Beslissing ten gronde nr. 78/2024

1/36 Geschillenkamer Beslissing ten gronde 78/2024 van 22 mei 2024 Dossiernummer : DOS-2022-04697 Betreft : Mededeling en publicatie loonfiche huurder in kader van verkoop onroerend goed De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager”; De verweerders: De heer Y1, hierna “de eerste verweerder”; en Y2, hierna “de tweede verweerder”; samen “de verweerders” genoemd, Beiden vertegenwoordigd door Mr. Bart Van Besien en Mr. Ilona Min, kantoorhoudende te 2800 Mechelen, K. De Deckerstraat 20 A. Beslissing ten gronde 78/2024 – 2/36 I. 1. Feiten en procedure Op 16 november 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen beide verweerders. De klager huurt een appartement waarvan de eerste verweerder de eigenaar is. Met het oog op het sluiten van de huurovereenkomst, heeft de eerste verweerder de loonfiche van de klager opgevraagd, hetgeen de klager overgemaakt heeft. Na verloop van tijd wenste de eerste verweerder zijn appartement te verkopen en schakelde hiervoor als immobiliënkantoor de tweede verweerder in. In dit kader heeft de tweede verweerder een brochure opgemaakt met informatie over het appartement. Omdat het appartement verhuurd zou worden verkocht, werd ook bepaalde informatie over de klager als huurder in de brochure opgenomen, waaronder ook de integrale loonfiche van de klager. Op 12 oktober 2022 liet een medewerker van de eerste verweerder echter een exemplaar van de brochure bestemd voor potentiële kopers achter in het appartement waardoor de klager heeft vastgesteld dat de brochure zijn integrale loonfiche bevat. Diezelfde dag nam de klager contact op met de tweede verweerder hieromtrent die hierop geantwoord heeft. Op 17 oktober 2022 verzoekt de klager de eerste verweerder om al zijn persoonsgegevens te verwijderen en iedere toekomstige verspreiding tegen te gaan. Op 21 oktober 2022 verzocht de klager per e-mail de bevestiging van de eerste verweerder dat zijn persoonsgegevens verwijderd werden en vroeg hij eveneens inzage in de verwerkte persoonsgegevens. Diezelfde dag bevestigde de tweede verweerder aan de klager dat al zijn persoonsgegevens verwijderd werden en hij bood zijn verontschuldigingen aan. Op 4 november 2022 verzoekt de klager de functionaris voor gegevensbescherming om een lijst van informatie die de tweede verweerder van de klager had en informatie over de personen aan wie deze informatie werd doorgegeven. De klager ontvangt een out of office-bericht aangezien de functionaris voor gegevensbescherming sinds kort niet meer werkzaam was bij de tweede verweerder. In dit out of office-bericht worden contactgegevens verstrekt, waaronder […]. De klager heeft bijgevolg zijn verzoek gericht naar dit e-mailadres maar stelt geen antwoord ontvangen te hebben. 2. Op 21 november 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 5 januari 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 4. Op 5 januari 2023 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens Beslissing ten gronde 78/2024 – 3/36 worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerders werd daarbij vastgelegd op 16 februari 2023, deze voor de conclusie van repliek van de klager op 9 maart 2023 en deze voor de conclusie van repliek van de verweerders op 30 maart 2023. 5. Op 12 januari 2023 worden de partijen in kennis gesteld van de aangepaste conclusietermijnen gelet op enerzijds het verzoek hiertoe vanwege de tweede verweerder omwille van technische problemen met het raadplegen van het dossier, en anderzijds de niet-aflevering van de brief dd. 5 januari 2023 aan de tweede verweerder. 6. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerders werd daarbij vastgelegd op 27 februari 2023, deze voor de conclusie van repliek van de klager op 20 maart 2023 en deze voor de conclusie van repliek van de verweerders op 10 april 2023. 7. Op 16 februari 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerders gezamenlijk. In hoofdorde verzoeken de verweerders de klacht onontvankelijk te verklaren wegens een bemiddelingsclausule die werd overeengekomen door de partijen en waardoor enkel de Kamer van Arbitrage en Bemiddeling bevoegd is om te oordelen over geschillen tussen partijen. Ten gronde voeren de verweerders vervolgens aan dat ten eerste de mededeling van de persoonsgegevens van de eerste verweerder aan de tweede verweerder een rechtmatige verdere verwerking in het kader van de verzameling van de loonfiches door de eerste verweerder op basis van artikel 6.1.

1. b)AVG zou zijn. Daarnaast stellen de verweerders dat deze verwerking ook in het gerechtvaardigd belang van de eerste verweerder, de klager en de potentiële kopers is, in het kader van de verkoop van het appartement. De verweerders voeren in hun conclusie aan dat deze persoonsgegevens werden opgenomen in de brochure door een te betreuren menselijke fout. Ten tweede werden de persoonsgegevens van de klager enkel verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De verdere verwerking is in dit kader te situeren, zijnde het verderzetten van de huur na verkoop van het appartement. Ten derde was de verwerking toereikend, ter zake dienend en proportioneel, aangezien het algemeen aanvaard is dat het overleggen van meerdere loonfiches een gepast instrument is voor verhuurders en vastgoedmakelaars om de inkomsten te kennen van de huurders. Ten vierde zijn de persoonsgegevens correct en actueel. Tot slot werden de persoonsgegevens niet langer bewaard dan noodzakelijk voor het doel van de verwerking. 8. Op 11 maart 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager. In hoofdorde voert de klager aan dat de klacht wel ontvankelijk is aangezien, enerzijds, de partijen in onderhavige procedures niet (allemaal) dezelfde partijen bij de huurovereenkomst zijn, en, anderzijds, omdat de litigieuze verwerkingen niet gelinkt zijn aan de huurovereenkomst. In ondergeschikte orde betoogt de klager dat er sprake is van een Beslissing ten gronde 78/2024 – 4/36 structureel probleem, en geen menselijke vergissing. Dit blijkt volgens de klager uit de volgende elementen. Ten eerste heeft de klager op het moment van indiening van zijn conclusies nog geen antwoord ontvangen op zijn verzoek tot inzage dd. 21 oktober 2023. Ten tweede was de functionaris voor gegevensbescherming reeds sinds 17 juni 2022 uit dienst getreden. Ten derde werden de mails naar de adressen van de functionaris voor gegevensbescherming niet beantwoord. De antwoorden die de klager wel ontvangt, zijn onvolledig. Tot slot voert de klager aan dat de verwerkingen onrechtmatig zijn en dat de loonfiches verouderd zijn omdat deze niet de huidige werkgever van de klager betreffen. 9. Op 30 maart 2023 heeft de Geschillenkamer de conclusie van dupliek ontvangen van de verweerders en geven zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. De verweerders hernemen vervolgens hun standpunten zoals uiteengezet in de conclusie van antwoord. 10. Op 21 april 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 2 juni 2023. 11. Op 2 juni 2023 worden de partijen gehoord door de Geschillenkamer. 12. Op 6 juni 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 13. Op 11 juni 2023 ontvangt de Geschillenkamer vanwege de klager enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 14. Op 13 juni 2023 ontvangt de Geschillenkamer vanwege de verweerders enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 15. Op 20 februari 2024 heeft de Geschillenkamer aan de tweede verweerder het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde de tweede verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 16. Op 8 maart 2024 ontvangt de Geschillenkamer de reactie van de tweede verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. II. Motivering II.1. Bevoegdheid van de Geschillenkamer 17. Volgens de verweerders is de Geschillenkamer niet bevoegd om de klacht te beoordelen. Zij houden voor dat de huurovereenkomst in artikel 18 een clausule bevat dat de partijen elk geschil tussen hen eerst zouden voorleggen aan bemiddeling voor de Kamer van Arbitrage Beslissing ten gronde 78/2024 – 5/36 en Bemiddeling en dit heeft de klager niet gedaan. Bijgevolg is de klacht onontvankelijk, zo stellen de verweerders. 18. De klager voert hiertegen aan dat de bemiddelingsclausule in de huurovereenkomst inderdaad stelt dat enkel de Kamer van Arbitrage en Bemiddeling bevoegd is om te oordelen over geschillen tussen de partijen. De klager wijst erop dat deze conclusie op onderhavig geschil niet van toepassing is aangezien de tweede verweerder geen partij is bij de huurovereenkomst in kwestie en het voorliggend geschil geen huurgeschil betreft. 19. De Geschillenkamer volgt de redenering van de verweerders niet en verwijst in dit verband naar overweging 141 van de AVG die luidt als volgt: “Iedere betrokkene dient het recht te hebben om een klacht in te dienen bij één enkele toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, en een doeltreffende voorziening in rechte in te stellen overeenkomstig artikel 47 van het [Handvest van de grondrechten van de Europese Unie] indien hij meent dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening of indien de toezichthoudende autoriteit niet optreedt naar aanleiding van een klacht, een klacht gedeeltelijk of geheel verwerpt of afwijst, of indien deze niet optreedt wanneer zulk optreden noodzakelijk is ter bescherming van de rechten van de betrokkene. [...]”. 20. Artikel 77, lid 1, van de AVG bepaalt: “Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.” 21. De GK verwijst bovendien naar het recente arrest Schufa, arrest C-26/22 en C-645/22 van het Hof van Justitie van de Europese Unie (hierna: “Hof van Justitie”) van 7 december 2023, waarin het Hof haar eerdere rechtspraak omtrent de klachtenprocedure heeft geconsolideerd en verduidelijk: […] overeenkomstig artikel 8, lid 3, van het Handvest alsook artikel 51, lid 1, en artikel 57, lid 1, onder a), AVG [zijn] de nationale toezichthoudende autoriteiten belast […] met het toezicht op de naleving van de Unieregels inzake de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens [..] In het bijzonder moet krachtens artikel 57, lid 1, onder f), AVG elke toezichthoudende autoriteit op haar grondgebied de klachten behandelen die eenieder overeenkomstig artikel 77, lid 1, van deze verordening het recht heeft in te dienen wanneer hij van oordeel is dat een verwerking van hem betreffende persoonsgegevens schending van die verordening oplevert, en het voorwerp van die klachten voor zover nodig moet onderzoeken. De Beslissing ten gronde 78/2024 – 6/36 toezichthoudende autoriteit moet een dergelijke klacht met de nodige voortvarendheid en zorgvuldigheid onderzoeken […] Hieruit volgt […] dat de klachtenprocedure, die niet te vergelijken valt met die van een petitie, is opgevat als een mechanisme waarmee de rechten en belangen van de betrokkenen doeltreffend kunnen worden beschermd. 1 22. Samengevat, het recht om een klacht in te dienen bij een Gegevensbeschermingsautoriteit en de verplichting van deze autoriteit om deze klacht te behandelen maken deel uit van het door het Handvest van de grondrechten van de Europese Unie gegarandeerde grondrecht op gegevensbescherming. Een dergelijk recht kan niet bij overeenkomst worden beperkt. 23. Bovendien is het afhankelijk maken van de toegang tot de toezichthoudende overheid van een voorafgaande bemiddeling, niet verenigbaar met de bovenstaande bepalingen en doelstellingen van de AVG. Ongeacht de eventuele bevoegdheid van de Kamer voor Bemiddeling en Arbitrage, sluit dergelijke bemiddelingsclausule bijgevolg de bevoegdheid van de Gegevensbeschermingsautoriteit als toezichthoudende overheid niet uit. Bijgevolg is de klacht ontvankelijk. II.2. Rechtmatigheid van de verwerking - artikel 5.1.
2. a)j° artikel 6.1 AVG en doelbindingsbeginsel als bedoeld in artikel 5.1.
3. b)AVG in combinatie met de nietnaleving van artikel 5.1.
4. c)(dataminimalisatie) en de informatieverplichting ex artikel 13 en 14 AVG. 24. Het komt toe aan de Geschillenkamer om te beoordelen of de verwerking door de eerste verweerder en vervolgens de tweede verweerder in overeenstemming is met het beginsel van rechtmatigheid en dus of de litigieuze verwerkingen gebaseerd zijn op een van de grondslagen uit artikel 6.1.AVG, gelezen in samenhang met het transparantiebeginsel, doelbindingsbeginsel en het beginsel van dataminimalisatie. II.2.1. Standpunt van de klager 25. Voor wat betreft het meedelen van de loonfiche door de eerste verweerder aan de tweede verweerder, werpt de klager op dat hij de loonfiche in kwestie enkel heeft overgemaakt aan de eerste verweerder met als enige doelstelling om zijn solvabiliteit aan te tonen in het kader van het sluiten van de huurovereenkomst. De klager stelt dat hij geen toestemming heeft gegeven om deze gegevens anderszins te gebruiken. II.2.2. Standpunt van de verweerders 26. De verweerders werpen op dat de klager bepaalde persoonsgegevens verstrekt heeft aan de eerste verweerder, als eigenaar en verhuurder van het appartement in kwestie met het oog op het aangaan van de huur. Voor deze verwerking stellen de verweerders dat deze 1 HvJ 7 december 2023, SCHUFA Holding, C-26/22 en C-645/22, ECLI:EU:C:2023:958, para 55-58. Beslissing ten gronde 78/2024 – 7/36 verwerking in overeenstemming is met artikel 5.1.a),
5. b)en
6. c)en artikel 6.1 AVG. Op het ogenblik van de tekoopstelling van het appartement heeft de eerste verweerder deze persoonsgegevens meegedeeld aan de tweede verweerder met als doel de verhuur van het appartement te kunnen doorzetten na de verkoop ervan. De verweerders wensten aldus zekerheid te verschaffen aan de potentiële investeerder/koper dat de huurder de huur effectief kon betalen. Bijgevolg is de mededeling van persoonsgegevens van de eerste verweerder aan de tweede verweerder een toegestane verdere verwerking, aangezien deze voortvloeit uit persoonsgegevens die rechtmatig werden bekomen door de eerste verweerder op basis van artikel 6.1.
7. b)AVG (de verwerking is noodzakelijk voor de uitvoering van de overeenkomst waarbij de betrokkene partij is). Daarnaast werpen de verweerders op dat de publicatie van de persoonsgegevens in kwestie in de brochure eveneens een rechtmatige verwerking uitmaakt aangezien deze in het gerechtvaardigd belang van de eerste verweerder, de potentiële kopers en de klager heeft plaatsgevonden, namelijk in het kader van de verkoop van het appartement. De verweerders betogen dat het voor een potentiële koper belangrijk is om te weten wie de huurder is die het appartement bewoont op het moment van de verkoop en of deze huurder de huur zal kunnen betalen. II.2.3. Beoordeling door de Geschillenkamer 27. Op basis van de klacht stelt de Geschillenkamer vast dat de klager twee zaken aan de kaak stelt: enerzijds heeft de eerste verweerder de loonfiche van de klager doorgegeven aan de tweede verweerder (hierna: de eerste litigieuze verwerking) en anderzijds heeft de tweede verweerder deze loonfiche opgenomen in een brochure voor potentiële toekomstige kopers (de tweede litigieuze verwerking). Het komt toe aan de Geschillenkamer om te beoordelen of deze twee litigieuze verwerkingen rechtmatig zijn. De mededeling van de loonfiches door de klager aan de eerste verweerster maakt geen deel uit van deze beslissing aangezien de klacht hierop geen betrekking had. 28. Artikel 6 van de AVG schrijft voor dat alle verwerkingen moeten berusten op een rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke niet mag beginnen of doorgaan met een gegevensverwerking zonder zich te beroepen op één van de in artikel 6.1 AVG opgesomde rechtmatigheidscriteria, wat de concretisering is van het rechtmatigheidsbeginsel zoals bedoeld in artikel 5.1
8. a)AVG. De mededeling van de persoonsgegevens door de eerste verweerder aan de tweede verweerder (de eerste litigieuze verwerking) 29. Zoals reeds uiteengezet had de klager zijn loonfiches overgemaakt aan de eerste verweerder als eigenaar van het appartement met het oog op het sluiten van de huurovereenkomst. Wat de klager aanvecht, is de verdere mededeling van informatie over zijn loon aan de tweede verweerder, namelijk het immobiliënkantoor. De tweede verweerder Beslissing ten gronde 78/2024 – 8/36 stelt: “De Verweerders menen dat de verdere verwerking nog steeds in dit kader te situeren is, namelijk in het verderzetten van de huur naar aanleiding van de verkoop van het Appartement”2. 30. Net zoals zij dat reeds in andere beslissingen3 heeft gedaan, wijst de Geschillenkamer er hier op dat de verdere verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel is toegestaan overeenkomstig artikel 5.1.b), van de AVG, indien zij verenigbaar is met de doeleinden waarvoor de persoonsgegevens oorspronkelijk zijn verzameld. 31. Rekening houdend met de criteria in artikel 6, lid 4, van de AVG en in overweging 50 daarvan4, moet worden nagegaan of de verdere verwerking - d.w.z. in casu de mededeling van de betrokken informatie aan het immobiliënkantoor om deze in te lichten over de solvabiliteit van de huurder - al dan niet verenigbaar is met het doel van de oorspronkelijke verwerking. 32. In het onderhavige geval merkt de Geschillenkamer op dat deze verdere mededeling een ander doel nastreeft dan het eerste doel, dat erin bestond informatie over de solvabiliteit van de huurder te ontvangen en deze te verwerken met het oog op het sluiten van de huurovereenkomst tussen de klager en de eerste verweerder (artikel 6.1.
9. b)AVG). 33. In dit verband zijn slechts bepaalde personen, bij de uitvoering van hun specifieke taken, gerechtigd om deze informatie te ontvangen, met name gelet op de gevoeligheid van de informatie, zoals financiële gegevens en het rijksregisternummer, en de gevolgen ervan voor de betrokkene, en het beginsel van minimale gegevensverwerking (evenredigheid - artikel 5, lid 1, punt c), van de AVG). 34. De Geschillenkamer concludeert in casu dat deze verdere mededeling niet verenigbaar is met het oorspronkelijke doel. Deze mededeling valt niet binnen de redelijke verwachtingen van de betrokkene. Vooreerst werd de klager niet geïnformeerd door de eerste verweerder over de ontvangers of categorieën van ontvangers van de persoonsgegevens overeenkomstig artikel 13.1.
10. e)AVG. Gezien het specifieke kader waarbinnen de verwerking van informatie door de klager, zijnde de huurovereenkomst gesloten tussen de klager als 2 Conclusie van dupliek van de verweerder, p.5. 3 Zie bijvoorbeeld beslissing 115/2022 van de Geschillenkamer en de genoemde referenties. 4 Overweging 50 van de AVG: [...] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. Beslissing ten gronde 78/2024 – 9/36 huurder en de eerste verweerder, als eigenaar-verhuurder, plaatsvindt en de aard van de informatie, namelijk de loonfiches met inbegrip van rijksregisternummer, kan de betrokkene - hier de klager – niet verwachten dat deze gegevens zullen worden meegedeeld aan anderen dan degenen die partij zijn bij de huurovereenkomst of er functioneel kennis van moeten nemen. Integendeel, hij mag er vanuit gaan dat deze gegevens vertrouwelijk blijven. 35. Bijgevolg is er geen sprake van verenigbare verdere verwerking, zodat een afzonderlijke rechtsgrond vereist was om de genoemde mededeling als rechtmatig te kunnen beschouwen. 36. Een verwerking van persoonsgegevens, met inbegrip van een onverenigbare verdere verwerking zoals in dit geval, is immers slechts rechtmatig indien deze gestoeld is op een specifieke rechtmatigheidsgrond. Overweging 50 van de AVG 5 is in dit opzicht duidelijk. Deze afzonderlijke rechtsgronden zijn die welke in artikel 6.1 van de AVG worden gedefinieerd. 37. De tweede verweerder lijkt zelf artikel 6.1.
11. b)AVG als rechtmatigheidsbasis op te werpen. De tweede verweerder stelt dat de mededeling van deze loonfiches bedoeld was om de continuïteit van de huurovereenkomst te bekomen voor de klager. De verweerders wensten zekerheid te verschaffen aan de potentiële investeerder dat de huurder effectief de huur kon betalen. Bijgevolg, zo voeren de verweerders aan, is de mededeling van deze persoonsgegevens te beschouwen als een gerechtvaardigde verdere verwerking in het kader van artikel 6.1.
12. b)AVG (“[De Verweerders menen dat de verdere verwerking nog steeds in dit kader te situeren is, namelijk in het verderzetten van de huur naar aanleiding van de verkoop van het Appartement”6). 38. Artikel 6.1.
13. b)AVG voorziet in een rechtsgrondslag voor de verwerking van persoonsgegevens indien de “verwerking noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”. 39. Een succesvol beroep op deze rechtsgrondslag vereist dus dat de verwerking noodzakelijk is om die specifieke overeenkomst met de betrokkene uit te kunnen voeren. 40. De Geschillenkamer wijst erop dat de litigieuze mededeling van de loonfiches tussen de eerste verweerder en de tweede verweerder heeft plaatsgevonden in het kader van de 5 Overweging 50 van de AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. [...] 6 Conclusie van dupliek van de verweerder, p.5. Beslissing ten gronde 78/2024 – 10/36 overeenkomst tussen deze partijen, waarbij de klager dus niet betrokken was. Aan de eerste voorwaarde voor een succesvolle toepassing van artikel 6.1.
14. b)AVG is bijgevolg niet voldaan. 41. De Geschillenkamer oordeelt dan ook dat er sprake is van een inbreuk op artikel 5.1.a),
15. b)en
16. c)j° artikel 6.1, in combinatie met artikel 13.1.
17. e)AVG. De mededeling van de persoonsgegevens door de eerste verweerster aan de potentiële kopers (tweede litigieuze verwerking) 42. De tweede verwerking die door de klager aan de kaak gesteld wordt, is de publicatie van de loonfiches door de tweede verweerder in een brochure met informatie over het onroerend goed met het oog op de verkoop ervan. 43. De verweerders stellen dat de verwerking plaatsvond in het gerechtvaardigd belang van zowel de potentiële koper, de klager als huurder en de tweede verweerder als verhuurder in het kader van de verkoop van het appartement. 44. In artikel 6.1.
18. f)AVG wordt bepaald dat de verwerking rechtmatig is indien “de verwerking […] noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”. 45. De rechtspraak van het Hof van Justitie van de Europese Unie vereist dat een beroep op artikel 6.1.
19. f)van de AVG aan drie cumulatieve voorwaarden voldoet “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(
20. n)aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren”.7 46. De verwerkingsverantwoordelijke dient met andere woorden aan te tonen dat: a. de belangen die hij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (‘de doeltoets’); b. de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (‘de noodzakelijkheidstoets’); en 7 HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 28, en HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 74.. Beslissing ten gronde 78/2024 – 11/36 c. de afweging van deze belangen tegen de fundamentele belangen, vrijheden en grondrechten van de betrokkenen in het voordeel van de verwerkingsverantwoordelijke of van een derde is (‘de afwegingstoets’). 47. De Geschillenkamer zal hieronder nagaan of aan deze drie cumulatieve voorwaarden is voldaan opdat de tweede verweerder zich zou kunnen beroepen op artikel 6.1.
21. f)AVG als rechtsgrond voor het verwerken van de persoonsgegevens van de klager in de verkoopbrochures.
22. i)48. De doeltoets Vooreerst moet de Geschillenkamer nagaan of de belangen die met de verwerking worden nagestreefd gerechtvaardigd zijn.8 Het is volgens de tweede verweerder voor een potentiële koper van belang om te weten wie de huurder is die het appartement bewoont op het moment dat de woning gekocht wordt. Het is voornamelijk belangrijk om te weten of de huurder de huur zal kunnen betalen. De verweerders menen dat de verwerking van persoonsgegevens evenzeer in het belang van de klager zelf was, namelijk om de huurovereenkomst te laten doorgaan na de beoogde verkoop van het appartement. 49. De Geschillenkamer is van oordeel dat deze doelstellingen op zich als een gerechtvaardigd belang kunnen worden aangemerkt waardoor aan de eerste voorwaarde voldaan is.
23. ii)50. De noodzakelijkheidstoets De verwerkingen van persoonsgegevens die zijn gebaseerd op het gerechtvaardigd belang moeten noodzakelijk zijn overeenkomstig de betekenis die (o.m.) het Hof van Justitie aan deze term heeft gegeven.9 In haar Rīgas-arrest onderstreepte het Hof van Justitie dat de term noodzakelijkheid eng moet worden geïnterpreteerd.10 Deze toets gaat hand in hand met het beginsel van doelbinding dat is opgenomen in artikel 5.1.
24. b)AVG en het data minimalisatie-beginsel dat staat ingeschreven in artikel 5.1.
25. c)AVG. Zo is de voorziene verwerkingsactiviteit niet toegestaan wanneer er minder ingrijpende maatregelen mogelijk 8 Zie Advies 06/2014, p. 29 e.v. over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217), waarin een onderscheid wordt gemaakt tussen een doeleinde en een belang: “Het begrip "belang" is nauw verwant aan, maar verschilt van, het begrip "doeleinde" dat wordt genoemd in artikel 6 van de richtlijn. In de context van gegevensbescherming is het "doeleinde" de specifieke reden waarom de gegevens worden verwerkt: de doelstelling of de bedoeling van de gegevensverwerking. Het belang is echter een ruimer begrip en ziet op de waarde voor de voor de verwerking verantwoordelijke van de verwerking of het voordeel dat de voor de verwerking verantwoordelijke, of de maatschappij, bij de verwerking kan hebben. 9 HvJEU Arrest van, 16 december 2008, Heinz Huber t. Bundesrepublik Deutschland, C-524/06, ECLI:EU:C:2008:724, para. 52. 10 HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 30. Beslissing ten gronde 78/2024 – 12/36 zijn om het doel van de verwerking te bereiken en mogen enkel de persoonsgegevens verwerkt worden die noodzakelijk, toereikend en relevant zijn voor het doel of de doelen. 11 51. De Geschillenkamer stelt vast dat de loonfiches van de klager een inzicht kunnen geven in de inkomsten van de klager en kunnen de potentiële nieuwe verhuurder van het appartement in kwestie inzicht geven over de financiële mogelijkheden van de huurder om diens contractuele betalingsverplichtingen na te komen. De Geschillenkamer oordeelt daarom een eventuele schending van de noodzakelijkheidsvoorwaarde niet vast is komen te staan. iii) 52. De afwegingstoets Ten slotte, om het gerechtvaardigd belang te kunnen inroepen dient een afweging te worden gemaakt tussen het belang van de verwerkingsverantwoordelijke en de fundamentele rechten en vrijheden van de betrokkenen. De afweging hangt af van de bijzondere omstandigheden van een concreet geval en de rechten van de betrokken klagers ingevolge artikel 7 en 8 van het Handvest van de grondrechten van de Europese Unie met betrekking tot de bescherming van de persoonlijke levenssfeer en gegevensbescherming. 12 Concreet moet worden nagegaan wat de impact van de verwerking is op de betrokkene(
26. n)en of deze geen disproportionele impact ondervinden. 13 53. In dit kader dienen de belangen van de potentiële koper, de eerste verweerder als verkoper/verhuurder en het belang van de klager als huurder met elkaar te worden afgewogen. Volgens overweging 47 AVG moet het bestaan van een gerechtvaardigd belang zorgvuldig worden beoordeeld. Bij het bepalen of het gerechtvaardigd belang zwaarder weegt dan het belang of de fundamentele rechten en vrijheden van de betrokkene dient onder meer rekening te worden gehouden met de redelijke verwachtingen op basis van zijn verhouding met de verwerkingsverantwoordelijke14, alsook met de gevolgen van de verwerking voor de betrokkene.15 54. De Geschillenkamer stelt vast dat het niet binnen de redelijke verwachtingen van de klager valt dat zijn loonfiches integraal zouden worden gepubliceerd in de verkoopbrochure. Bij deze beoordeling houdt de Geschillenkamer vooreerst rekening met het gebrek aan informatie die werd verschaft aan de klager, wat hem een inzicht had moeten geven omtrent de omvang of duur van de verwerking. Wanneer de persoonsgegevens niet van de betrokkene zijn verkregen, dient de verwerkingsverantwoordelijke immers de betrokkene 11 Opinion WP29 03/2013 on purpose limitation van 2 april 2013, p. 15. 12 HvJEU Arrest van 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 en C-469/10, EU:C:2011:777, para. 51 ; Richtsnoeren EDPB 3/2019, para. 32-35. 13 WP29 Opinion 06/2014 on the notion of legitimate interests, p. 41. 14 EDPB Richtsnoeren 3/2019, para. 36. 15 HvJEU Arrest van 7 december 2023, Schufa, Gevoegde zaken C-26/22 en C-64/22, ECLI:EU:C:2023:958, para. 78. Beslissing ten gronde 78/2024 – 13/36 te informeren over de verwerkingsdoeleinden waarvoor de persoonsgegevens bestemd zijn alsook de rechtsgrond van de verwerking (artikel 14.1.c AVG). Indien de verwerking gebaseerd is op artikel 6.1.
27. f)AVG dient de betrokkene geïnformeerd te worden omtrent de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van de derde (artikel 14.2.
28. b)AVG). Deze informatie dient verstrekt te worden binnen een redelijke termijn, maar uiterlijk één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt. Bijgevolg had de tweede verweerder de klager moeten informeren omtrent de verwerkingsdoeleinden en de grondslag voor de verwerking, alsook omtrent het nagestreefd gerechtvaardigd belang. Er wordt echter niet aangetoond dat de klager binnen de gepaste termijn na verkrijging van de persoonsgegevens door de tweede verweerder zou zijn geïnformeerd over het ingeroepen gerechtvaardigd belang tot verwerking van diens persoonsgegevens. Aangezien reeds mankementen werden vastgesteld in het kader van de informatieverplichting van de verweerder, moet de Geschillenkamer vaststellen dat de redelijke verwachtingen van de klager niet inhouden dat diens verzamelde persoonsgegevens zouden worden gepubliceerd in verkoopbrochures. 55. Voor wat betreft de redelijke verwachtingen van de klager merkt de Geschillenkamer verder op dat de klager aanvoert dat deze loonfiche niet meer correct is aangezien hij intussen werkzaam is bij een andere werkgever. De verweerders voeren aan dat de persoonsgegevens in kwestie voldoende correct en actueel waren. De voormalige en huidige werkgever van de klager betreffen verbonden entiteiten en de financiële situatie blijkt gelijkaardig te zijn. Hiertoe verwijzen de verweerders naar de mail van de klager gericht aan de eerste verweerder waarin staat: “[…] met een contract van onbepaalde duur bij [huidige werkgever], met gelijkaardige voorwaarden, een klein beetje beter”. De Geschillenkamer stelt vast dat de persoonsgegevens zoals op de loonfiches in de initiële context met de initiële doelstelling van het aangaan van de huurovereenkomst actueel waren, maar dat deze context en doelstelling gewijzigd werden, waardoor de klager niet redelijkerwijs kon verwachten dat de persoonsgegevens hiervoor aangewend zouden worden. 56. De Geschillenkamer concludeert dat de klager, gelet op de drukke woningmarkt, zijn loonbrieven had overgemaakt aan de eerste verweerder met het oog op het aangaan van de huurovereenkomst in kwestie. De klager kon dan ook niet verwachten dat zijn loonfiches vervolgens zouden worden overgedragen aan de tweede verweerder, waarmee de klager geen relatie had, en die op diens beurt deze gegevens zou publiceren in een verkoopbrochure die aan derden, waarmee de klager ook geen relatie had, zou getoond worden. Aangezien dit onder andere ook het rijksregister en financiële gegevens betreft kan de betrokkene - de klager – niet verwachten dat zijn gegevens op grotere schaal zullen worden meegedeeld dan enkel aan personen die er kennis van moeten nemen, zoals de Beslissing ten gronde 78/2024 – 14/36 verhuurder. De Geschillenkamer wijst erop dat de relevantie van de loonfiches als garantie voor de solvabiliteit van de klager als huurder kleiner wordt nadat er steeds stipte betalingen geweest zijn in uitvoering van de huurovereenkomst. In dezelfde zin is de EDPB van mening dat betrokkenen niet mogen worden verrast met betrekking tot het doel van de verwerking van hun persoonsgegevens.16 57. Daarnaast moet een verwerking altijd proportioneel of evenredig zijn. Hiervoor zijn substantiële en dwingende redenen nodig die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkenen. Er moet een afweging worden gemaakt tussen de aangevoerde gerechtvaardigde belangen i.e. het onroerend goed verhuurd verkopen, en het recht op bescherming van persoonsgegevens van de klager. De Geschillenkamer concludeert dat hoewel het oorspronkelijke doel van de verwerking legitiem is, het integraal publiceren van de loonfiche van de klager disproportioneel is, waardoor aan de derde voorwaarde voor een succesvolle toepassing van artikel 6.1.
29. f)AVG niet voldaan is en dat er bovendien een schending is van het beginsel van doelbinding (artikel 5.1.
30. b)AVG) en het dataminimalisatie-beginsel (artikel 5.1.
31. c)AVG).. 58. Uit het bovenstaande leidt de Geschillenkamer af dat de tweede verweerder in strijd met de artikelen 5.1.a), b),
32. c)en 6.1 AVG in samenhang met de informatieplicht van artikel 14.1.c en 14.2.
33. b)AVG heeft gehandeld aangezien de litigieuze verwerking niet de afwegingstoets doorstaat, voor wat betreft de publicatie van de integrale loonfiche van de klager in de verkoopbrochures bestemd voor potentiële kopers en aangezien de klager niet door de tweede verweerder tijdig werd geïnformeerd omtrent deze verwerking. II.3. Voor wat betreft het recht op inzage en het recht op gegevenswissing II.3.1. Standpunt van de klager 59. In zijn conclusies verwijst de klager naar zijn mail dd. 21 oktober 2022 aan de tweede verweerder waarin hij het volgende heeft gevraagd: “Op basis van wetgeving, ‘recht van inzage (art. 15 GDPR)’, gelieve mij ook alle personen te bezorgen aan wie zijn persoonsgegevens onrechtmatig verstrekt zijn”. Hierop ontving de klager het antwoord dat zijn persoonsgegevens reeds gewist werden ten gevolge van zijn verzoek tot gegevenswissing dd. 21 oktober 2022 waardoor de tweede verweerder het verzoek tot inzage niet langer kon beantwoorden. De klager stelt dat het appartement na 21 oktober 2022 nog niet verkocht was, waardoor het niet mogelijk was dat alle informatie over potentiële kandidaten reeds gewist was. De klager voert aan dat, hoewel de bronbestanden mogelijk gewist waren, het volgens hem zeker nog altijd mogelijk was om te antwoorden wie 16 Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren inzake transparantie in het kader van Verordening (EU) 2016/679, punt 45, Beslissing ten gronde 78/2024 – 15/36 de informatie ontvangen had. Op 17 november 2022 communiceerde de tweede verweerder dat hij pas ’s anderendaags meer zou weten over een potentiële verkoop en op 29 november 2022 communiceerde de tweede verweerder dat hij een compromis ondertekend had met een koper. Bijgevolg, zo stelt de klager, dat er op 21 oktober 2022 nog meerdere potentiële kopers waren van wie de informatie nog gekend moest zijn alsook aan wie deze brochure was meegegeven. De klager stelt dat dit wijst op een structureel probleem bij de tweede verweerder met betrekking tot het uitvoering geven aan de rechten van betrokkenen. II.3.2. Standpunt van de verweerders 60. De verweerders voeren aan dat de chronologie van de verzoeken van de klager als volgt is: - E-mail van de klager aan de tweede verweerder van 17 oktober 2022: Dit was een verzoek om alle persoonlijke gegevens te verwijderen, geen verzoek tot inzage in de persoonlijke gegevens of in de eventuele verspreiding ervan: “Graag had ik gevraagd dat u alle persoonlijke informatie over mij verwijdert waar u geen toestemming over hebt gevraagd dit te behouden of te delen. (enz.)” - E-mail van de klager aan de tweede verweerder van 21 oktober 2022: Dit was een vraag om te bevestigen dat “documenten” verwijderd werden en verduidelijking welke “documenten” verwijderd werden. Dit was ook een verzoek om alle personen te bezorgen aan wie de persoonsgegevens onrechtmatig werden verstrekt. Bovendien werd ook gevraagd om de gegevens te bezorgen van de verantwoordelijke voor verwerking van persoonsgegevens. - Antwoord van de tweede verweerder aan de klager van 21 oktober 2022 (dezelfde dag; 4 dagen na het eerste verzoek): Deze e-mail was de bevestiging dat alles verwijderd werd: “Ten eerste wil ik mij verontschuldigen voor het incident. Uiteraard zijn alle documenten ivm de GDPR verwijderd van ons systeem.” Aangezien alles verwijderd was (op basis van het eerste verzoek van 17 oktober 2022), was het op 21 oktober 2022 niet meer mogelijk om mee te delen welke persoonsgegevens aan wie meegedeeld werden. - E-mail van de klager aan de tweede verweerder van 4 november 2022: Deze mail werd verzonden aan een ander e-mailadres. Deze mail is een bevestiging door de klager dat de persoonlijke informatie werd verwijderd maar ook dat er niet werd geantwoord op de andere twee vragen, namelijk om een lijst van informatie te krijgen die verwerkt werd en om informatie over aan wie deze informatie werd doorgegeven. - Email van de klager aan de tweede verweerder van 4 november 2022: Deze mail werd verzonden aan [e-mailadres 2]; [e-mailadres 3] en [e-mailadres 4]. Dit betreft het doorsturen van de vorige vraag na ontvangst van een automatisch antwoord. De functionaris van gegevensbescherming van de eerste verweerder had kort voordien Beslissing ten gronde 78/2024 – 16/36 ontslag genomen, waardoor er een ‘out-of-office’ reply werd gestuurd (met vermelding van andere e-mail adressen). 61. De tweede verweerder betoogt dan ook dat hij binnen de maand gereageerd op het eerste verzoek van de klager tot verwijdering van de persoonsgegevens van de klager (meer bepaald, binnen de 4 dagen: verzoek verstuurd op 17 oktober en antwoord verstuurd op 21 oktober 2022). Aangezien de persoonsgegevens na het eerste verzoek tot verwijdering effectief verwijderd werden, zou de tweede verweerder geen gehoor meer hebben kunnen geven aan de navolgende verzoeken tot inzage. De tweede verweerder zou niet meer hebben kunnen meedelen welke persoonsgegevens van de klager verwerkt werden, omdat er op dat ogenblik geen persoonsgegevens meer verwerkt werden. De persoonsgegevens waren immers reeds verwijderd als gevolg van het verzoek tot verwijdering van de klager. II.3.3. Beoordeling door de Geschillenkamer Recht op gegevenswissing 62. D De Geschillenkamer stelt vast dat de klager op 17 oktober 2022 de tweede verweerder verzocht heeft om alle hem betreffende persoonsgegevens te verwijderen. Omdat de tweede verweerder dit verzoek (nog) niet beantwoord had, herhaalde de klager op 21 oktober 2022 dit verzoek tot gegevenswissing met de vraag om te verduidelijken welke documenten verwijderd werden en daarenboven vroeg de klager om hem een overzicht te bezorgen van alle ontvangers van de hem betreffende persoonsgegevens en van de documenten met zijn persoonsgegevens die verwijderd werden. 63. Het eerste verzoek van de klager betrof aldus een verzoek tot gegevenswissing overeenkomstig artikel 17 AVG. Ingevolge artikel 17.1.
34. d)AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van de hem betreffende persoonsgegevens te verkrijgen. De verwerkingsverantwoordelijke is verplicht om deze persoonsgegevens te wissen wanneer de persoonsgegevens onrechtmatig zijn verwerkt. De Geschillenkamer verwijst naar deel II.2.3 van deze beslissing waarin zij heeft vastgesteld dat de verwerking van de persoonsgegevens door de tweede verweerder onrechtmatig was. Bijgevolg heeft de klager het recht om van de tweede verweerder de wissing van de persoonsgegevens in kwestie te verkrijgen. 64. Artikel 19 AVG17 bepaalt bovendien dat de verwerkingsverantwoordelijke iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis stelt van elke wissing van 17 Artikel 19: “De verwerkingsverantwoordelijke stelt iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt.” Beslissing ten gronde 78/2024 – 17/36 persoonsgegevens overeenkomstig artikel 17.1 AVG, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. 65. Op basis van artikel 12.3 AVG verstrekt de verwerkingsverantwoordelijke de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 AVG informatie over het gevolg dat aan het verzoek is gegeven. De Geschillenkamer stelt vast dat de tweede verweerder geantwoord heeft op het verzoek tot gegevenswissing op 21 oktober 2022, i.e. vier dagen na het eerste verzoek tot gegevenswissing. In dit antwoord heeft de tweede verweerder bevestigd dat de persoonsgegevens van de klager verwijderd werden. De Geschillenkamer merkt op dat de tweede verweerder geen stukken overmaakt waaruit blijkt dat hij de klager heeft geïnformeerd omtrent het gevolg dat gegeven werd aan de verplichtingen voortvloeiend uit artikel 19 AVG. Recht op inzage 66. De Geschillenkamer wijst erop dat de klager op 21 oktober 2022, naast het voormelde verzoek tot gegevenswissing, eveneens een verzoek tot inzage aan de tweede verweerder gericht heeft. De klager wenst te vernemen welke “documenten” verwijderd werden, alsook een verzoek om inzage te verkrijgen m.b.t. alle personen aan wie de persoonsgegevens onrechtmatig werden verstrekt. 67. Voor wat betreft het recht op inzage herinnert de Geschillenkamer eraan dat het recht van inzage een van de belangrijkste vereisten is van het recht op gegevensbescherming. Het is de "toegangspoort" die de uitoefening mogelijk maakt van andere rechten die de AVG aan de betrokkene toekent, zoals het recht op rectificatie, het recht op gegevenswissing en het recht op beperking van de verwerking.18 68. Zoals blijkt uit overweging 63 van de AVG19, heeft dit recht van inzage in de eerste plaats tot doel de betrokkene in staat te stellen zich van de verwerking van zijn gegevens op de hoogte te stellen en de rechtmatigheid ervan te controleren 20. Door dit recht van inzage uit te oefenen moet de betrokkene met name kunnen controleren dat de hem betreffende gegevens juist zijn, maar ook dat zij worden verstrekt aan gemachtigde ontvangers.21 Dit veronderstelt in beginsel dat zo nauwkeurig mogelijke aanwijzingen worden verstrekt. In het 18 Zie meeste recent HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 38, maar ook HvJEU, 17 juli 2014, YS et al., C-141/12 en C-372/12, EU:C:2014:2081, para 44, en HvJEU 20 december 2017, Nowak, C-434/16, EU:C:201V7:994, para 57, zie ook beslissing 15/2021 dd. 9 februari 2021, para 141, en beslissing 41/2020 dd. 29 juli 2020, para 47 19 Volgens de eerste zin van die overweging moet „[e]en betrokkene […] het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, […] zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren”. 20 Zie met betrekking tot richtlijn 95/46 arresten van 17 juli 2014, Y.S. e.a. (C‑141/12 en C‑372/12, EU:C:2014:2081, punt 44), en 20 december 2017, Nowak (C‑434/16, EU:C:2017:994, punt 57). 21 Zie met betrekking tot richtlijn 95/46 arrest van 7 mei 2009, Rijkeboer (C-553/07, EU:C:2009:293, punt 49). Beslissing ten gronde 78/2024 – 18/36 arrest Österreichische Post stelt het Hof van Justitie dat teneinde de nuttige werking te waarborgen van alle rechten die de AVG aan betrokkenen toekent, de betrokkene in het bijzonder dient te beschikken over het recht om te weten wie de concrete ontvangers van zijn persoonsgegevens waren, wanneer deze gegevens reeds aan derden zijn meegedeeld. 69. Het Hof van Justitie voegt daaraan toe dat “een dergelijke uitlegging bevestigd [wordt] door de lezing van artikel 19 AVG, waarvan de eerste volzin bepaalt dat de verwerkingsverantwoordelijke in beginsel iedere ontvanger aan wie persoonsgegevens zijn meegedeeld, in kennis stelt van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking, en de tweede volzin bepaalt dat de verwerkingsverantwoordelijke de betrokkene informatie verstrekt over deze ontvangers indien hij daar om verzoekt.”22 Aldus verleent artikel 19, tweede volzin, AVG de betrokkene uitdrukkelijk het recht om door de verwerkingsverantwoordelijke te worden geïnformeerd over de concrete ontvangers van de hem betreffende gegevens, in het kader van de verplichting van deze laatste om alle ontvangers te informeren over de uitoefening van de rechten waarover deze persoon op grond van artikel 16, artikel 17, lid 1, en artikel 18 AVG beschikt.23 70. Het Hof van Justitie oordeelde dat artikel 15.1.c), AVG aldus moet worden uitgelegd dat het in die bepaling bedoelde recht van de betrokkene om inzage te verkrijgen van de hem betreffende persoonsgegevens, meebrengt dat de verwerkingsverantwoordelijke, wanneer die gegevens aan ontvangers zijn of zullen worden verstrekt, verplicht is om aan de betrokkene de identiteit van deze ontvangers mee te delen24. In onderhavige zaak zou dit tot gevolg hebben dat de tweede verweerder de identiteit van de ontvangers, dus de potentiële kopers zou moeten meedelen aan de klager. 71. Het Hof van Justitie voegt hier echter aan toe dat, zoals blijkt uit overweging 4 AVG25, het recht op bescherming van persoonsgegevens geen absoluut recht is. Bijgevolg is de verwerkingsverantwoordelijke niet verplicht om de identiteit van de ontvangers mee te delen indien het onmogelijk is om die ontvangers te identificeren 26 of wanneer de verwerkingsverantwoordelijke aantoont dat de verzoeken om inzage van de betrokkene kennelijk ongegrond of buitensporig van aard zijn in de zin van artikel 12. 5 AVG, in welke 22 HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 40. 23 HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 41. 24 HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 43. 25 Overweging 4 AVG: “De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid”. 26 HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 48. Beslissing ten gronde 78/2024 – 19/36 gevallen de verwerkingsverantwoordelijke alleen de categorieën van de betreffende ontvangers hoeft mee te delen aan die betrokkene. 27 72. Het komt bijgevolg toe aan de tweede verweerder om