamer vanwege de klager enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 22. Op 11 oktober 2021 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 23. Het beraad van de Geschillenkamer heeft veel langer geduurd dan gebruikelijk en inmiddels ligt de COVID-19-pandemie in het verleden. Aangezien de partijen zich hebben verweerd en een hoorzitting heeft plaatsgevonden, wordt deze beslissing alsnog genomen. II. Motivering II.1. Het opvragen van een kopie van de identiteitskaart van de klager
4. a)Standpunt klager 24. In zijn klacht voert de klager aan dat de vraag naar een kopie van zijn identiteitskaart door de verweerder in strijd is met de Wet van 19 juli 1991 2, gezien de verweerder geen machtiging heeft om de foto en het rijksregisternummer op zijn identiteitskaart te verwerken. Volgens de bezoekregeling die hem op 17 juli 2020 werd doorgestuurd, wordt de klager gevraagd 2 Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten, B.S. 3 september 1991 Beslissing ten gronde 75/2025 — 7/35 “éénmalig” een kopie van zijn identiteitskaart door te sturen, waardoor het volgens de klager evident is dat deze kopie door de verweerder zal worden bewaard voor toekomstige bezoeken. De klager stelt dat van vrije toestemming geen sprake kan zijn, gezien de kopie van de identiteitskaart als verplichte voorwaarde wordt gesteld voor een bezoek. De klager voert tevens aan dat de foto op zijn identiteitskaart een biometrisch gegeven uitmaakt conform artikel 4.14. AVG, die door de verweerder wordt aangewend met het oog op zijn identificatie. Volgens de klager faalt de verweerder om enige rechtsgrond voor die verwerking aan te halen, hetgeen betekent dat zij een inbreuk pleegt op artikel 9.1. AVG.
5. b)Standpunt verweerder 25. De verweerder voert aan dat dit middel zonder voorwerp is komen te vallen. Nadat de verweerder door de klager op de hoogte werd gesteld van de verwerking van de kopieën van identiteitskaarten van bezoekers door het betrokken woonzorgcentrum, heeft zij per direct een einde gemaakt aan deze werkwijze. Dit werd volgens de verweerder aan de klager medegedeeld op 17 juli 2020, hetgeen volgens haar betekent dat deze praktijk reeds werd stopgezet vóór de indiending van de klacht. De verweerder benadrukt dat het inzamelen van de kopie van de identiteitskaart van bezoekers gebeurde op eigen initiatief van het betrokken woonzorgcentrum, zonder enige voorafgaande communicatie aan de verweerder. De verweerder stelt dat het hier gaat om een lokale, eenmalige en menselijke onbedachtzaamheid van het betrokken woonzorgcentrum, welke geenszins deel uitmaakte van haar beleid rond de bezoekersregeling en -registratie.
6. c)Beoordeling Geschillenkamer 26. De Geschillenkamer brengt artikel 6, §4 van de Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten in herinnering, dat bepaalt dat het rijksregisternummer en de foto van de houder van de identiteitskaart enkel mogen worden gebruikt indien de gebruiker hiertoe gemachtigd is door of krachtens een wet, een decreet of een ordonnantie. De Geschillenkamer stelt vast dat de verweerder op geen enkele wijze melding maakt van dergelijke machtiging. Tevens wijst de Geschillenkamer op aanbeveling 03/2011 van de Commissie voor de bescherming van de persoonlijke levenssfeer 3 (CBPL) waarin de Commissie reeds oordeelde dat er geen kopie (fotokopie of elektronische kopie) van de identiteitskaart mag worden genomen buiten de wettelijk voorgeschreven gevallen. Hoewel de Geschillenkamer begrijpt dat ten tijde van de feiten een bezoekersregistratie noodzakelijk was om de door de verschillende gefedereerde entiteiten opgelegde contactopsporing in de context van COVID-19 mogelijk te maken, treedt zij het standpunt van de klager bij dat de noodzaak om een persoon te identificeren/contacteren niet 3 Aanbeveling nr. 03/2011 van 25 mei 2011 over het nemen van een kopie van de identiteitskaart en over het gebruik van de elektronische lezing ervan (CO-AR-210-008). Beslissing ten gronde 75/2025 — 8/35 betekent dat een kopie moet worden genomen van de identiteitskaart. De Geschillenkamer is van oordeel dat een persoon voldoende kan worden geïdentificeerd met het eenvoudige verzoek zijn identiteitskaart voor te leggen en een visuele controle uit te voeren. De Geschillenkamer herinnert eraan dat de eenvoudige fysieke voorlegging van de identiteitskaart op zich geen verwerking uitmaakt waarop de AVG, overeenkomstig artikel 2.1 daarvan, van toepassing is, gezien het hier niet gaat over een automatische gegevensverwerking, noch over een andere verwerking van gegevens die bestemd zijn om in een bestand te worden opgenomen. 27. De Geschillenkamer waardeert het initiatief van de verweerder om de verwerking van kopieën van identiteitskaarten per direct te staken wanneer zij hiervan op de hoogte werd gesteld. De Geschillenkamer is echter van oordeel dat dit geen rechtvaardiging biedt voor de verwerkingen die voorafgaand aan die staking hebben plaatsgevonden. Immers, het doorsturen van een kopie van de identiteitskaart werd expliciet als voorwaarde gesteld in de bezoekregeling zoals die voor de eerste maal aan de klager werd voorgelegd. De Geschillenkamer oordeelt dat dit betekent dat in de periode vóór de melding van de klager het opvragen van de identiteitskaart van bezoekers een gangbare praktijk betrof in het betrokken woonzorgcentrum. 28. De verweerder wijst daarnaast op de lokale aard van de fout die zich voordeed in het betrokken woonzorgcentrum, en op het feit dat het opvragen van een kopie geenszins deel uitmaakte van haar beleid. Hiertoe herinnert de Geschillenkamer eraan dat de verantwoordelijkheid voor de naleving van de AVG en de wetten die bepalingen bevatten inzake de bescherming van persoonsgegevens bij de verweerder ligt, die, zoals de Inspectiedienst heeft vastgesteld en ook de verweerder zelf stelt, als enige kan worden aangeduid als verwerkingsverantwoordelijke. Haar taak ligt er niet alleen in om een wettig beleid rond bezoekersregistratie op poten te zetten, maar ook om een controle op dat beleid uit te oefenen binnen haar entiteit. 29. De Geschillenkamer stelt derhalve vast dat de verweerder kopieën van identiteitskaarten van bezoekers heeft opgevraagd en bewaard met het oog op de identificatie van bezoekers wanneer deze zich aanmelden aan de balie van het woonzorgcentrum. De Geschillenkamer wijst erop dat de verweerder hiermee het rijksregisternummer en de foto van de houder van de identiteitskaart verwerkt. De Geschillenkamer stelt vast dat de verweerder in strijd heeft gehandeld met artikel 6, §4 van voornoemde wet van 19 juli 1991, dewelke de voorwaarden voor een rechtmatige verwerking van die gegevens bepaalt. Daarnaast wijst de Geschillenkamer erop dat het opvragen en bewaren van een kopie van een identiteitskaart tevens betekent dat alle andere gegevens op die identiteitskaart worden verwerkt, zoals het geslacht, de nationaliteit, de geboortedatum, het kaartnummer en de vervaldatum. Ook voor Beslissing ten gronde 75/2025 — 9/35 de verwerking van die gegevens dient de verweerder een rechtsgrond in de zin van artikel 6.1. AVG te hebben, die zij niet aanvoert. 30. De Geschillenkamer oordeelt echter dat het standpunt van de klager dat het verwerken van een kopie van zijn identiteitskaart automatisch een verwerking inhoudt van biometrische gegevens in de zin van artikel 4.14. AVG, ongegrond is. Hoewel de verweerder in casu de identiteitskaart gebruikte voor de unieke identificatie van de betrokken bezoeker, wordt er niet aangetoond dat dit gebeurde met behulp van technische middelen. In die zin wijst de Geschillenkamer op overweging 51 van de AVG, die in dit verband het volgende bepaalt: “De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken”. 31. Om bovenvermelde redenen is de Geschillenkamer van oordeel dat de verweerder een inbreuk pleegde op artikel 6, §4 van voornoemde Wet van 19 juli 1991, evenals op artikel 6.1. AVG. 32. In haar beoordeling houdt de Geschillenkamer rekening met het feit dat de verweerder de verwerking van kopieën van identiteitskaarten heeft stopgezet nog voor de indiening van de klacht. De verweerder bewijst daarnaast dat alle ingezamelde kopieën reeds werden verwijderd.4 II.2. Artikel 5, lid 1 en lid 2 AVG, artikel 6, lid 1 AVG, artikel 9, lid 1 en 2 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1 en lid 2 AVG II.2.1. Wat betreft de rechtmatigheid van de verwerkingen uitgevoerd in het kader van de bezoekersregistratie
7. a)Vaststellingen in het Inspectieverslag 33. De Inspectiedienst stelt vast dat de verweerder een inbreuk pleegt op artikel 6.1. AVG en op artikel 9.1. AVG. Tijdens het onderzoek van de Inspectiedienst wordt de verweerder gevraagd welke de rechtmatigheidsgronden zijn overeenkomstig artikel 6.1. AVG op basis waarvan de verweerder de persoonsgegevens in het kader van de bezoekregeling verwerkt. Daarnaast wordt de verweerder gevraagd om voor de bijzondere categorieën van persoonsgegevens die in die context worden verwerkt, aan te tonen dat werd voldaan aan één van de voorwaarden uit artikel 9.2. AVG. 4 Stuk 37. Mail dd 25 maart 2021 – Stukkenbundel conclusie van repliek verweerder Beslissing ten gronde 75/2025 — 10/35 34. De Inspectiedienst stelt vast dat de verweerder aangeeft te steunen op artikel 6.1.
8. c)en 6.1.
9. e)AVG voor de verwerking van persoonsgegevens in functie van de bezoekersregistratie, zonder aan te tonen over welke wettelijke verplichting en over welke taak van algemeen belang het concreet gaat. De Inspectiedienst acht dit een schending van artikel 5.1.
10. a)AVG, 5.2. AVG, 6.1. AVG, 24.1. AVG en 25.1. AVG, en wijst tevens op overweging 45 van de AVG. 35. De Inspectiedienst stelt tevens vast dat de verweerder beweert dat er bij de bezoekersregistratie geen bijzondere categorieën van persoonsgegevens worden verwerkt in lijn met artikel 9 AVG, waardoor er geen rechtsgrondslag uit artikel 9.2. AVG noodzakelijk is. De Inspectiedienst merkt op dat de verweerder in het kader van de bezoekersregistratie persoonsgegevens verzamelt zoals “check of er een temperatuurmeting werd uitgevoerd” en “checkveld temperatuur controle”. De Inspectiedienst onderstreept dat de meting van de temperatuur van bezoekers weldegelijk een “gegeven over gezondheid” is conform artikel 4.15. AVG. Ze brengt in herinnering dat de verwerking daarvan in principe verboden is overeenkomstig artikel 9.1., tenzij een uitzondering uit artikel 9.2. AVG van toepassing is. Om die redenen stelt de Inspectiedienst vast dat de verweerder een inbreuk pleegde op artikel 5.1.
11. a)AVG, 5.2. AVG, 9.1. AVG, 24.1. AVG en 25.1. AVG.
12. b)Standpunt van de verweerder 36. De verweerder voert aan dat, voor wat betreft de verwerking van niet gevoelige persoonsgegevens, er op haar een wettelijke verplichting rustte onder artikel 6.1.
13. c)AVG om de naam, het adres, het telefoonnummer, en de relatie tussen de bezoeker en de bewoner in het kader van de bezoekregeling te registreren. Tevens rustte er volgens de verweerder op haar een wettelijke verplichting om bezoekers te weigeren die 15 dagen voorafgaand aan het bezoek symptomen van COVID-19 vertoonden (waaronder koorts), de laatste 15 dagen positief zijn getest op COVID-19, of een laag/hoog risicocontact zijn. Die verplichtingen werden haar opgelegd door het Agentschap Zorg en Gezondheid, die op 9 juli 2020 nieuwe tijdelijke maatregelen oplegde die golden voor alle woonzorgcentra in Vlaanderen. 5 Om aan bovenvermelde verplichtingen te voldoen werd door de verweerder een verklaring op eer voorgelegd aan elke bezoeker, waarin de bezoeker diende te verklaren aan de vereisten te voldoen. De verweerder voert aan dat de voormelde tijdelijke maatregelen van het Agentschap Zorg en Gezondheid haar uitdrukkelijk de mogelijkheid boden om gebruik te maken van een verklaring op eer voor bezoekers. De verweerder geeft aan dat zij woonzorgcentra onder haar bevoegdheid heeft in Vlaanderen, Wallonië en Brussel, waarvoor de agentschappen van de verschillende gefedereerde entiteiten allemaal 5 Tijdelijke maatregelen na de COVID-19 piek voor alle woonzorgcentra, centra voor kortverblijf type 1, centra voor herstelverblijf, groepen van assisitentiewoningen en serviceflatgebouwen in Vlaanderen, uitgevaardigd door het Agentschap Zorg & Gezondheid, d.d. 9 juli 2020 (Stuk 1 – Stukkenbundel conclusie van repliek).; De verweerder merkt op dat het Agentschap Zorg & Gezondheid geen rechtspersoonlijkheid heeft, waardoor de door haar opgelegde maatregelen en richtlijnen worden uitgevaardigd door de Vlaamse regering of de Vlaamse Gemeenschap. Beslissing ten gronde 75/2025 — 11/35 gelijkaardige, doch verschillende maatregelen oplegden. Zo werd vanuit het Brusselse Iriscare de verplichting opgelegd om bezoekers een verklaring op eer te laten ondertekenen, terwijl het voor Vlaanderen om een mogelijkheid ging. Het kwam voor de verweerder opportuun voor om de strengste regeling na te leven, gezien het uitwerken van verschillende regelingen weinig overzichtelijk zou zijn en een efficiënte werking zou verhinderen. 37. Voorts voert de verweerder aan dat een bezoekersregistratie noodzakelijk was teneinde de door de verschillende gefedereerde entiteiten opgelegde contactopsporing mogelijk te maken binnen de collectiviteit van het woonzorgcentrum. De bezoekersregistratie zou contactonderzoekers in staat stellen om bezoekers in te lichten wanneer er sprake zou zijn van een COVID-19 uitbraak in een woonzorgcentrum. De verweerder verwijst hiervoor op het Koninklijk Besluit nr. 44 van 26 juni 2020 6, later Samenwerkingsakkoord van 25 augustus 2020. 38. vervangen door het 7 Wat betreft de temperatuurmeting van bezoekers voert de verweerder aan dat de meting van de temperatuur van bezoekers die toegang wilden krijgen tot een woonzorgcentrum in de periode mei-augustus 2020 cruciaal was. Koorts werd door het Agentschap Zorg en Gezondheid en door de agentschappen van de andere gefedereerde entiteiten immers aangeduid als belangrijk symptoom van COVID-19. De toegang tot een woonzorgcentrum diende te worden geweigerd aan personen die dit symptoom vertoonden. In die periode was het volgens de verweerder dan ook gangbaar in België dat de temperatuur werd opgemeten van bepaalde personen, zoals bezoekers van een ziekenhuis of werknemers op de werkvloer. In deze context besloot de verweerder om de temperatuur van alle bezoekers op te meten alvorens zij de voorziening mochten betreden, teneinde te kunnen nagaan of de verklaring op eer8 accuraat werd ingevuld. 39. De verweerder benadrukt echter dat de verklaring op eer, zoals van toepassing op het moment van het indienen van de klacht, geen gemeten lichaamstemperatuur en medicatiegebruik meer opvraagt. De verweerder heeft dit immers aangepast naar aanleiding van de melding van de klager op 17 juli 2020 aan de DPO van de verweerder. Op 31 juli 2020 werd een aangepaste versie van de verklaring op eer bezorgd aan de klager, waarin de lichaamstemperatuur van de bezoeker niet meer werd opgevraagd. 9 Ook werd de 6 Koninklijk Besluit nr. 44 van 26 juni 2020 betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde regionale overheden of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek- of opsporing bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank van Sciensano (hierna KB nr. 44) 7 Samenwerkingsakkoord van 25 augustus 2020 tussen de Federale staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie, betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van contactonderzoek- of opsporing bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano (hierna: Samenwerkingsakkoord contactopsporing). 8 Stuk 2. Verklaring op eer versie 1 – Stukkenbundel conclusie van repliek verweerder 9 Stuk 8. Verklaring op eer versie 2 – Stukkenbundel conclusie van repliek verweerder Beslissing ten gronde 75/2025 — 12/35 bepaling – met betrekking tot het niet nemen van enige koortswerende medicatie in de 12 uur voorafgaand aan het bezoek aan de voorziening – uit de verklaring op eer weggehaald. Met betrekking tot de vaststelling in het inspectieverslag – waarin wordt gesteld dat het registreren van een “check of een temperatuurmeting werd uitgevoerd” en een “checkveld temperatuurcontrole” neerkomt op het verwerken van gezondheidsgegevens – voert de verweerder aan dat de Inspectiedienst volgens haar een foutieve interpretatie heeft gemaakt. Volgens de verweerder gaat de Inspectiedienst voorbij aan het feit dat de gemeten temperatuur zelf niet werd verwerkt, maar enkel het gegeven of er al dan niet een temperatuurmeting werd uitgevoerd door de bezoeker. De verweerder stelt dat de loutere controle of een temperatuurmeting wordt uitgevoerd, op zich geen gezondheidsgegeven vormt. Tot slot geeft de verweerder aan dat zij, rekening houdend met de aangepaste maatregelen van de gefedereerde entiteiten en met het inspectieverslag, heeft besloten om ook de checkbox met betrekking tot de temperatuurmeting te schrappen, zowel voor het papieren registratieformulier als voor de registratie middels de digitale bezoekersapplicatie. 40. De verweerder voert aan dat, indien de Geschillenkamer het begrip ‘gezondheidsgegeven’ ruim zou interpreteren, en oordeelt dat de registratie van de gegevens in de verklaring op eer (versie 2) een verwerking van gezondheidsgegevens uitmaakt, zij zich beroept op artikel 9.2.
14. i)AVG in samenhang gelezen met artikel 6.1.
15. c)AVG om die verwerking te rechtvaardigen. De verweerder voert aan dat de gegevens in de verklaring op eer door haar kunnen worden verwerkt, omdat dit noodzakelijk is om redenen van algemeen belang op het gebied van volksgezondheid. De verweerder wijst op overweging 46 AVG, dewelke expliciet stelt dat deze rechtsgrond kan worden gebruikt voor het verwerken van gezondheidsgegevens in het kader van een pandemie. Tevens wijst de verweerder op de Verklaring van de EDPB inzake de verwerking van persoonsgegevens in het kader van de COVID-19-uitbraak, die volgens haar stelt dat ze gezondheidsgegevens kan verwerken van in het kader van de COVID-19-crisis indien dit van zwaarwegend algemeen belang is op het gebied van volksgezondheid.10 41. Naar aanleiding van de gewijzigde maatregelen van het Agentschap Zorg en Gezondheid heeft de verweerder op 14 december 2020 besloten om een gewijzigde versie van de verklaring op eer op te stellen11, naar het voorbeeld van voornoemd agentschap.
16. c)Beoordeling Geschillenkamer 42. De Geschillenkamer stelt vast dat de verklaring op eer, zoals deze werd doorgestuurd naar de klager op 17 juli 2020 (versie 1) vraagt naar de gemeten temperatuur van de bezoeker op de dag van het bezoek. De klager is gerechtigd ook een klacht in te dienen over praktijken die hem rechtstreeks betreffen, ook al werden deze praktijken voorafgaand aan het 10 EDPB, Verklaring over de verwerking van persoonsgegevens in het kader van de uitbraak van COVID-19, 19 maart 2020 11 Stuk 24. Verklaring op eer versie 3 – Stukkenbundel conclusie van repliek verweerder Beslissing ten gronde 75/2025 — 13/35 indienen van de klacht gewijzigd.12 Er kan niet worden ontkend dat de klager, wiens grootvader in een woonzorgcentrum van de verweerder verbleef op het moment van de feiten, een rechtstreeks en persoonlijk belang had bij de litigieuze praktijken inzake gegevensbescherming van de verweerder. De Geschillenkamer stelt tevens vast dat de verweerder de temperatuur van alle bezoekers opmat alvorens zij de voorziening mochten betreden, teneinde te kunnen nagaan of de verklaring op eer accuraat werd ingevuld. Daarnaast stelt de Geschillenkamer vast dat de verklaring op eer de bezoeker vraagt te verklaren dat hij, “in de 12u voorafgaand aan het bezoek, geen enkele koortswerende behandeling heeft ondergaan of medicatie heeft ingenomen tegen koorts (zoals paracetamol, ontstekingsremmende middelen, aspirine, enz.).” 43. De Geschillenkamer brengt in herinnering dat de AVG “gegevens over gezondheid” conform artikel 4.15. definieert als ‘persoonsgegeven die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven.’ De Geschillenkamer oordeelt dat het buiten kijf staat dat iemands lichaamstemperatuur een gezondheidsgegeven uitmaakt, aangezien die informatie een aspect van iemands fysieke gezondheid kan onthullen, namelijk de aanwezigheid van koorts. De Geschillenkamer oordeelt eveneens dat de vraag naar iemands medicatiegebruik in de laatste 12 uur tevens een gezondheidsgegeven uitmaakt.13 Daarnaast stelt de Geschillenkamer onmiskenbaar vast dat de verweerder de lichaamstemperatuur van bezoekers verwerkte, gezien zij de opgegeven temperatuur op de verklaring op eer vergeleek met de temperatuur die gemeten werd in het woonzorgcentrum op de dag van het bezoek. Bovendien werd de toegang tot het woonzorgcentrum geweigerd indien de bezoeker de verklaring op eer weigerde in te vullen, of indien er bij de bezoeker een verhoogde lichaamstemperatuur werd vastgesteld. 44. De Geschillenkamer brengt in herinnering dat, conform artikel 9.1. AVG, gezondheidsgegevens een bijzondere categorie van persoonsgegevens zijn, waarvan de verwerking principieel verboden is. De verweerder moet derhalve kunnen aantonen dat zij een uitzondering in de zin van artikel 9.2. AVG kan inroepen om niet te zijn onderworpen aan het verwerkingsverbod. Wat betreft het registreren en controleren van de lichaamstemperatuur van de bezoeker, en wat betreft de vraag naar zijn medicatiegebruik, stelt de Geschillenkamer vast dat de verweerder op geen enkele wijze een rechtsgrond naar 12 Vgl. mutatis mutandis, Cass. 15 oktober 2021, C.0323.N, §3 : « Uit het geheel van voornoemde wetsbepalingen volgt onmiskenbaar dat een betrokkene het recht heeft om een klacht in te dienen bij de Gegevensbeschermingsautoriteit tegen een verwerkingspraktijk waarvan hij meent dat deze inbreuk maakt op zijn rechten uit hoofde van de AVG, zoals het recht om zijn persoonsgegevens minimaal te laten verwerken, krachtens artikel 5, lid 1, c), AVG, opdat hij van een voordeel of dienst kan genieten. Dit is ook het geval wanneer de persoonsgegevens van de betrokkene zelf niet werden verwerkt, maar deze het voordeel of de dienst niet heeft verkregen, doordat hij, precies omwille van het bestaan van de vermeend inbreukmakende praktijk, zijn toestemming met de verwerking heeft geweigerd. » 13 Vgl. inzake de interpretatie van wat kwalificeert als gezondheidsgegeven: HvJEU arrest van 4 oktober 2024, ND DR, C-21/23, §§81-83 Beslissing ten gronde 75/2025 — 14/35 voren schuift die haar ontheft van het principiële verbod op het verwerken van dergelijke gezondheidsgegevens. Integendeel stelt de Geschillenkamer vast dat de verweerder, na aanmaning door de klager, heeft ingezien dat zij voornoemde gezondheidsgegevens onrechtmatig verwerkte, waarna zij heeft besloten om de verklaring op eer overeenkomstig aan te passen. Daarnaast merkt Geschillenkamer op dat de tijdelijke maatregelen van het Agentschap Zorg en Gezondheid, waarop verweerder zich baseert voor de verwerking van de andere gegevens in de verklaring op eer, duidelijk stellen dat het nemen van de lichaamstemperatuur bij het betreden van de voorziening weinig zinvol blijkt. 45. Om die redenen oordeelt de Geschillenkamer dat de verweerder een inbreuk pleegde op artikel 9.1. AVG voor het verwerken van de lichaamstemperatuur en het medicatiegebruik van bezoekers gedurende de periode voorafgaand aan voornoemde aanpassingen. 46. Zoals nader toegelicht in paragraaf 5 van deze beslissing, beslist de verweerder in de aangepaste versie van de verklaring op eer (versie 2) te werken met een checkbox, waarmee de bezoeker dient te verklaren dat hij een temperatuurmeting heeft uitgevoerd. In afwijking van het Inspectieverslag gaat de Geschillenkamer akkoord met het standpunt van de verweerder dat een loutere controle of iemand een temperatuurmeting heeft uitgevoerd, zonder de lichaamstemperatuur te registreren of anderszins te verwerken, geen verwerking van gezondheidsgegevens uitmaakt die valt onder het verwerkingsverbod van artikel 9.1. AVG. In het licht van het beginsel van minimale gegevensverwerking (artikel 5.1.
17. c)AVG) steunt de Geschillenkamer het initiatief van de verweerder om ook de checkbox met betrekking tot de temperatuurmeting te schrappen uit de verklaring op eer. Om die redenen oordeelt de Geschillenkamer dat de verweerder geen inbreuk pleegde op artikel 9.1. AVG voor het verwerken van het loutere gegeven of een bezoeker een temperatuurmeting heeft uitgevoerd. 47. De Geschillenkamer stelt vast dat de aangepaste verklaring op eer (versie 2), zoals ingevuld door de klager naar aanleiding van het bezoek aan zijn grootvader op 20 augustus 2020, volgende gegevens verzamelde: o Naam, voornaam, adres, telefoonnummer en e-mailadres (optioneel) van de bezoeker. o De relatie van de bezoeker tot de bewoner en de naam van de bewoner. o De verklaring van de bezoeker dat hij/zij de dag van vandaag geen symptomen heeft die wijzen op de aanwezigheid van het COVID-19-virus, met name symptomen als koorts, ademhalingssymptomen (hoesten, moeite met ademen), griepsymptomen (hoofdpijn, spierpijn), zware vermoeidheid, algemeen gevoel van onbehagen/ziekte, spijsversteringssymptomen (diarree, misselijkheid, braken) of het verdwijnen of veranderen van smaak en/of geur. Beslissing ten gronde 75/2025 — 15/35 o De verklaring van de bezoeker dat hij/zij de afgelopen 15 geen van deze symptomen heeft gehad. o De verklaring van de bezoeker dat er bij hem/haar de afgelopen 15 dagen geen COVID19-diagnose is gesteld (via neus- en/of bloedonderzoek). o De verklaring van de bezoeker dat hij/zij in de afgelopen 15 dagen geen nauw en/of langdurig contact heeft gehad met een zieke persoon die verdacht of bevestigd besmet is met COVID-19. o De verklaring van de bezoeker dat hij/zij in het kader van de regeling rond reizen naar eventuele risicogebieden, niet verplicht en ook niet aanbevolen in thuisisolatie of quarantaine zit. 48. De Geschillenkamer stelt vast dat de verweerder zich beroept op artikel 6.1.
18. c)AVG om de gegevens opgesomd in paragraaf 47 te verwerken, in de veronderstelling dat dit geen gezondheidsgegevens zijn. Daarnaast stelt de Geschillenkamer vast dat de verweerder aanvoert dat, indien de Geschillenkamer het begrip ‘gezondheidsgegeven’ ruim zou interpreteren, en oordeelt dat de registratie van voornoemde gegevens een verwerking van gezondheidsgegevens uitmaakt, zij zich beroept op artikel 9.2.
19. i)AVG in samenhang gelezen met artikel 6.1.
20. c)AVG om die verwerking te rechtvaardigen. 49. De Geschillenkamer wijst er allereerst op dat het de verweerder toekomt om voorafgaand aan de verwerking zelf te beoordelen of de gegevens die zij wil verwerken gezondheidsgegevens uitmaken en hier desgevallend een gepaste rechtsgrond voor te vinden. Desondanks verduidelijkt de Geschillenkamer dat gegevens over de afwezigheid van COVID-19-symptomen of -diagnoses, het ontbreken van contact met (mogelijk) besmette personen, en verklaringen dat men niet in thuisisolatie of quarantaine verblijft, wel degelijk kwalificeren als gezondheidsgegevens zoals bedoeld in artikel 4.15 AVG. 14 De Geschillenkamer neemt nota dat de verweerder zich voor de verwerking van deze gegevens aldus beroept op artikel 9.2.
21. i)AVG in samenhang met artikel 6.1.
22. c)AVG. Voor de verwerking van de contactgegevens van de bezoeker beroept zij zich enkel op artikel 6.1.
23. c)AVG. ▪ 50. Wat betreft de verwerking van contactgegevens van bezoekers De Geschillenkamer stelt vast dat voor de verwerking van de (voor)naam, het adres en het telefoonnummer van de bezoeker, de verweerder zich beroept op de wettelijk verplichte bezoekersregistratie die zij moest uitvoeren, die noodzakelijk was teneinde de door de verschillende gefedereerde entiteiten opgelegde contactopsporing mogelijk te maken binnen de collectiviteit van het woonzorgcentrum. De verweerder verwijst hiervoor naar het 14 Vgl. HvJEU Arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, §§ 125-127. Beslissing ten gronde 75/2025 — 16/35 Koninklijk Besluit nr. 44 van 26 juni 2020 15 (een materiële wettelijke norm), later vervangen door het Samenwerkingsakkoord van 25 augustus 2020 (een formele wettelijke norm).16 Er werd middels het artikel 19 in die laatste norm terugwerkende kracht verleend aan het voornoemd K.B. nr. 44 – waaromtrent het Grondwettelijk Hof geen specifieke problemen opwierp in een arrest over het Samenwerkingsakkoord. 17 De Geschillenkamer merkt op dat de tijdelijke maatregelen van 9 juli 2020 van het Agentschap Zorg en Gezondheid in dit verband het volgende vermelden: “Alle externe zorg- en dienstverleners, vrijwilligers en bezoekers die een woonzorgcentrum, een centrum voor kortverblijf type 1 of een centrum voor herstelverblijf betreden, worden, in het kader van het contactonderzoek geregistreerd met aandacht voor de algemene verordening gegevensbescherming, met minimaal volgende gegevens: naam, adres, telefoonnummer en, indien van toepassing, band met de bewoner. Deze voorziening maakt duidelijke afspraken over waar en hoe deze gegevens bewaard worden en gebruikt deze niet voor een verwerking anders dan in het kader van het contactonderzoek.” 51. Op basis van bovenstaande, concludeert de Geschillenkamer dat de verweerder rechtmatig kon steunen op artikel 6.1.
24. c)AVG voor de verwerking van de (voor)naam, het adres, het telefoonnummer van de bezoeker en, indien van toepassing, de band met de bewoner die hij/zij bezoekt. Voornoemd Koninklijk Besluit en Samenwerkingsakkoord hebben als doel een gecoördineerde en efficiënte aanpak van het contactonderzoek naar COVID-19 in België te waarborgen. De Geschillenkamer acht de verwerking van voornoemde contactgegevens noodzakelijk om bezoekers die in aanraking zijn gekomen met een hoog/laag risicocontact in het woonzorgcentrum snel te informeren. De Geschillenkamer begrijpt dat die informatie de betrokken bezoeker op korte termijn moet bereiken, waardoor de verwerking van voornoemde contactgegevens als noodzakelijk dient te worden beschouwd om te voldoen aan haar wettelijke verplichting een bijdrage te leveren aan de samenwerking met betrekking tot contactopsporing zoals vastgelegd in voornoemd K.B. en Samenwerkingsakkoord. 15 Koninklijk Besluit nr. 44 van 26 juni 2020 betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde regionale overheden of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek- of opsporing bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank van Sciensano (hierna KB nr. 44) 16 Samenwerkingsakkoord van 25 augustus 2020 tussen de Federale staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie, betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van contactonderzoek- of opsporing bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano (hierna: Samenwerkingsakkoord contactopsporing). 17 Grondwettelijk Hof arrest van 22 september 2022, nr. 110/2022, §B.1.5. Beslissing ten gronde 75/2025 — 17/35 ▪ 52. Wat betreft de verwerking van de gezondheidsgegevens in de verklaring op eer Zoals de Geschillenkamer reeds eerder heeft geoordeeld 18 moet de verwerking van bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG gebaseerd zijn op artikel 9.2 van de AVG, gelezen in samenhang met artikel 6.1 van de AVG. 19 Dit wordt ook bevestigd door overweging 51 van de AVG waarin het volgende staat over de verwerking van bijzondere categorieën van persoonsgegevens: "Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking”.20 53. De Geschillenkamer benadrukt dat de verweerder zich slechts kan beroepen op de rechtmatigheidsgrondslag van artikel 6.1.
25. c)AVG en op de uitzondering waarin artikel 9.2.
26. i)van de AVG voorziet, indien zij aantoont: (
27. i)Dat er een belangrijke reden van algemeen belang op het gebied van de volksgezondheid is (art. 9.2. i)); (
28. ii)Dat er een wettelijke bepaling bestaat waarop de verweerder zich rechtsgeldig kan beroepen conform de artikelen 6.1. c), 6.3. en 9.2.
29. i)van de AVG; (iii) Dat de betrokken verwerkingen noodzakelijk zijn om te voldoen aan de wettelijke verplichting die wordt ingeroepen conform artikel 6.1.
30. c)AVG; alsook nodig voor redenen van algemeen belang op het gebied van volksgezondheid conform artikel 9.2.
31. i)AVG. 54. Met betrekking tot het eerste constitutieve element (
32. i)heeft de GBA reeds eerder beslist dat er geen twijfel over kan bestaan dat de bestrijding van de COVID-19-pandemie moet worden beschouwd als een ‘zwaarwegend algemeen belang op het gebied van volksgezondheid’ in de zin van artikel 9.2.
33. i)AVG. Zoals de verweerder aanvoert, staat dit uitdrukkelijk vermeld in overweging 46 van de AVG, waarin wordt verwezen naar “[het 18 Cfr. de beslissing ten gronde 76/2021, punt 33, en de beslissing ten gronde 47/2022, punt 81 19 Zie in dit verband: GEORGIEVA, L. en KUNER, C., "Article 9. Processing of special categories of personal data” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, p. 37: "The Commission has stated that the processing of sensitive data must always be supported by a legal basis under Article 6 GDPR, in addition to compliance with one of the situations covered in Article 9