1/18 Geschillenkamer Beslissing ten gronde 76/2025 van 24 april 2025 “Deze beslissing werd vernietigd door het Arrest 2025/AR/907 van het Marktenhof dd. 17 december 2025 in zoverre zij op grond van ar

Artikel 5

.1.a) AVG juncto artikel 6 AVG voor het onrechtmatig verkrijgen en verder verkopen van persoonsgegevens; b.

Artikel 24

.1 AVG wegens het niet afdoende controleren of een dataset rechtmatig tot stand is gekomen. II.2.

1. Betreffende het tweede middel van Y1
2. In hoofdorde verzoekt Y1 de Geschillenkamer om de klacht te seponeren omdat het een nevengeschil is bij een ruimer contractueel geschil. Zij stelt dat een contractuele betwisting tussen Z2 en Z3 de grondslag van de klacht vormt, en dat dit punt door een rechtbank beslecht moet worden. Daarbovenop stelt Y1 dat het geschil zich situeert binnen de regeling inzake telefoongidsen onder de Wet van 13 juni 2005 betreffende de elektronische communicatie, waardoor het Belgisch Instituut voor postdiensten en telecommunicatie (hierna “BIPT”) de bevoegde autoriteit is.
3. De Geschillenkamer verwijst naar haar sepotbeleid, waarin het feit dat een klacht een nevengeschil is bij een ruimer geschil dat moet worden beslecht voor een rechtbank of een andere bevoegde autoriteit, een criterium vormt voor seponering om redenen van opportuniteit. Wanneer dit criterium van toepassing is, beslist de Geschillenkamer om de klacht al dan niet te behandelen afhankelijk van de maatschappelijke en/of persoonlijke impact van de grieven. In het onderhavige geval merkt de Geschillenkamer vooreerst op dat het sepotbeleid de discretionaire bevoegdheid om een zaak al dan niet te behandelen geenszins inperkt. Ten overvloede merkt de Geschillenkamer op dat er sprake is van profilerende activiteiten en op grote schaal verwerkte gegevens bij het versturen van geadresseerde direct-marketing naar een toegespitst doelpubliek, waardoor zij oordeelt dat er een grote maatschappelijke impact is. Derhalve acht de Geschillenkamer het opportuun om deze klacht te behandelen. Beslissing ten gronde 76/2025 — 6/18
4. Aangaande het argument dat de Wet van 13 juni 2005 betreffende de elektronische communicatie van toepassing is, en dat hierdoor het BIPT de bevoegde autoriteit is voor het onderhavige geschil, oordeelt de Geschillenkamer dat de eventuele toepasbaarheid van deze wet geen afbreuk doet aan haar bevoegdheid om toe te zien op de naleving van de AVG
6. Derhalve verwerpt de Geschillenkamer het tweede middel van Y1, waarbij zij verzoekt de klacht te seponeren. II.2.
7. Betreffende de inbreuk op artikel 5.1.a) AVG juncto artikel 6 AVG en artikel 24.1 AVG Voorafgaande opmerkingen
8. Voorafgaand aan de toetsing van artikel 5.1.a) juncto artikel 6 AVG, wenst de Geschillenkamer haar brief van 11 maart 2024 te preciseren. In deze brief nodigde zij Y1 uit om zich te verweren tegen een mogelijke inbreuk van artikel 5.1.a) juncto artikel 6 AVG voor “het onrechtmatig verkrijgen en verder verkopen van persoonsgegevens”. Y1 stelt in haar conclusies dat het “verkrijgen” van de persoonsgegevens slechts een bewerking betreft in het kader van een verwerking van persoonsgegevens die in zijn geheel moet worden beoordeeld. Met betrekking tot de mogelijke schending omwille van het onrechtmatig verder verkopen van persoonsgegevens stelt Y1 dat er geen sprake van een schending kan zijn aangezien er in de klacht noch in het administratief dossier enige aanwijzing of bewijs is dat Y1 persoonsgegevens zou hebben verkocht. De Geschillenkamer bevestigt deze interpretatie van artikel 5.1.a) juncto artikel 6 AVG, en beoordeelt derhalve de naleving van deze regels wat betreft de gegevensverwerking waarvoor Y1 verwerkingsverantwoordelijke was, in zijn geheel. Hierbij merkt zij eveneens op dat er geen aanwijzingen zijn dat Y1 de gegevens verder zou hebben verkocht.
9. Naast de

artikel 5.1.

1. a)juncto artikel 6.1 AVG, nodigde de Geschillenkamer Y1 in haar brief van 11 maart 2024 uit om zich te verweren tegen een mogelijke inbreuk van artikel 24.1 AVG, en meer bepaald “wegens het niet afdoende controleren of een dataset rechtmatig tot stand is gekomen”. Artikel 24 AVG vereist dat de verwerkingsverantwoordelijke, rekening houdend met de aard, de omvang, de context en het doel van de verwerking, passende technische en organisatorische maatregelen treft om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Deze verplichting is onlosmakelijk verbonden met artikel 5.2 AVG, waaruit volgt dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de bepalingen in artikel 5.1 AVG en deze moet kunnen aantonen. Artikel 5.2 en 1 Zie ook Beslissing ten gronde 19/2021 van 12 februari 2021 van de Geschillenkamer Beslissing ten gronde 76/2025 — 7/18 artikel 24 AVG leggen algemene verantwoordingsplichten en nalevingsvereisten op aan verantwoordelijken voor de verwerking van persoonsgegevens 2. 40. Hieruit volgt dat de verwerkingsverantwoordelijke volgens artikel 5.1.
2. a)juncto artikel 6 AVG, gelezen in samenhang met artikel 5.2 en artikel 24 AVG, moet waarborgen en kunnen aantonen dat de persoonsgegevens worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig is. Aangezien artikel 5.1.
3. a)juncto artikel 6 AVG mede wordt beoordeeld in het licht van artikel 24 AVG, kiest de Geschillenkamer ervoor de twee grieven in haar brief van 11 maart 2024 samen te beoordelen. Betreffende de mogelijke schending van artikel 5.1.
4. a)AVG juncto artikel 6 AVG en 24 AVG 41. Artikel 5.1.
5. a)AVG bepaalt dat persoonsgegevens op een ten aanzien van de betrokkenen rechtmatige, behoorlijke en transparante wijze moeten worden verwerkt. Voorts bepaalt artikel 6.1 AVG dat de verwerking van persoonsgegevens slechts rechtmatig is indien en voor zover deze rust op één van de in artikel 6.1.
6. a)–
7. f)AVG vastgelegde rechtsgronden. De verwerkingsverantwoordelijke dient voorafgaand aan de verwerking na te gaan of er wordt voldaan aan de voorwaarden van een van deze mogelijke rechtsgronden. Ten slotte moet de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. 42. In casu beroept Y1 zich op de rechtsgrond voorzien in artikel 6.1.
8. f)AVG. Deze rechtsgrond bepaalt dat de verwerking rechtmatig is voor zover die “noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”. De in deze bepaling bedoelde rechtsgrond moet volgens het Hof van Justitie restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven3 43. Het Hof van Justitie heeft geoordeeld dat in artikel 6.1.
9. f)AVG drie cumulatieve voorwaarden worden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn, te weten, ten eerste, de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde, ten tweede, de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het 2 Arrest van het Hof van Justitie van de Europese Unie van Gegevensbeschermingsautoriteit, C-129/21, ECLI-EU:C:2022:833, punt 81 3 27 oktober 2022, Proximus NV tegen HvJEU, arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond t. Autoriteit Persoonsgegevens, C-621/22, ECLI:EU:C:2024:857, punt 31 en aldaar aangehaalde rechtspraak Beslissing ten gronde 76/2025 — 8/18 gerechtvaardigde belang, en, ten derde, de voorwaarde dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde4. 44. Volgens Y1 zou er in casu geen inbreuk zijn op artikel 5.1.
10. a)AVG juncto artikel 6 AVG voor het onrechtmatig verkrijgen en verder verkopen van persoonsgegevens. Het doeleinde van de verwerking was de “contactopname met nieuwe geïnteresseerden die op basis van hun demografische kenmerken baat kunnen hebben bij een hoortoestel”, en vond plaats op basis van de rechtsgrond gerechtvaardigd belang (artikel 6.1.
11. f)AVG). Het bepalen van deze rechtsgrond werd, samen met een risicoanalyse, voorafgaandelijk aan de verwerking uitgevoerd en gedocumenteerd5. 45. Vooreerst stelt Y1 dat zij een gerechtvaardigd belang nastreeft. Zij verwijst hierbij onder andere naar overweging 47 AVG, waarin wordt bepaald dat “De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang”. 46. Voorts stelt Y1 dat zij ook voldeed aan de noodzakelijkheidsvoorwaarde. Zij zou slechts de persoonsgegevens hebben verwerkt die noodzakelijk waren voor het nagestreefde doeleinde (de contact name met prospecten), namelijk: naam, adres, postcode, taal en geslacht. Bovendien was Y1 contractueel slechts gerechtigd om de gegevens één keer te gebruiken. 47. De Geschillenkamer oordeelt dat een diepgaande analyse van met name de derde voorwaarde van toepassing is. 48. De derde voorwaarde houdt in dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke. Het Hof van Justitie heeft geoordeeld dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval. Om deze afweging te maken, biedt overweging 47 van de AVG een belangrijke parameter, aangezien hierin staat dat er rekening moet worden gehouden met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Deze "redelijke verwachtingen" zijn de verwachtingen die de betrokkene kan hebben ten aanzien van de verwerkingen die van zijn gegevens kunnen of zullen worden uitgevoerd, ten aanzien van de gegevens over hem die het voorwerp kunnen zijn van deze verwerkingen, en ten aanzien van de doel(einden) 4 HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 106 en aldaar aangehaalde rechtspraak 5 Stuk B.1 bij de syntheseconclusies van Y1 Beslissing ten gronde 76/2025 — 9/18 waarvoor ze zullen of kunnen worden verwerkt en door wie. Overweging 47 bepaalt ook dat de bestaande verhouding tussen de verwerkingsverantwoordelijke en de betrokkene van invloed is op het bepalen van de redelijke verwachtingen van de betrokkene. Een betrokkene zou bijvoorbeeld redelijkerwijs niet verwachten dat zijn gegevens worden verwerkt door een persoon met wie hij nog nooit contact heeft gehad. 49. Y1 stelt in haar syntheseconclusies dat haar eigen belangen, rekening houdend met de maatregelen die zij heeft voorzien, zwaarder doorwegen dan de rechten van de betrokkenen. In de eerste plaats stelt zij dat de betrokken brief intrusief noch risicovol was voor de rechten van de klager, en dat er in tegendeel een voordeel werd aangeboden (namelijk een gratis gehoortest). Bovendien zouden de betrokken gegevens niet gevoelig zijn, en was er geen grootschalige verwerking omdat de direct marketing campagne eenmalig werd verstuurd en de gegevens niet gecombineerd werden met gegevens verkregen van andere bronnen. 50. Dienaangaande merkt de Geschillenkamer in de eerste plaats op dat de brieven die werden verstuurd getituleerd werden met “Z1”, hetgeen een initiatief in het publieke belang zou kunnen suggereren aan de betrokkenen. Tijdens de hoorzitting verduidelijkte Y1 echter dat zij geen taak van algemeen belang uitoefende. Hieruit blijkt dat de brief misleidend zou kunnen zijn. In de tweede plaats merkt de Geschillenkamer op dat, hoewel de brief slecht eenmalig werd verstuurd, deze werd verstuurd naar een groep betrokkenen, en dat deze betrokkenen aangeschreven werden op basis van het feit dat zij deel uitmaken van een bepaalde leeftijdscategorie. Deze combinatie kan een gevoel creëren voor de betrokkenen dat als invasief kan worden ervaren. 51. Voorts stelt Y1 dat de klager redelijkerwijs had kunnen verwachten dat hij commerciële brieven zou ontvangen aangezien hij (volgens Z3) toestemming zou hebben gegeven voor het doorverkopen van zijn gegevens voor direct marketingdoeleinden. 52. In deze context herinnert de Geschillenkamer eraan dat artikel 24 AVG bepaalt dat verwerkingsverantwoordelijken passende technische en organisatorische maatregelen moeten treffen teneinde te waarborgen en te kunnen aantonen dat de verwerking van persoonsgegevens wordt uitgevoerd in overeenstemming met de beginselen en verplichtingen bekrachtigd in de AVG. Aldus moet de verwerkingsverantwoordelijke kunnen aantonen dat hij de gerechtvaardigde belangen die hij behartigt heeft afgewogen tegen de rechten en vrijheden van de betrokkenen en dat deze afweging in zijn voordeel uitvalt. In voorkomend geval moet de verwerkingsverantwoordelijke ook kunnen aantonen dat hij waarborgen heeft ingebouwd (bijvoorbeeld technische en organisatorische maatregelen) Beslissing ten gronde 76/2025 — 10/18 om ervoor te zorgen dat de rechten en vrijheden van de betrokkenen niet zwaarder wegen dan de gerechtvaardigde belangen6. 53. Y1 stelt dat zij passende technische en organisatorische maatregelen nam conform artikel 24.1 AVG. Ten eerste, had zij contractuele garanties van Y2 dat de adresgegevens conform de AVG gebruikt konden worden door Y1. In artikel 8 van de Algemene Voorwaarden van Y2 werd dan ook opgenomen dat zij “alle redelijke maatregelen [neemt] om zich ervan te verzekeren dat haar bronpartners die bepalingen van de AVG naleven, meer bepaald door hen een schriftelijke bevestiging hierover te vragen” 7. Een verder nazicht van de contractuele afspraken tussen Y2 en haar bronpartners (i.e. Z3) was volgens Y1 niet nodig omdat zij geen contractuele relatie had met deze partijen, en omdat zij op basis van de wettelijke verplichtingen van Z3 en Z2 een wettig vertrouwen mocht hebben dat de klager toestemming had gegeven voor de verwerking van zijn persoonsgegevens. Voorts stelt Y1 dat zij gebruik maakte van de Robinson-lijst zodat zij geen brieven verstuurde naar personen die daarmee aangeven geen geadresseerde reclame meer wensen te ontvangen. Ten derde verwijst Y1 naar de risicoanalyse en de mitigerende maatregelen die zij heeft genomen in het kader van de belangenafweging (zie hierboven), en ten vierde verwijst Y1 naar het feit dat een Functionaris voor Gegevensbescherming (Z4) haar geadviseerd heeft over de risico’s bij de gegevensverwerking8. Ten slotte stelt Y1 dat de onrechtmatige verwerking een gevolg is van een contractuele wanprestatie of een contractueel dispuut tussen Z2 en Z3, waarvan Y1 geen kennis kon hebben. Zij stelt dat geel enkele organisatorische maatregel redelijkerwijze ter beschikking was om zich hiervan te kunnen vergewissen 9. 54. Als verwerkingsverantwoordelijke is Y1 volgens de Geschillenkamer echter verplicht om zelf te kunnen aantonen dat haar verwerking van persoonsgegevens op een geldige rechtsgrond kon berusten. De Geschillenkamer heeft in het verleden10 bepaald dat het niet volstaat om zich als verwerkingsverantwoordelijke louter te beroepen op de vermeende ‘regulariteit’ van aangekochte persoonsgegevens of databanken. Het is immers de verantwoordelijkheid van de verwerkingsverantwoordelijken om, alvorens zij met intermediaire organisaties samenwerken om hun marketingcampagnes te verbeteren door bij hen persoonsgegevens op te vragen waarover zij nog niet beschikken, zich te vergewissen van de herkomst van de gegevens, na te gaan hoe ze werden verzameld, op welke rechtsgrond, door wie, voor welke doeleinden, gedurende welke termijn en voor welke 6 Aanbeveling 01/2025 over de verwerking van persoonsgegevens bij direct https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-01-2025-over-de-verwerking-vanpersoonsgegevens-bij-direct-marketing.pdf 7 marketing, Stuk B.2 bij de syntheseconclusies van Y1 8 Stuk B.1 bij de syntheseconclusies van Y1 9 Punt 70 van de syntheseconclusies van Y1 10 Beslissing ten gronde 137/2021 van 8 december 2021, § 36 en 37, https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-137-2021.pdf, beschikbaar via Beslissing ten gronde 76/2025 — 11/18 verwerkingen. De verwerkingsverantwoordelijke kan zich niet beperken tot het opnemen van een clausule in de overeenkomst met de gegevensmakelaar waarin wordt bepaald dat de makelaar de verplichting heeft om gegevens te verstrekken in overeenstemming met de wetgeving inzake gegevensbescherming (of een andere verplichting met dezelfde of soortgelijke strekking). Het bestaan van een dergelijke clausule is niet voldoende om de verantwoordelijkheid van de verwerkingsverantwoordelijke uit te sluiten in geval van een of meerdere schendingen van de AVG11. 55. Dit impliceert niet dat de verwerkingsverantwoordelijke verplicht is om de naleving van de AVG bij derde partijen na te gaan. Echter is zij wel verplicht om maatregelen te nemen om haar eigen naleving van de AVG te waarborgen, hetgeen impliceert dat zij in bepaalde omstandigheden rekening moet houden met de verwerking van persoonsgegevens in haar volledigheid, en vooral met betrekking op de oorspronkelijke verzameling van de persoonsgegevens. Dit is namelijk een essentieel element om te kunnen nagaan dat de betrokkene redelijkerwijs de verwerking van zijn persoonsgegevens kon verwachten, en als gevolg, of de verwerking in casu rechtmatig op artikel 6.1.
12. f)AVG kon worden gebaseerd. 56. In het onderhavige geval stelt Y1 dat de klager zijn toestemming zou hebben gegeven bij de oorspronkelijke verzameling van zijn gegevens. Op basis hiervan stelt zij dat de verwerking door Y1 binnen de redelijke verwachtingen van de betrokkene zou vallen. 57. De Geschillenkamer stelt allereerst vast dat Y1 geen concreet bewijs aanvoert voor deze stelling. Indien zij zich beroept op een veronderstelde toestemming in een eerdere fase van de gegevensverwerkingsketen, rust op haar als verwerkingsverantwoordelijke de plicht om deze toestemming aan te tonen. Het louter verwijzen naar verklaringen en contractuele afspraken met tussenpersonen (Y2 en Z3) volstaat niet. 58. Ten tweede, en ten overvloede, herinnert de Geschillenkamer eraan dat het enkele feit dat een betrokkene op enig moment toestemming heeft gegeven voor een verwerking, geen automatische legitimatie vormt voor latere verwerkingen. Toestemming in de zin van artikel 4, punt 11, AVG moet steeds vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, en geldt slechts binnen het kader waarvoor zij daadwerkelijk is verleend. 59. Bijgevolg kan het beroep op vermeende eerdere toestemming zonder bewijs hiervan geen draagkrachtige grond opleveren om te concluderen dat de verwerking in casu viel binnen de redelijke verwachtingen van de betrokkene. Gelet op het voorgaande oordeelt de Geschillenkamer dat Y1 niet aantoont dat de verwerking van persoonsgegevens redelijkerwijs te verwachten was door de klager. 11 Beslissing 163/2022 van 16 november 2022, § 25, beschikbaar via de https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-163-2022.pdf. volgende link: Beslissing ten gronde 76/2025 — 12/18 60. Daaruit volgt ook dat Y1 niet heeft aangetoond dat haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen. Aangezien de drieledige toets voor het verwerken van gegevens op basis van een gerechtvaardigd belang cumulatieve voorwaarden betreft, is het niet nodig om na te gaan of Y1 voldoet aan de overige twee voorwaarden van artikel 6.1.
13. f)AVG. Het Marktenhof heeft in dat verband reeds geoordeeld dat als er niet wordt voldaan aan één van de drie elementen van de drieledige toets, de Geschillenkamer correct kan motiveren dat artikel 6.1.
14. f)AVG geen mogelijke rechtsgrond kan uitmaken12. 61. In deze omstandigheden moet worden geoordeeld dat Y1 niet aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen, zodat de verwerking niet onder artikel 6.1.
15. f)AVG kan vallen. Aldus heeft zij de verplichtingen opgelegd door artikelen 5.1.a), 6.1 en 24 AVG geschonden. II.3. Ten aanzien van Y2 62. Y2 is een media agentschap dat gespecialiseerd is in direct marketing. In het onderhavige geval trad zij op als tussenpersoon tussen haar klant, Y1, en Z3, een bedrijf dat adressenbestanden aanbiedt. 63. Op 11 maart 2024 werd Y2 per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Zij werd uitgenodigd zich te verweren tegen: a.

Artikel 5

.1.a) AVG juncto artikel 6 AVG voor het onrechtmatig verkrijgen en verder verkopen van persoonsgegevens; b.

Artikel 24

.1 AVG wegens het niet afdoende controleren of een dataset rechtmatig tot stand is gekomen; c. 64.

artikel 12.2-4 AVG juncto artikel 15 en 17 AVG wegens het uitblijven van antwoord op verzoeken van de klager. Y2 stelt vooreerst dat zij geen verwerkingsverantwoordelijke was voor de verwerking. Zij zou louter als tussenpersoon hebben opgetreden, hetgeen inhoudt dat zij het adressenbestand dat Z3 naar haar doorstuurde overdroeg aan Y

1. Dit bestand werd niet gewijzigd of geopend door Y2, en werd verwijderd zodra Y1 de ontvangst ervan bevestigde. Het doel van de verwerking was, volgens Y2, om Y1 in staat te stellen de contactgegevens van potentiële klanten te verkrijgen om een direct-marketingcampagne uit te voeren per post. Hierdoor zou Y1 het doel en de middelen hebben vastgesteld, waardoor Y2 slechts als verwerker optrad. De Geschillenkamer volgt deze redenering niet. 12 Hof van Beroep van Brussel, 19de Kamer, Sectie Marktenhof, arrest van 14 juni 2023, NMBS t. GBA, 2022/AR/723, punt Beslissing ten gronde 76/2025 — 13/18
2. De AVG definieert een “verwerkingsverantwoordelijke” als de entiteit die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt
3. De EDPB heeft verduidelijkt dat het concept van verwerkingsverantwoordelijke betrekking heeft op de impact van de verwerkingsverantwoordelijke op de verwerking van gegevens, gebaseerd op een beslissingsbevoegdheid of controle over de verwerkingsactiviteiten. Zulke controle kan voortkomen uit wettelijke bepalingen, voortvloeien uit een impliciete bevoegdheid of gegrond zijn op de uitoefening van een feitelijke invloed
4. Deze analyse vereist een feitelijke beoordeling 15, waarbij bestaande regelingen getoetst worden aan de feitelijke omstandigheden van de relatie tussen de partijen
6. In casu blijkt uit de stukken in het dossier dat Y2 wel degelijk haar eigen doel had bij de verwerking, namelijk het verzamelen en beschikbaar stellen van gegevens aan haar klanten, en dat zij dit doel zelf bepaalde. Bovendien bepaalde zij ook zelf de middelen voor de verwerking, met name de manier waarop zij de gegevens ontving en doorgaf aan Y
7. Aldus oordeelt de Geschillenkamer dat Y2 verwerkingsverantwoordelijke was voor het bekomen van persoonsgegevens van Z3, en het doorgeven van deze gegevens aan Y
8. II.3.
9. Betreffende de inbreuk op artikel 5.1.a) AVG juncto artikel 6 AVG en artikel 24.1 AVG
10. De Geschillenkamer nodigde Y2 uit om zich te verweren tegen mogelijke inbreuken op artikel 5.1.a) juncto artikel 6.1 AVG, en artikel 24.1 AVG. Artikel 5.1.a) AVG bepaalt dat persoonsgegevens op een ten aanzien van de betrokkenen rechtmatige, behoorlijke en transparante wijze moeten worden verwerkt. Voorts bepaalt artikel 6.1 AVG dat de verwerking van persoonsgegevens slechts rechtmatig is indien en voor zover deze rust op één van de in artikel 6.1.a) – f) AVG vastgelegde rechtsgronden. De verwerkingsverantwoordelijke dient voorafgaand aan de verwerking na te gaan of er wordt voldaan aan de voorwaarden van een van deze mogelijke rechtsgronden. Ten slotte moet de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. 13 Artikel 4