Beslissing ten gronde nr. 78/2021

1/6 Geschillenkamer Beslissing ten gronde 78/2021 van 14 juli 2021 Dossiernummer : DOS-2019-05089 Betreft : Doorgifte door een bank van persoonsgegevens van een klant, zonder diens toestemming, aan een andere bankagent De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Dirk Van Der Kelen en Romain Robert; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: . De klager: Mevrouw X, hierna “de klager”; . . De verweerder: Y, hierna “de verweerder”. Beslissing ten gronde 78/2021 - 2/6 I. Feiten en procedure

1. Op 4 oktober 2019 diende de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. Het voorwerp van de klacht betreft de doorgifte door de verweerder van klantgegevens zonder toestemming van de klager aan een andere kantoorhouder, dit naar aanleiding van de beslissing van de verweerder tot definitieve stopzetting van de samenwerking met de kantoorhouder die de bankportefeuille van de klager beheerde.
2. Op 7 oktober 2019 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, §1 WOG overgemaakt aan de Geschillenkamer.
3. Op 4 december 2019 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde.
4. Op 5 december 2019 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in art. 98 WOG. Tevens worden zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 14 januari 2020, deze voor de conclusie van repliek van de klager op 28 januari 2020 en deze voor de conclusie van repliek van de verweerder op 11 februari
6. Op 9 december 2019 vraagt de klager een kopie van het dossier (art. 95, §2, 3° WOG), dewelke haar werd overgemaakt op 17 december
7. De klager aanvaardt elektronisch alle communicatie omtrent de zaak.
8. Op 10 januari 2020 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak.
9. Op 13 januari 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. De verweerder stelt dat hij werkt met een netwerk van zelfstandige bankagenten, hetwelk valt te onderscheiden van zelfstandige makelaars. De zelfstandige bankagenten werken in naam en voor rekening van de verweerder en treden op als verwerkers, dewelke allen werken op het Y IT platform, volgens dezelfde Y processen en zijn aan dezelfde procedures, gedragsregels en controles onderworpen. Hierdoor is de klant geen klant bij de zelfstandige bankagent, maar wel bij de verweerder. Dit betekent dat er geen gegevensdoorgifte is van een verwerkingsverantwoordelijke naar een andere verwerkingsverantwoordelijke, omdat de gegevens binnen Y blijven en aldus bij dezelfde verwerkingsverantwoordelijke. De klanten worden hierover geïnformeerd in het Algemeen reglement van de bankverrichtingen, alsook in de privacyverklaring van de verweerder. Beslissing ten gronde 78/2021 - 3/6 Het beheer van de gegevens van de klager werd overgedragen naar een ander bankkantoor ingevolge de stopzetting van de samenwerking met het toenmalig beherend kantoor van de klager. Dergelijke overdracht was volgens de verweerder noodzakelijk om de continuïteit van de dienstverlening te waarborgen. Normaliter worden bij een overdracht van het beheer van klantenportefeuille de klanten enkele weken vooraf op de hoogte gebracht en hebben deze tijd om te reageren. In voorliggend geval werd de samenwerking met de beherende bankagent echter stopgezet op korte termijn waardoor de klager niet beschikte over de nodige tijd om te reageren, maar deze behoudt wel steeds de mogelijkheid om na de overdracht van bankagent te veranderen. De verweerder voegt hieraan toe dat er binnen Y een werkgroep actief is om het proces van overdracht van klantportefeuille en de communicatie klantvriendelijker te maken.
10. Hierop ontvangt de Geschillenkamer geen conclusie van repliek van de klager, alsook geen conclusie van repliek vanwege de verweerder. II. Motivering II.
12. De Onderlinge verhouding tussen verwerkingsverantwoordelijke en verwerker Geschillenkamer stelt vast dat de verweerder moet worden aangemerkt als verwerkingsverantwoordelijke in de zin van artikel
13. 7) AVG
14. De verweerder verwijst in dat verband niet alleen naar het door Y gehanteerde Algemeen reglement van de bankverrichtingen, meer bepaald 1.7.2.: “De bank treedt op als verwerkingsverantwoordelijke voor de verwerking van de persoonsgegevens van de klant”. Ook in de privacyverklaring wordt uitdrukkelijk vermeld dat Y de verwerkingsverantwoordelijke is en de persoonsgegevens verwerkt voor het beheer van het klantenbestand, het globaal klantbeeld, de rekeningen en transacties, beleggingen en kredieten. In 1.1.1 van het Algemeen reglement van de bankverrichtingen wordt toegelicht dat de verweerder deze activiteiten onder meer uitoefent door middel van een kantorennet van zelfstandige bankagenten, dewelke werken in naam en voor rekening van de verweerder. Dit betekent dat de kantoorhouders die optreden als zelfstandige bankagenten voor de verweerder, moeten worden aangemerkt als verwerkers in de zin van artikel
15. 8) AVG
16. 1 Artikel 4 AVG […] 7) „verwerkingsverantwoordelijke” :een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; 2 Artikel 4 AVG […] 8) „verwerker”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt; Beslissing ten gronde 78/2021 - 4/6
17. In casu werden de persoonsgegevens van de klager die klant was bij een bankagent van de verweerder overgedragen aan een andere bankagent in het kader van de stopzetting van activiteiten van de eerste bankagent, dit teneinde de continuïteit van de financiële dienstverlening te waarborgen. II.
18. Rechtmatigheid van de verwerking
19. De Geschillenkamer wijst erop dat de mededeling van de persoonsgegevens van de klager binnen de organisatie van de verweerder heeft plaatsgevonden tussen twee verwerkers, zijnde de voormalige en de nieuwe bankagent dewelke beiden optreden voor de verweerder. Er is aldus geen sprake van enige doorgifte van de gegevens van de klager aan een derde partij
21. De nieuwe bankagent heeft de gegevens van de klager louter verkregen in zijn hoedanigheid van verwerker. Hieruit volgt dat de gegevens binnen de organisatie zijn gebleven van de verweerder als zijnde verwerkingsverantwoordelijke, dewelke aldus ongewijzigd is gebleven.
22. De gegevensverwerking, meer bepaald de overdracht aan de nieuwe bankagent, vindt plaats voor de doeleinden zoals vermeld in punt 4 van de voormelde privacyverklaring van de verweerder: “-het beheer van het klantenbestand en het globaal klantbeeld; -het beheer van de rekeningen en transacties; -het beheer van de beleggingen en de financiële instrumenten die de klant heeft onderschreven; -de toekenning en het beheer van het aangevraagde krediet; -de toekenning en beheer van verzekeringsproducten; -een profiel opstellen op grond waarvan we bepaalde producten kunnen voorstellen.” 3 Artikel 4 AVG […] 10) „derde”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de betrokkene, noch de verwerkingsverantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de verwerkingsverantwoordelijke of de verwerker gemachtigd zijn om de persoonsgegevens te verwerken; Beslissing ten gronde 78/2021 - 5/6
23. De rechtsgrond waarop de gegevensverwerking van de klager is gebaseerd, is eveneens onveranderd gebleven. Uitgaande van artikel 6.1 AVG4 stelt de Geschillenkamer vast dat in de privacyverklaring 5 van de verweerder is opgenomen dat persoonsgegevens van klanten worden verwerkt met de volgende rechtsgronden: “- in het kader van de uitvoering van een contract of het nemen van precontractuele maatregelen; -om aan alle wettelijke of reglementaire bepalingen waaraan wij zijn onderworpen te kunnen voldoen; -om redenen die het gerechtvaardigde belang van de bank betreffen. […]”
24. De rechtsgrond op basis van dewelke de klager haar persoonsgegevens aan de voormalige bankagent heeft verstrekt en door die bankagent konden worden verwerkt, is dezelfde gebleven zoals beschreven in de privacyverklaring. Uit geen enkel feitelijk element dat tot het dossier behoort, vloeit voort dat – in tegenstelling tot wat de klager voorhoudt – voor de overdracht van de persoonsgegevens aan de nieuwe bankagent de toestemming van de klager (artikel 6.1 a) AVG) zou zijn vereist geweest.
25. Gelet op het voorgaande, gaat de Geschillenkamer over tot een technisch sepot waardoor aan deze klacht geen verder gevolg wordt gegeven, aangezien er geen sprake is van een inbreuk op de AVG. III. Publicatie van de beslissing
26. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. 4 Artikel 6.1 AVG De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. 5 [...] Beslissing ten gronde 78/2021 - 6/6 OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om op grond van artikel 100, §1, 1° WOG, voorliggende klacht te seponeren. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, Gegevensbeschermingsautoriteit als verweerder. (get.) Hielke Hijmans Voorzitter van de Geschillenkamer bij het Marktenhof, met de