← België

Beslissing ten gronde nr. 78/2025

1/37 Geschillenkamer Beslissing 78/2024 van 24 april 2025 Dossiernummer : DOS-2021-01763 Betreft : Klacht tegen FOD Volksgezondheid voor verwerkingen in verband met het ‘Passenger Locator Form’ De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren JELLE STASSIJNS en CHRISTOPHE BOERAEVE, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op de Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, hierna “WVP”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager”; De verweerder: De Federale Overheidsdienst Volksgezondheid, […], met als raadsmannen hebbende mr. Magali Feys en mr. Sarah Leeman, […], hierna “de verweerder” Beslissing ten gronde 78/2023 — 2/37 I.

  1. Feiten en procedure Het voorwerp van de klacht betreft het gebruik van het “Passenger Locator Form” (“PLF”) gedurende de COVID-19 pandemie, waarbij personen die in België resideren, na een reis in het buitenland in bepaalde gevallen een aantal gegevens dienden te verstrekken teneinde contactopsporing ingevolge een eventuele besmetting makkelijk en effectief te kunnen organiseren. Het PLF werd ook gebruikt voor het volgen van personen die naar België reisden vanuit het buitenland. In het dossier wordt, met name door de Inspectiedienst, naast “Passenger Locator Form” ook gesproken over het “Passagier Lokalisatie Formulier” of “PLF”. Ze worden in deze beslissing als synoniemen voor elkaar gehanteerd.
  2. De verweerder heeft in haar repliekconclusie een oplijsting gemaakt van de persoonsgegevens die opgevraagd werden via het PLF op het moment van het neerleggen van de repliekconclusie, met name: - naam (voor- en achternaam); - geslacht; - geboortedatum; - nationaliteit + inwoner van België; - adres; - rijksregisternummer; - mobiele telefoonnummer; - e-mailadres; - aankomstdatum in België; - transportmiddel (vliegtuig, trein, boot, bus, gemotoriseerd verkeer, andere); - identificatie van het transportnummer (vluchtnummer, treinnummer, vaartuignummer en zeehaven van aankomst; gegevens van busmaatschappij); - of de reiziger behoort tot een uitzonderingscategorie; - eerdere aaneensluitende verblijven in de afgelopen 14 dagen, met name de plaats en de periode van verblijf; - of de reiziger langer dan 48 in België zal verblijven; - het adres van verblijf; Beslissing ten gronde 78/2023 — 3/37 - het aantal kinderen onder de 12 jaar; - het bezit van certificaten. De volgende gegevens werden facultatief opgevraagd middels het PLF: - paspoort- of ID-kaartnummer; - huistelefoon/kantoortelefoon; - zitplaats in vliegtuig of trein; - kentekenplaat van bus of ander gemotoriseerd verkeer; - tot welke uitzonderingscategorie de reiziger behoort.
  3. Op 18 februari 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder.
  4. Op 1 april 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
  5. Op 26 april 2021 beslist de Geschillenkamer op grond van artikel 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst en wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken.
  6. Eveneens op 26 april 2021 wordt de klager door de Geschillenkamer op de hoogte gesteld dat voornoemd verzoek tot het voeren van onderzoek werd overgemaakt door de Geschillenkamer aan de Inspectiedienst.
  7. Op 30 september 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). In haar verslag is de Inspectiedienst overgegaan tot het identificeren van de verwerkingsverantwoordelijke, verweerder, alsook van de relevante passages uit het privacybeleid die verband houden met het aanbieden van het “Passenger Locator Form”. 1 Voorts identificeert de Inspectiedienst ook een verwerker, de vzw SMALS. De vaststellingen van de Inspectiedienst worden meer concreet weergegeven in het onderdeel ‘motivering’ van voorliggende beslissing – in het licht van de leesbaarheid ervan. 1 Verslag Inspectiedienst, blz. 3-
  8. Beslissing ten gronde 78/2023 — 4/37
  9. Op 1 december 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde.
  10. Op 1 december 2021 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
  11. Op 1 december 2021 bevestigt de klager de goede ontvangst van voorgaand bericht per email, zo aanvaardt de klager elektronisch alle communicatie omtrent de zaak.
  12. Op 12 januari 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder per e-mail.
  13. Op 1 februari 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager.
  14. Op 23 februari 2022 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder.
  15. Op 18 oktober 2024 worden de partijen formeel in kennis gesteld dat de hoorzitting zal plaatsvinden op 5 november
  17. Op 5 november 2024 worden de partijen gehoord door de Geschillenkamer.
  18. Op 20 november 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
  19. Op 22 november 2024 ontvangt de Geschillenkamer vanwege de klager enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.
  20. Op 26 november 2024 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. II. Motivering II.
  21. De rechtmatigheid van de verwerkingen van persoonsgegevens, inclusief gezondheidsgegevens, via het PLF – artikel 6.1 en artikel 9.2 AVG en artikel 34 WVP II.1.
  22. Standpunt klager
  23. Één van de grieven van de klager inzake het Passenger Locator Form handelt specifiek over de rechtsbasis onder artikel 34 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van Beslissing ten gronde 78/2023 — 5/37 persoonsgegevens.2 De klager is het niet eens met de doorgifte van de persoonsgegevens uit het PLF aan met name politiediensten. Deze diensten zouden de persoonsgegevens verwerken voor opsporende en handhavende maatregelen, bijvoorbeeld bij de nietnaleving van bepaalde quarantaineverplichtingen.
  24. Specifiek haalt de klager volgende aspecten aan in zijn conclusie: a. Klager stelt dat de verwerking en doorgifte van persoonsgegevens afkomstig uit het PLF door de verweerder een inbreuk vormt op artikel 34 WVP. b. Volgens de verweerder dient het PLF enkel een preventieve doelstelling en valt het aldus niet onder het regime van verwerking met het oog op de voorkoming, opsporing of vervolging van strafbare feiten, zoals bedoeld in artikel 35 van dezelfde wet. Toch, zo stelt de klager, blijkt uit diverse stukken dat de gegevens uit het PLF daadwerkelijk gedeeld werden met politiediensten. Klager betoogt dat deze praktijk indruist tegen het door de verweerder zelf gestelde preventieve karakter van het PLF, nu de politie enkel optreedt in het kader van strafrechtelijke handhaving en openbare veiligheid. c. Verder vereist artikel 34, eerste lid, dat de verwerking van gezondheidsgegevens enkel toegelaten is indien expliciet voorzien bij wet, decreet, ordonnantie, Europese regelgeving of internationale overeenkomst. De klager stelt dat de verweerder verwijst naar het ministerieel besluit van 30 juni 2020 als rechtsgrond, terwijl dit besluit niet kwalificeert als een van de in artikel 34 limitatief opgesomde normeringen. Volgens klager is er op het moment van de klacht (februari 2021) géén wettelijke of reglementaire basis die de verwerking van medische gegevens via het PLF toestond. De latere opname van het PLF in het Samenwerkingsakkoord van 24 maart 2021 doet hieraan geen afbreuk, aangezien dit akkoord op het relevante tijdstip niet in werking was. d. Bovendien wordt geen antwoord gegeven op de kern van de klacht: de doorgifte van persoonsgegevens aan politiediensten. Klager wijst erop dat volgens artikel 34, §1, 2°WVP, een verwerking van medische gegevens slechts geoorloofd is indien deze noodzakelijk is ter bescherming van de vitale belangen van de betrokkene. De doorgifte aan politie strekt echter niet tot bescherming van zulke belangen, maar tot handhaving en bestraffing bij niet-naleving van quarantaine- en testverplichtingen. Deze repressieve finaliteit werd later bevestigd in het Samenwerkingsakkoord van 24 maart 2021, dat expliciet stelt dat de gegevens 2 Reeds in het klachtformulier noemt de klager artikel 34 WVP en stelt hij dat gezondheidsgegevens enkel krachtens een formele wet mogen worden verwerkt – hetgeen een Ministerieel Besluit niet is. Beslissing ten gronde 78/2023 — 6/37 ondersteuning bieden bij politionele handhaving van strafbaar gestelde verplichtingen. e. Derhalve stelt klager dat de verweerder in strijd handelde met artikel 34 WVP door medische gegevens uit het PLF reeds vóór maart 2021 te verwerken en te delen met politie en justitie zonder geldige wettelijke grondslag en zonder dat de verwerking noodzakelijk was voor de bescherming van vitale belangen van de betrokkene. II.1.
  25. Standpunt verweerder
  26. In de repliekconclusie alsook ter hoorzitting gaat de verweerder breder in op de rechtmatigheid van de verwerking die plaatsvindt door het verzamelen en verder verwerken van persoonsgegevens via het PLF in de zin van artikel 6.1 en artikel 9.2 AVG. 3 De verweerder voert aan dat de verwerking van persoonsgegevens via het PLF in overeenstemming is met de rechtmatigheidseisen van de AVG.
  27. Voor de verwerking van gewone persoonsgegevens beroept de verweerder zich op artikel 6.1.c AVG, dat de verwerking toestaat wanneer deze noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Volgens de verweerder vloeit deze verplichting voort uit een normatief meerlagig kader: internationaalrechtelijk op basis van artikel 23 van de International Health Regulations (IHR), Europeesrechtelijk via onder meer het EU-Uitvoeringsbesluit 2021/858, en nationaalrechtelijk via het Samenwerkingsakkoord van 24 maart 2021, alsook het Samenwerkingsakkoord van 14 juli
  29. De verweerder onderstreept daarbij dat de AVG niet vereist dat de wettelijke verplichting steeds voortvloeit uit een formele wet aangenomen door een parlementaire vergadering, maar dat het betrokken rechtsinstrument wel moet beantwoorden aan de vereisten van duidelijkheid, precisie en voorspelbaarheid voor de betrokkenen, zoals blijkt uit overwegingen 41 en 45 van de preambule van de AVG. In die zin acht zij de betrokken Samenwerkingsakkoorden voldoende normatief afgebakend om te voldoen aan de legaliteitsvereisten onder artikel 6.1.c AVG.
  30. Ten aanzien van de verwerking van bijzondere categorieën van persoonsgegevens, in casu gezondheidsgegevens, beroept de verweerder zich op de uitzonderingen voorzien in artikel 9.2, onder i en h AVG. 3 Repliekconclusie verweerder, sectie 3.2 Beslissing ten gronde 78/2023 — 7/37
  31. Artikel 9.2.i AVG, ten eerste, laat de verwerking toe wanneer deze noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid, zoals de bescherming tegen grensoverschrijdende gezondheidsgevaren. De verweerder verwijst in dat verband naar overweging 54 AVG en de verklaring van de EDPB van 19 maart 2020 4, waarin bevestigd wordt dat – in het kader van de COVID-19-pandemie – verwerking van gezondheidsgegevens door bevoegde autoriteiten kan plaatsvinden zonder dat daarvoor de toestemming van de betrokkene vereist is, op voorwaarde dat dit gebeurt overeenkomstig nationale wetgeving die passende waarborgen biedt.
  32. Daarnaast wijst de verweerder op artikel 9.
  33. h AVG als aanvullende, tweede rechtsgrond, nu het PLF functioneert binnen een breder kader van preventieve geneeskunde, meer bepaald contactopsporing, testing en quarantaine. Volgens de verweerder valt de verwerking van de betrokken persoonsgegevens binnen deze context, waardoor ook deze uitzondering op het verwerkingsverbod van toepassing zou zijn.
  34. Gelet op het voorgaande stelt de verweerder dat de verwerking van zowel gewone als bijzondere persoonsgegevens in het kader van het PLF gegrond is op geldige rechtsgronden krachtens de artikelen 6.1.c en 9.2.i en 9.2.h AVG, en derhalve als rechtmatig moet worden beschouwd in de zin van de AVG.
  35. Afzonderlijk antwoordt de verweerder ook op de aantijgingen van de klager in verband met artikel 34 WVP. Deze bepaling is volgens de verweerder niet van toepassing op de verwerking van gegevens in het kader van het PLF. De verweerder verduidelijkt dat de doelstelling van het PLF immers preventieve gezondheid is, en niet één van de doelstellingen bedoeld onder art. 34 WVP. II.1.
  36. Beoordeling Geschillenkamer a) Context coronapandemie en houding verweerder
  37. De Geschillenkamer roept ten algemene de context van de coronapandemie in herinnering, dewelke met name sinds maart 2020 gedurende een periode van meerdere jaren de Federale en Regionale overheden en administraties bracht tot het nemen van maatregelen in vaak bijzonder moeilijke en bovendien levensbedreigende omstandigheden. Ook de Europese wetgever had met name de situatie van een epidemie expliciet aangeduid als relevante omstandigheid bij de toepassing van de AVG, en dit in overweging 46 van haar preambule: 4 EDPB, Statement on the processing of personal data in the context of the COVID-19 outbreak, 19 maart 2020, beschikbaar via: https://www.edpb.europa.eu/sites/default/files/files/news/edpb statement 2020 processingpersonaldataandcovid19 en.pdf. Beslissing ten gronde 78/2023 — 8/37 “Sommige typen persoonsgegevensverwerking kunnen zowel gewichtige redenen van algemeen belang als de vitale belangen van de betrokkene dienen, bijvoorbeeld wanneer de verwerking noodzakelijk is voor humanitaire doeleinden, onder meer voor het monitoren van een epidemie en de verspreiding daarvan of in humanitaire noodsituaties, met name bij natuurrampen of door de mens veroorzaakte rampen.”5 (de Geschillenkamer onderlijnt en benadrukt)
  38. Deze context is van belang bij de interpretatie van (de legaliteit van) bepaalde genomen maatregelen door de voornoemde overheden en administraties, doch belet evenwel niet dat persoonsgegevensverwerkingen ook in overeenstemming met de wet moeten verlopen in het geval van een pandemie.
  39. Daarnaast stelt de Geschillenkamer in het bijzonder vast dat de verweerder niet alleen in het kader van de administratieve procedure bij de GBA, maar ook in haar algemene houding ten opzichte van de gegevensbeschermingswetgeving, blijk geeft van een uitermate constructieve houding.
  40. Zo stelt de Geschillenkamer vast dat de verweerder niet heeft nagelaten tal van interne uitwisselingen te delen met de Inspectiedienst lopende haar onderzoek.
  41. Voorts wijst de Geschillenkamer erop dat uit die interne uitwisselingen blijkt dat de functionaris voor gegevensbescherming (DPO) van de verweerder in vele gevallen nauwkeurig adviseert omtrent de (voorgenomen) persoonsgegevensverwerkingen, en ook in onmiddellijk contact treedt met het hoogste managementniveau bij de verweerder.
  42. Zo bevat het dossier onder meer e-mailuitwisselingen bij het hoogste management van de verweerder in maart 2020, waarbij een directielid aangeeft dat de AVG “niet geannuleerd” 6 is door de crisis – en hij tegelijk de DPO aanschrijft om bij een specifieke kwestie te adviseren. Met andere woorden: moeilijke kwesties en eventuele fouten worden behandeld en er is een aantoonbaar actief bewustzijn op het hoogste niveau bij de verweerder omtrent gegevensbescherming.
  43. De Geschillenkamer wijst daarom uitdrukkelijk op de effectieve invulling die de verweerder tracht te geven aan de gegevensbeschermingswetgeving, met een DPO die effectieve slagkracht en autoriteit blijkt te hebben binnen de organisatie – zo blijkt uit de stukken van het dossier. 5 6 De Geschillenkamer onderlijnt en benadrukt. Stuk 15 administratief dossier, bijlage “2020-03-18.RE Bestand Zorgverleners verpleegkundigen”, in deze bijlage de e-mail dd. 17 maart 2020: “Le GDPR n’est pas annulé par la crise. On doit être et rester conscient et conscientiser nos collaborateurs […] » ; vrije vertaling : “De AVG is niet geannuleerd door de crisis. We moeten hieromtrent bewust zijn en blijven en onze medewerkers bewustmaken […]” Beslissing ten gronde 78/2023 — 9/37 b) De rechtmatigheid van de verwerking – het PLF geregeld onder een Ministerieel Besluit – de retroactieve kracht van het Samenwerkingsakkoord van 14 juli 2021
  44. De Geschillenkamer gaat eerst in op de rechtmatigheid van de verwerking. De weerhouden inbreuken van de Inspectiedienst vermelden niet expliciet artikel 6.1 AVG of artikel 9 AVG op dit punt, maar de klager en de verweerder zijn zowel in hun conclusies als op de hoorzitting ingegaan op de rechtmatigheid van meerdere verwerkingen die te maken hebben met het PLF. Eén van de grieven van de klager verwoord in diens klacht was in elk geval de rechtmatigheid van de doorgifte aan politiediensten van gezondheidsgegevens binnen de Belgische rechtsorde, nu artikel 34 § 1 WVP daarvoor expliciet onder haar eerste lid een formele rechtsnorm noodzaakt. 7 Bovendien is de rechtmatigheid van de verwerking een essentiële voorwaarde voor elke verwerking (cf. artikel 5.1.a AVG). 8 b.
  45. Doorgifte aan politiediensten onder artikel 34 § 1 WVP j° artikel 9 en artikel 6.1 AVG
  46. Wat betreft de doorgifte van persoonsgegevens uit het PLF aan politiediensten voor handhavende maatregelen, is een afzonderlijke beoordeling van de rechtmatigheid vereist. Zoals de Memorie van Toelichting bij het Samenwerkingsakkoord van 14 juli 2021 immers toelichtte : “De terugwerkende kracht met betrekking tot de bepalingen van het PLF heeft tot doel rechtszekerheid en een juridisch kader te bieden voor de bij het ministerieel besluit van 28 oktober 2020 genomen maatregelen, met dien verstande dat de strafrechtelijke bepalingen geen terugwerkende kracht hebben.”9
  47. De Geschillenkamer verwijst ook naar het advies de Raad van State bij het door de verweerder ingeroepen Samenwerkingsakkoord van 21 maart
  48. Daarin overwoog de Raad het volgende: “In dit geval is die terugwerkende kracht uit den boze aangezien de gegevens die in het kader van dit samenwerkingsakkoord uitgewisseld zullen worden het overeenkomstig de wetgeving van de gefedereerde entiteiten mogelijk zal maken strafrechtelijke sancties op te leggen aan de personen die zich niet houden aan de verplichtingen inzake quarantaine en testing. De bewoordingen van paragraaf 1 moeten bijgevolg aldus herzien worden dat elke terugwerking voorkomen wordt, bijvoorbeeld door te bepalen dat het 7 De situaties uit artikel 34, § 1, 2° en 3° WVP zijn kennelijk niet van toepassing in dit geval. 8 EDPB Richtsnoeren 1/2024 omtrent verwerking van persoonsgegevens op grond van artikel 6.1.f AVG, v.1.0, 8 oktober 2024, beschikbaar via: https://www.edpb.europa.eu/system/files/2024-10/edpb guidelines 202401 legitimateinterest en.pdf (momenteel in he Engels), zie par.
  49. 9 Samenwerkingsakkoord 14 juli 2021, Memorie van https://www.ejustice.just.fgov.be/mopdf/2021/07/23 3.pdf#page=
  50. Toelichting, artikel 33, raadpleegbaar via: Beslissing ten gronde 78/2023 — 10/37 samenwerkingsakkoord in werking treedt op de datum van bekendmaking van de laatste instemmingstekst.”10 (de Geschillenkamer onderlijnt en benadrukt)
  51. Zoals de klager terecht aanhaalt, is de doelstelling van de doorgifte van persoonsgegevens aan politiediensten op het moment van het indienen van zijn klacht, niet wettelijk geregeld. 11 Het doorgeven van deze gegevens is met name relevant wanneer bepaalde quarantaineverplichtingen niet worden gerespecteerd, wat een onmiskenbare link impliceert met een gezondheidsgegeven als bedoeld in artikel 9 AVG. 12
  52. Zoals de klager terecht stelt, geldt in België overeenkomstig artikel 34 WVP (als uitvoering van artikel 9.4 AVG) een expliciete wettelijke beperking die uitdrukkelijk benadrukt dat slechts in drie gevallen zulke gezondheidsgegevens mogen worden gedeeld: (i) bij formeel wettelijke norm, (ii) om de vitale belangen van de betrokkene veilig te stellen, of (iii) wanneer de betrokkene zelf de gegevens kennelijk openbaar heeft gemaakt. 13
  53. Wat betreft het hogergenoemd Ministerieel Besluit van 28 oktober 2020, dat van kracht was op het moment van de klacht – hetgeen op het punt van de doorgifte aan politiediensten géén retroactieve kracht werd toegekend c.q. kon worden toegekend – is dan ook een kennelijk probleem vast te stellen. Immers, artikel 34 WVP verplicht een formele wettelijke norm voor de verwerking van persoonsgegevens (zie ook infra, punt b.2 van deze sectie i.v.m. het legaliteitsbeginsel dat breder geldt in België).
  54. Zoals de verweerder in haar verweer terecht aanhaalt,14 is de Geschillenkamer niet bevoegd om een norm op zich te toetsen aan het hogere rechtskader; het behoort wel tot de opdracht van de Geschillenkamer om de rechtmatigheid van concrete persoonsgegevensverwerkingen te toetsen aan artikel 6.1 AVG en 9.2 AVG (en in dezelfde zin ook artikel 34 § 1 WVP) in overeenstemming met haar bevoegdheden onder artikel 4 WOG. Ter illustratie verwijst de Geschillenkamer naar een conclusie van de AdvocaatGeneraal bij het Hof van Cassatie: “In het bijzonder uit de toepasselijke bepalingen van het Algemene Verordening Gegevensbescherming (AVG

(12)) (art. 6.1, 77 AVG) en van de GBA-Wet
(13)(art. 100, § 1) volgt dat de GBA kan oordelen over het bestaan van de aangevoerde rechtmatigheidsgronden, zoals de toestemming van de betrokkene of een 10 Advies RvST nr. 69.000/VR, 16 maart 2021, par.
  1. 11 Het Ministerieel Besluit van 28 oktober 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken, vermeldt weliswaar de wet van 5 augustus 1992 op het politieambt, met vermelding van artikelen 11 en
  2. 12 Zelfs al is een persoon zelf niet besmet met het coronavirus COVID-19, kan een verplichte quarantaine in bepaalde omstandigheden immers iets zeggen over risicovol gedrag of een vastgesteld risico i.v.m. gezondheid. 13 Vgl. voor het laatste punt: HvJEU Arrest van 4 oktober 2024, Schrems t. Meta Platforms Ireland Ltd. , C-446/
  3. 14 I.a. repliekconclusie verweerder, par. 70-
  4. Beslissing ten gronde 78/2023 — 11/37 overeenkomst waarbij de betrokkene partij is. “15 (de Geschillenkamer onderlijnt en benadrukt)
  5. De klager haalt in zijn repliekconclusie aan dat verschillende stukken in het dossier erop wijzen dat de deling met de politiediensten effectief gebeurt. 16 Eén van de doelstellingen van het verzamelen en verwerken van gegevens in het PLF was het handhaven van quarantainemaatregelen door de doorgifte aan politiediensten van gegevens uit het PLF bij de contactopsporing via de Gemeenschappen. Het blijkt niet uit dit dossier dat de doorgifte op het moment van de klacht effectief door of via de verweerder gebeurde, nu de DPO daaromtrent expliciet stelde dat er geen wettelijke basis was om politiediensten rechtstreeks toegang te geven tot de databank met PLF-gegevens.17
  6. De Geschillenkamer kan niet vaststellen in dit dossier welke rol de verweerder in dit kader heeft gespeeld. Voor zover de doorgifte aan de politiediensten een verwerking was die effectief plaatsvond vóór de wettelijke regeling in het Samenwerkingsakkoord van 24 maart 2021, had deze doorgifte geen rechtsbasis waardoor deze niet kon gerechtvaardigd worden. b.
  7. Rechtmatigheid verwerking (gezondheids-)gegevens PLF ex artikel 6.1 en artikel 9.2 AVG
  8. Via het PLF werden persoonsgegevens verzameld en verder verwerkt, waaronder gevoelige gegevens zoals gezondheidsgegevens (artikel 4.15 AVG), waarvoor overeenkomstig artikel 9.1 AVG een principieel verwerkingsverbod geldt. Er moet immers specifiek gekeken worden naar de context en de doelstelling waarin bepaalde persoonsgegevens worden verzameld. In dit kader werden persoonsgegevens verzameld met het oog op contactopsporing en het nemen van eventuele quarantainemaatregelen, waarbij ook politionele handhaving op basis van deze gegevens uiteindelijk mogelijk werd. Zoals de EDPB ook heeft verduidelijkt, zijn zulke gegevens – die onder meer de blootstelling aan een bepaald gezondheidsrisico weergeven door het bezoek aan een regio – in hun context duidelijk te kwalificeren als gezondheidsgegevens dewelke ressorteren onder artikel 9 AVG.18 Dergelijke gegevens houden dus rechtstreeks of onrechtstreeks verband met de gezondheidstoestand van de betrokkene, hetgeen overigens ook blijkt het verweer van de 15 Vgl. mutatis mutandis de bevoegdheid van de GBA en haar Geschillenkamer om artikel 6.1.b AVG te mogen toetsen: Conclusie van de Advocaat Generaal in Cass. 10 januari 2025, C.21.0449.N (conclusie dd. 9 december 2024), beschikbaar via https://juportal.be/content/ECLI:BE:CASS:2025:CONC.20250110.1N.5?HiLi=eNpLtDK2qs60MrAutjI2sFJKT01PLUvNK05KLU 7OSC3KzcxLL04sLckvyixJzSxRss60MoSqdHd1dw1z9Qt2cg129nAN8vX0cw92DA3xD/IMcfUMAak0gqkkYGYtAFHdLHE= §2.2.
  9. 16 Conclusie klager, p. 4, verwijzend naar stuk 10.c FLOW PLF SMS_UITZ en stuk 10.d Bijlage 4_PLF FLOW VERKLAREND. 17 Stuk 15 administratief dossier, bijlage “2020-12-02.RE Passenger Locator Form 504 PLF politie controle quarantaine”: “ER is geen rechtsgrond waarop wij ons kunnen beroepen om politiediensten toegang te geven tot (bepaalde) gegevens in […].” 18 EDPB, Richtsnoeren 3/2020 inzake de verwerking van gezondheidsgegevens voor wetenschappelijk onderzoek in het kader van de COVID-19-uitbraak, 21 april 2020, § 8, waarbij de EDPB aanduidt dat volgende informatie onder de noemer gezondheidsgegevens ressorteert: “ […]informatie die neerkomt op gegevens over gezondheid wegens het gebruik ervan in een specifieke context (zoals informatie over een recente reis of verblijf in een door COVID-19 getroffen regio […]” Beslissing ten gronde 78/2023 — 12/37 verweerder, dewelke een rechtsbasis onder artikel 9.2 AVG aanduidt. Ook het Hof van Justitie verduidelijkte reeds dat ook informatie waaruit indirect gegevens van gevoelige aard van een betrokkene kunnen worden afgeleid, kwalificeren als persoonsgegevens binnen de bijzondere categorieën van persoonsgegevens.19 Deze elementen tonen aan dat een rechtsgrond in de zin van artikel 9.2 AVG nodig is.
  10. Zoals de Geschillenkamer reeds eerder heeft geoordeeld 20 moet de verwerking van bijzondere categorieën van persoonsgegevens in de zin van artikel 9.1 van de AVG gebaseerd zijn op een rechtsgrond ex artikel 9.2 van de AVG, gelezen in samenhang met artikel 6.1 van de AVG.21 Dit wordt ook bevestigd door overweging 51 van de AVG waarin het volgende staat over de verwerking van bijzondere categorieën van persoonsgegevens: "Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking”.22 In een eerdere beslissing heeft de Geschillenkamer, ook in de context van de coronapandemie, deze context eveneens toegelicht.23 In dit kader verwijst de Geschillenkamer eveneens naar het arrest Privacy International van het Hof van Justitie van 6 oktober
  11. 24
  12. De Geschillenkamer benadrukt dat de verweerder zich slechts kan beroepen op de rechtmatigheidsgrondslag van artikel 6.1.c AVG en op de uitzonderingen waarin artikel 9.2.i en artikel 9.2.h van de AVG voorzien – de bepalingen dewelke zij aanvoert in haar verweer 25 – indien zij aantoont: (i) Dat er een belangrijke reden van preventieve geneeskunde, waaronder het verstrekken van gezondheidszorg en het beheren van gezondheidszorgstelsels en -diensten (in het geval van artikel 9.
  13. h) en dat er een belangrijke reden van 19 HvJEU Arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, o.m. par
  14. 20 Cfr. Geschillenkamer beslissing ten gronde 76/2021, § 33, en Geschillenkamer beslissing ten gronde 47/2022, §
  15. 21 Zie in dit verband: GEORGIEVA, L. en KUNER, C., "Article
  16. Processing of special categories of personal data” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, p. 37: "The Commission has stated that the processing of sensitive data must always be supported by a legal basis under Article 6 GDPR, in addition to compliance with one of the situations covered in Article 9
(2). The EDPB has also stated that ‘If a video surveillance system is used in order to process special categories of data, the data controller must identify both an exception for processing special categories of data under Article 9 (i.e. and exemption from the general rule that one should not process special categories of data) and a legal basis under Article 6." Vrije vertaling: “De Commissie heeft verklaard dat de verwerking van gevoelige gegevens altijd moet worden ondersteund door een rechtsgrondslag op grond van artikel 6 AVG, naast de naleving van een van de situaties die in artikel 9, lid 2, worden genoemd. De EDPB heeft ook het volgende verklaard : “Als een videobewakingssysteem wordt gebruikt om bijzondere categorieën gegevens te verwerken, moet de verantwoordelijke voor de verwerking zowel een uitzondering voor de verwerking van bijzondere categorieën gegevens op grond van artikel 9 (d.w.z. een uitzondering op de algemene regel dat men geen bijzondere categorieën gegevens mag verwerken) als een rechtsgrondslag op grond van artikel 6 vaststellen”.” 22 Eigen onderlijning door de Geschillenkamer. 23 Beslissing Geschillenkamer 48/2022 van 4 april 2022, §§90 e.v. 24 HvJEU Arrest van 6 oktober 2020, Privacy International, C-623/17, specifiek par. 68 daar. 25 Repliekconclusie verweerder, specifiek par. 34-35. Beslissing ten gronde 78/2023 — 13/37 algemeen belang is op het gebied van volksgezondheid (in het geval van artikel 9.2.i): (
  1. ii)Dat er een wettelijke bepaling bestaat waarop de verweerder zich rechtsgeldig kan beroepen conform de artikelen 6.1.c, 6.3 en 9.2.h resp. 9.2.i van de AVG; (iii) Dat de betrokken verwerkingen noodzakelijk zijn om te voldoen aan de wettelijke verplichting die wordt ingeroepen conform artikel 6.1.c AVG; alsook noodzakelijk voor redenen van algemeen belang op het gebied van volksgezondheid conform artikel 9.2.h resp. artikel 9.2.i AVG. 48. Met betrekking tot het eerste constitutieve element (
  2. i)heeft de GBA reeds eerder beslist dat er geen twijfel over kan bestaan dat de bestrijding van de COVID-19-pandemie moet worden beschouwd als een ‘zwaarwegend algemeen belang op het gebied van volksgezondheid’ in de zin van artikel 9.2.i AVG. Ook de preventieve maatregelen die de entiteiten van de Staat moeten treffen om dit algemeen belang veilig te stellen, in de zin van artikel 9.2.h AVG kunnen als dusdanig worden aangemerkt. Zoals de verweerder terecht aanvoert, staat dit uitdrukkelijk vermeld in overweging 46 van de AVG, waarin wordt verwezen naar “[het monitoren] van een epidemie en de verspreiding daarvan” als een “gewichtige reden van algemeen belang”. 49. Het tweede constitutieve element (
  3. ii)heeft betrekking op het bestaan van een wettelijke bepaling waarop de betrokken verwerking gebaseerd is conform de artikelen 6.1.c en 9.2.i resp. 9.2.h van de AVG. 50. De verweerder stelt dat de verwerkingen (het verzamelen en verder verwerken van persoonsgegevens via het PLF) stoelen op een Ministerieel Besluit hetwelk haar oorsprong vindt in een wettelijke norm, met name een Samenwerkingsakkoord van 14 juli 2021, en verantwoordt als dusdanig de rechtmatigheid van haar verwerking onder artikel 6.1.c AVG en artikel 9.2.i resp. artikel 9.2.h AVG. Van belang hierbij te vermelden is dat overweging 41 van de preambule van de AVG ter zake onderstreept dat de wetgevingsmaatregel “duidelijk en nauwkeurig” moet zijn, alsook “voorspelbaar […] voor degenen op wie deze van toepassing is”.26 51. Op het moment van het indienen van de klacht in dit dossier door de klager (in februari 2021) bestond er nog geen Samenwerkingsakkoord en was de verwerking gestoeld op een Ministerieel Besluit.27 In België geldt het legaliteitsbeginsel, i.e. een formele wettigheidsvereiste28 waardoor inperkingen op fundamentele rechten zoals privacy en 26 Vgl. eveneens HvJEU arrest van 21 juni 2022, Ligue des droit humains t. Ministerraad, C-817/19, §117 ; HvJEU arrest van 16 juli 2020, Schrems II, C-311/18, §176. 27 Op 18 februari 2021 werd het PLF geregeld bij Ministerieel Besluit van 28 oktober 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken, waarbij dit MB voor het laatst werd gewijzigd op 26 januari 2021; vgl. eveneens de privacyverklaring van de verweerder zoals geciteerd in het verslag van de Inspectiedienst, blz. 3. 28 GWH arrest van 1 juni 2023 , nr. 84/2023, §B.16.10 Beslissing ten gronde 78/2023 — 14/37 gegevensbescherming overeenkomstig artikel 22 van de Grondwet enkel door een formele wettelijke norm kunnen worden beperkt.29 Een delegatie is mogelijk wanneer deze voldoende is afgebakend, hetgeen niet het geval is in de wetgeving waarop het M.B. tot voor de litigieuze Samenwerkingsakkoorden stoelde zoals aangevoerd door de verweerder.30 De verweerder als administratie kan in se niet de instantie zijn die een regelgevende bevoegdheid assumeert.31 52. Het Grondwettelijk Hof heeft in 2023 nog eens de voorwaarden en omkadering van het legaliteitsbeginsel in de Belgische rechtsorde gekaderd – specifiek in een geval waar het om verwerkingen in de context van de COVID-19 coronapandemie ging: “Bij artikel 22 van de Grondwet wordt aan de bevoegde wetgever de bevoegdheid voorbehouden om te bepalen in welke gevallen en onder welke voorwaarden afbreuk kan worden gedaan aan het recht op eerbiediging van het privéleven. Het waarborgt aldus aan elke burger dat geen inmenging in de uitoefening van dat recht kan plaatsvinden dan krachtens regels die zijn aangenomen door een democratisch verkozen beraadslagende vergadering. […] Bijgevolg moeten de essentiële elementen van de verwerking van persoonsgegevens in de wet, het decreet of de ordonnantie zelf worden vastgelegd.” 32 53. (de Geschillenkamer onderlijnt en benadrukt) Het Samenwerkingsakkoord van 14 juli 2021 werd echter door de interfederaal bevoegde wetgevers retroactieve kracht toegekend voor wat betreft de PLF-verwerkingen, en dit tot 10 juli 2020 (cfr. artikel 33 § 4 van het Samenwerkingsakkoord).33 54. De retroactiviteit van een wettelijke norm toelaten in het gegevensbeschermingsrecht kan binnen de Belgische constitutionele orde binnen een bepaald kader, met name in het kader van noodsituaties die moeten beheerst worden in het algemeen belang (infra, arrest 29 Vgl. RvST, Afdeling Wetgeving, advies n° 69.336/VR van 17 mei 2021. 30 Vgl. Repliekconclusie verweerder, par. 15 e.v., specifiek de verwijzing naar de Wet van 31 december 1963 betreffende de civiele bescherming; in het Ministerieel Besluit van 28 oktober 2020 wordt verwezen naar de wet van 15 mei 2007 betreffende de civiele veiligheid. 31 Vgl. Kenniscentrum GBA, advies 124/2021 van 12 juli 2021, beschikbaar via: https://www.gegevensbeschermingsautoriteit.be/publications/advies-nr.-124-2021.pdf, §66: “Artikel 21 van het ontwerp van samenwerkingsakkoord bepaalt in fine dat de precieze via het PLF te verzamelen gegevens door de FOD Volksgezondheid worden bepaald, die het PLF-model op zijn website moet publiceren. De grondwettelijke beginselen inzake delegatie van bevoegdheden staan een dergelijke delegatie van een regelgevende bevoegdheid aan de administratie niet toe, die per definitie haar verantwoordelijkheid tegenover het Parlement niet op zich neemt. Het ontwerp moet worden herzien om uitdrukkelijk te bepalen dat de precieze gegevens die via het PLF worden verzameld, door de Koning worden vastgesteld (in een koninklijk besluit) of in een uitvoerend samenwerkingsakkoord.” 32 GWH arrest van 1 juni 2023 , nr. 84/2023, §B.16.9. 33 Syntheseconclusie verweerder, p. 10. Beslissing ten gronde 78/2023 — 15/37 Grondwettelijk Hof nr. 84/2023). Deze Belgische context kan echter geen afbreuk doen aan de hogere Europese rechtsnormen, waaronder de AVG, dewelke dus stelt dat de rechtsgrond in de zin van artikel 6.1.c AVG duidelijk en voorzienbaar moet zijn. 55. De functionaris voor gegevensbescherming (“DPO”) had in juli 2020 al vragen gesteld omtrent het AVG-conforme karakter van het PLF,34 en de DPO had in juli 2020 reeds gewezen op het feit dat er een Samenwerkingsakkoord rechtszekerheid zou bieden teneinde de gedegen wettelijke basis voor de rechtmatigheid van de verwerking te verzekeren.35 De Geschillenkamer noteert hier dat tussen het intern maken van deze opmerking over het Samenwerkingsakkoord en de eerste gebruikname van het PLF enerzijds, en het uiteindelijk gesloten Samenwerkingsakkoord van 24 maart 2021 anderzijds, dus zo’n 8 maanden zijn verstreken; het Samenwerkingsakkoord van 14 juli 2021 dat terugwerkende kracht verleent, valt daarenboven een jaar na de initiële ingebruikname.36 Dit betekent uiteraard niet dat de duurtijd voor het opstellen van het Samenwerkingsakkoord verwijtbaar is aan de verweerder. 56. Er is geen uitspraak van het Grondwettelijk Hof over de rechtmatigheid van het Samenwerkingsakkoord van 24 maart 2021 of het Samenwerkingsakkoord van 14 juli 2021 waar deze handelen over (de bepaling van de essentiële elementen voor) verwerkingen middels het Passenger Locator Form. Er is wel een uitspraak van het Grondwettelijk Hof over de toegestane retroactiviteit37 van het Samenwerkingsakkoord van 12 maart 2021 betreffende de registratie van vaccinatiegegevens in Vaccinnet. In dit laatste geval waren de omstandigheden verschillend van deze van het PLF. 57. Daarbij was ook de periode tussen de eerste initiële verwerkingen en het uiteindelijke Samenwerkingsakkoord kennelijk korter dan tussen het initiële gebruik van het PLF en het Samenwerkingsakkoord van 24 maart 2021 en zeker dat van 14 juli 2021. In het geval van de beoordeling van het Samenwerkingsakkoord van 12 maart 2021 speelde dit mee in de overwegingen van het Grondwettelijk Hof bij het vaststellen van het toelaatbare karakter van de retroactiviteit. Het Grondwettelijk Hof stipuleerde met name: 34 Stuk 15 administratief dossier, bijlage “2020-07-14.RE 460 Public Health Passenger Locator Form.msg”, e-mail van 14 juli 2020 aldaar vanwege de DPO, dewelke stelt: “Ik verneem dat het formulier ondertussen in gebruik zou zijn . . . We zijn hiermee echter allesbehalve al AVG-conform. Kan dit punt van de wettelijke grondslag (en dus de wettelijke bevoegdheid PHA) verder worden opgenomen?” 35 Stuk 15 administratief dossier, bijlage “2020-07-24.RE statuutbevoegdheid SANIPORT ikv PLF.msg”, e-mail vanwege de DPO dd. 24 juli 2020: “Een samenwerkingsakkoord biedt inderdaad rechtszekerheid, dit in tegenstelling tot een protocol.” 36 Het Samenwerkingsakkoord van 21 maart 2021 stipuleerde omtrent de inwerkingtreding immers in haar artikel 10 § 1: “Dit samenwerkingsakkoord treedt in werking op de datum van bekendmaking van de laatste wetgevende handeling tot instemming met dit samenwerkingsakkoord.”; omtrent de terugwerkende kracht van het Samenwerkingsakkoord van14 juli 2021 (cfr. artikel 33 daar), zie infra. 37 GwH 84/2023, 1 juni 2023, beschikbaar via : https://www.const-court.be/public/n/2023/2023-084n.pdf, par. B.50,. Beslissing ten gronde 78/2023 — 16/37 “In de in B.2 in herinnering gebrachte context moet worden beklemtoond dat het samenwerkingsakkoord van 12 maart 2021 werd gesloten binnen een termijn van minder dan drie maanden, gelijktijdig met de start van de vaccinatiecampagne in januari 2021 in omstandigheden van dringende noodzakelijkheid, teneinde de COVID-19pandemie te bestrijden.”38(de Geschillenkamer onderlijnt en benadrukt) 58. In die zin kan niet doeltreffend geargumenteerd worden dat er een wettelijke basis bestond in februari 2021 voor de verwerkingen via het PLF, nu het Grondwettelijk Hof geen uitspraak heeft gedaan over het voor de voor deze zaak van belang zijnde aspecten van het ingeroepen Samenwerkingsakkoord, en ernaast – op basis van de overwegingen van het Hof in het voornoemde arrest – ook niet vaststaat dat het Hof de retroactiviteit in casu als grondwetsconform zou aanmerken. 59. De Geschillenkamer is vervolgens van oordeel dat – zelfs indien de retroactiviteit van de wettelijke norm is toegekend bij Samenwerkingsakkoord van 14 juli 2021 – nog steeds blijkt dat de klacht op 18 februari 2021 is ingediend. 60. Overeenkomstig artikel 4 WOG is de Gegevensbeschermingsautoriteit bevoegd voor de toepassing van de AVG, waaronder de artikelen 5.1.a, 6.1 en 9.2 daarvan. De AVG is een verordening die rechtstreekse werking heeft in België. Wanneer de klacht van 18 februari 2021 alzo wordt beoordeeld door de Geschillenkamer van de GBA, dient de AVG onder de primauteit39 van het EU-recht autonoom te worden toegepast waarbij de eventuele retroactiviteit voorzien door de Belgische interfederale wetgever – al dan niet als dusdanig gevalideerd door het nationale40 constitutionele hof – niet noodzakelijk verzoenbaar zou zijn met de vereisten verankerd in de Europese norm. 41 De exclusieve, finale toetsing van de interpretatie van zowel het Handvest als de AVG ligt in deze context bij het Europees Hof van Justitie.42 61. Het staat vast dat er geen wettelijke basis was op 18 februari 2021 voor de verwerking van de persoonsgegevens. Weliswaar bestond er een Ministerieel Besluit, waarop de 38 GWH 84/2023, par. B.49.1. 39 HvJEU, 5 februari 1963, Van Gend & Loos, 26/62; HvJEU, 15 juli 1964, Costa v ENEL, 6/64. 40 VgL. HvJEU, 17 december 1970, Internationale Handelsgesellschaft, 11/70, §3: “beweerde inbreuken op grondrechten zoals die in de constitutie van een Lid-Staat zijn neergelegd of op de beginselen van het constitutioneel bestel van een Lid-Staat, [kunnen] aan de rechtsgeldigheid van een handeling der Gemeenschap of aan de werking dier handeling op het grondgebied van die staat niet afdoen.”; ook HvJEU, 9 maart 1978, Simmenthal, 106/77; HvJEU, 24 juni 2019, Poplawski, C-573/17. 41 Omtrent de rechtstreekse werking van het EU-recht en de voorrang, zie DE BAERE, G. en MEEUSEN, J., Grondbeginselen van het recht van de Europese Unie, 2e ed., Antwerpen, Larcier Intersentia, 2024, parn. 3-12 t/m 3-42. 42 Artikel 19 Verdrag betreffende de Europese Unie, en artikel 267 Verdrag betreffende de Werking van de Europese Unie. Beslissing ten gronde 78/2023 — 17/37 verweerder zich beriep als rechtmatigheidsgrondslag. Echter, zoals het Kenniscentrum van de GBA reeds vaststelde: het Ministerieel Besluit is geen norm van wetgevende rang die de essentiële elementen van het verzamelen van gegevens via het PLF en de registratie ervan in de PLF-databank vastlegt.43 In die zin is wel degelijk een inbreuk vast te stellen op artikel 6.1 en artikel 9.1 AVG. 62. Daarbij wijst de Geschillenkamer erop dat al sinds de zomer van 2020 door de functionaris voor gegevensbescherming was gewezen op het feit dat een Samenwerkingsakkoord mogelijk een goede rechtsgrond zou bieden voor de voorgenomen verwerkingen. 44 63. Voor de volledigheid stelt de Geschillenkamer dat, voor zover de verweerder zich hierop beroept, het algemeen belang als rechtmatigheidsgrondslag onder artikel 6.1 AVG niet gedeeltelijk dan wel subsidiair kan worden ingeroepen naast de wettelijke verplichting. Indien de verweerder deze rechtsgrond had willen aanduiden – gezien de specifiek noodsituatie van de coronapandemie – had zij dat primair en van bij het begin moeten doen (bijvoorbeeld in afwachting van een formele wettelijke regeling). Eveneens voor de volledigheid stelt de Geschillenkamer vast dat verscheidene internationale afspraken en verdragen (zoals de door verweerder aangehaalde International Health Regulations) niet kunnen kwalificeren als voldoende nauwkeurige en kwalitatieve norm in het licht van het legaliteitsbeginsel, temeer omdat deze bepalingen louter algemene afspraken regelen (met verwoordingen als “Met inachtneming van toepasselijke internationale overeenkomsten en relevante artikelen van deze Regeling kan een Staat die Partij is ten behoeve van de volksgezondheid […] verlangen” 45). 64. De Geschillenkamer overweegt de uitzonderlijke omstandigheden van de coronapandemie, en merkt op dat uit de door de verweerder aangeleverde stukken blijkt dat de verweerder ook voorafgaand nadacht over de door haar genomen technische en organisatorische maatregelen. Daarbij is het voor de Geschillenkamer met name relevant dat de functionaris voor gegevensbescherming (DPO) een zeer actieve rol kon spelen in deze fase van de pandemie, en in direct contact stond met directieleden van de verweerder. Het feit dat de omstandigheden van het opstellen van Samenwerkingsakkoorden uitermate complex zijn, zoals aangehaald ter hoorzitting door de verweerder, is geen rechtvaardiging maar wel belangrijke context voor de beoordeling van deze inbreuk. De verweerder heeft te dezen op transparante wijze met de GBA gecommuniceerd, en 43 Zie advies nr. 124/2021.”. Zie ook RvS, advies nr. 68.978 van 16 maart 2021. 44 Stuk 15 administratief dossier, bijlage “2020-07-24.RE statuutbevoegdheid SANIPORT ikv PLF.msg”, e-mail vanwege de DPO dd. 24 juli 2020: “Een samenwerkingsakkoord biedt inderdaad rechtszekerheid, dit in tegenstelling tot een protocol.” 45 Repliekconclusie verweerder, par. 96, waar de verweerder vrij vertaalt uit artikel 23 van de International Health Regulations; in de tekst onderlijnt en benadrukt de Geschillenkamer. Beslissing ten gronde 78/2023 — 18/37 uitgebreid haar medewerking verleend door het overmaken van vele interne stukken. Dit kan op zich uiteraard niet de rechtmatigheid rechtzetten, maar deze omstandigheden zijn wel degelijk relevant in de beoordeling van de ernst en intentie van de inbreuk – hetgeen relevant is voor de vaststelling van de sanctionering. 65. Om al deze redenen stelt de Geschillenkamer vast dat er door de verweerder een inbreuk werd begaan op artikel 6.1 AVG en artikel 9.1 AVG (door het gebrek aan adequate rechtsgrond in de zin van artikel 9.2.h AVG), en spreekt zij, gezien de context, de berisping uit voor dit aspect. II.2. Minimale gegevensverwerking, de principes inzake gegevensbescherming door ontwerp en standaardinstellingen en de verantwoordingsplicht II.2.1. Onderzoek Inspectiedienst 66. Ten eerste verwijst de Inspectiedienst naar een inbreuk op het beginsel van minimale gegevensverwerking: de verweerder zou niet voldoende aangetoond hebben waarom alle verzamelde persoonsgegevens via het Passenger Locator Form (PLF) noodzakelijk zijn voor de beoogde doeleinden. Dit maakt volgens de Inspectiedienst een schending uit van artikel 5.1.c en artikel 5.2 van de AVG. Daarnaast stelt de Inspectiedienst vast dat het gebrek aan verantwoording wat betreft de noodzakelijkheid van het opvragen van bepaalde gegevens een inbreuk uitmaakt op artikel 24 en artikel 25 van de AVG met betrekking tot verantwoordingsplicht en gegevensbescherming door ontwerp en standaardinstellingen. 67. Ten tweede stelt de Inspectiedienst een inbreuk vast op het beginsel van opslagbeperking: de bewaartermijn van de persoonsgegevens is volgens de Inspectiedienst niet voldoende gemotiveerd. De verweerder heeft geen bewijs geleverd waarom de gekozen termijn noodzakelijk is, ondanks expliciete vragen van de Inspectiedienst. Dit maakt volgens de Inspectiedienst een schending uit op artikel 5.1.e en 5.2 van de AVG, evenals artikel 24 en artikel 25 van de AVG. II.2.2. Standpunt klager 68. De klager stelt in zijn conclusie van repliek, samengevat, het volgende: a. De klager gaat vooreerst ten algemene in op de internationale kadering van het PLF, specifiek waar dit volgens verweerder zou kaderen in internationaal aanvaarde instrumenten opgenomen in de ‘International Health Regulations’ (IHR). De klager merkt in zijn repliekconclusie op dat slechts weinige landen in de Europese Unie gebruikmaken van het European Digital Passenger Locator Form. Beslissing ten gronde 78/2023 — 19/37 Daarbij stelt hij dat in de Belgische versie van dit PLF – in tegenstelling tot in de Europese versie – aanzienlijk meer persoonsgegevens moeten worden gedeeld. De klager verwijst onder meer naar exacte verblijfplaatsen (waar het in het Europese exemplaar gaat over regio’s); ook het vluchtnummer en het stoelnummer moet verplicht worden ingevuld op het Belgische PLF. b. Voorts stelt de klager algemeen dat het disproportioneel karakter ook blijkt uit het feit dat het gebruik van het PLF geen aanzienlijke invloed had op de besmettingscijfers. c. De klager gaat ook in op bepaalde aspecten van het PLF wettelijk werden geregeld in een Samenwerkingsakkoord van 24 maart 2021 – waar de verweerder in haar antwoordconclusie op wees. Klager stelt dat hij zijn klacht voordien, nl. op 18 februari 2021 had ingediend. Klager stelt te dezen dat hij in elk geval de deling van de gegevens uit het PLF met bepaalde entiteiten “totaal disproportioneel en illegitiem” acht. d. De klager betwist eveneens dat de bewaartermijn voor gegevens uit het PLF van 28 dagen nodig is. Voor de klager ligt er geen verklaring voor waarom – in het licht van de argumentatie van verweerder die verwijst naar een periode van 14 dagen waarin men potentieel positief op COVID-19 kan testen – er net voor een periode van 28 dagen zou worden gekozen. e. Voorts sluit de klager zich aan bij de vaststellingen m.b.t. inbreuken die de Inspectiedienst vaststelde in haar verslag. II.2.3. Standpunt verweerder 69. Vooreerst formuleert de verweerder een voorafgaandelijke opmerking waarbij zij de benadering van de Inspectiedienst betwist waarbij elke schending van een AVG-bepaling automatisch wordt gekwalificeerd als een inbreuk op artikelen 24 en 25 AVG. In de benadering van de Inspectiedienst wordt artikel 25 AVG ten onrechte beschouwd als een algemene zorgvuldigheidsnorm, zo stelt de verweerder, terwijl het in werkelijkheid een verplichting inhoudt tot het nemen van technische en organisatorische maatregelen bij het ontwerp van verwerkingen. Artikel 25 kan dus niet analoog worden toegepast zoals artikel VI.104 WER. Het uitgangspunt dat elke schending van de artikelen 5 tot en met 23 AVG ook een schending van artikel 24 en 25 inhoudt, is volgens de verweerder juridisch onjuist en strijdig met de systematiek en finaliteit van de AVG. 70. Vervolgens argumenteert de verweerder, samengevat, als volgt wat betreft “de inbreuk op het principe van minimale gegevensverwerking, op de verantwoordingsplicht en op Beslissing ten gronde 78/2023 — 20/37 ‘gegevensbescherming door ontwerp’ en ‘gegevensbescherming door standaardinstellingen’ ”: a. Het inspectieverslag dat besluit tot een inbreuk op de AVG is volgens de verweerder niet gemotiveerd. De verweerder verwijst daarbij naar de vaststelling van de Inspectiedienst dat de verwerkingsverantwoordelijke zelf niet aantoont waarom de persoonsgegevens noodzakelijk zijn voor de doeleinden waarvoor zij zijn verwerkt. De verweerder stelt dat zij “zich moeilijk [kan] verweren tegen een dergelijke summiere beschuldiging van de Inspectiedienst. De inbreuk waarvan [verweerder] beticht wordt, kan dan ook niet worden weerhouden.” b. De verweerder stelt de nodige informatie te hebben verleend als antwoord op vragen aan de Inspectiedienst, en dus aan de medewerkingsplicht te hebben voldaan. c. De verweerder stelt dat de verwerking van persoonsgegevens gebeurde op basis van een internationaalrechtelijke verplichting en op een proportionele manier, verwijzend naar de “Internationale Gezondheidsregeling” (“International Health Regulations” of “IHR”). De verweerder stelt dat het artikel “integraal deel is van het positief recht in België” en stelt verder: “Om de correcte uitvoering van hierboven vermelde[] bepalingen te faciliteren, heeft de WGO een standaarddocument uitgewerkt, de Passenger Locator Card. Het PLF is volledig gebaseerd op dit standaarddocument.” Daarnaast verwijst de verweerder naar het EU Uitvoeringsbesluit nr. 2021/858 van 27 mei 2021, waarin de “minimale dataset [is] vastgesteld die moet worden opgenomen in het EU-PLF en, wanneer hierin wordt voorzien, het nationale PLF van een Lidstaat.” In dit kader stelt verweerder dat in het licht van art. 5.1.c AVG dient te worden beoordeeld of de beoogde verwerking strikt genomen nodig is. De verweerder stelt dat zij overtuigd is dat de verzameling in het kader van het PLF “proportioneel is wanneer de doeleinden van de verwerking worden afgewogen met de rechten van betrokkenen.” 71. Verder draagt de verweerder een aantal verweermiddelen aan met betrekking tot de “inbreuk op het beginsel van opslagbeperking, op de verantwoordingsplicht en op de gegevensbescherming door ontwerp en door standaardinstellingen”: a. De verweerder stelt opnieuw dat het inspectieverslag dat besluit tot een AVGinbreuk niet is gemotiveerd, verwijzend naar de “zeer summiere wijze” van de geformuleerde bevindingen. Beslissing ten gronde 78/2023 — 21/37 b. De verweerder stelt opnieuw de nodige informatie te hebben verleend als antwoord op vragen aan de Inspectiedienst, en dus aan de medewerkingsplicht te hebben voldaan. c. De verweerder stelt vervolgens dat de door haar gehanteerde bewaartermijnen “wel degelijk noodzakelijk zijn”: “De persoonsgegevens opgevraagd in het PLF worden immers bijgehouden in het kader van de contact tracing, testing en quarantaine. Teneinde een wetgevend kader voor deze contact tracing, testing en quarantaine te creëren, werd een samenwerkingsakkoord afgesloten tussen de federale overheid en de gefedereerde entiteiten, zijnde het Samenwerkingsakkoord van 25 augustus 2020. . . . Er wordt een bewaringstermijn van 28 dagen gehanteerd gelet op het feit dat een besmetting kan volgen binnen een termijn van 14 dagen na het contact met een andere persoon die positieve testte op het COVID-19virus. Indien men op de laatste dag van deze periode van 14 dagen positief test, begint er een nieuwe termijn van 14 dagen te lopen voor de persoon die contact had met degene die op de laatste van de 14 dagen positief testte. Gelet op het voorgaande zijn de persoonsgegevens na 28 dagen niet meer nuttig in het kader van het PLF. Om die reden hanteert [verweerder] een bewaringstermijn van 28 dagen, hetgeen volledig in lijn ligt met de epidemiologische omstandigheden van het coronavirus COVID-19, zoals ook wordt bijgetreden door verschillende wetenschappelijke adviesorganen. [Verweerder] past aldus bewaartermijnen toe die tot op heden worden ondersteund door de wetenschappelijke realiteit. Deze motivering wordt door [verweerder] ook volledig uiteengezet in de memorie van toelichting van het Samenwerkingsakkoord van 14 juli 2021.” II.2.4. Beoordeling Geschillenkamer 72. Als tweede luik in haar beoordeling gaat de Geschillenkamer in op de aspecten in verband met de minimale gegevensverwerking (artikel 5.1.c AVG) alsook opslagbeperking (artikel 5.1.e AVG) dewelke de Inspectiedienst aan de kaak stelde. Dit zijn aspecten die nauw verband houden met de grieven van de klager. De Inspectiedienst stelt dat de verweerder niet argumenteert waarom bepaalde gegevens noodzakelijk zijn, en meent daarom onder meer een inbreuk op artikel 24, juncto artikel 5.2 AVG te kunnen afleiden, specifiek omdat Beslissing ten gronde 78/2023 — 22/37 de verweerder niet zou verantwoorden waarom bepaalde persoonsgegevens verzameld via het PLF noodzakelijk zouden zijn voor de doeleinden van de verwerking.
  4. a)Adviezen 27/2021 en 124/2021 van het Kenniscentrum van de GBA 73. In dit kader wijst de Geschillenkamer er vooreerst op dat het (toenmalige) Kenniscentrum van de GBA in zowel advies 27/2021 van 17 maart 2021 als in haar advies 124/2021 van 12 juli 2021 is ingegaan op de wettelijke aspecten van het PLF en het opnemen van persoonsgegevens in een PLF-databank. De Geschillenkamer wenst een aantal elementen uit het laatste advies te hernemen. 74. Er zij daarbij op gewezen dat het advies 124/2021 dat het Kenniscentrum dienaangaande opstelde, handelt over een wetgevend initiatief dat dateert van na de klachtneerlegging en het litigieus gebruik van het PLF. Desalniettemin zijn enkele elementen uitermate pertinent voor de analyse in dit dossier. 75. Het kenniscentrum heeft vooreerst in het advies in herinnering gebracht dat “elke inmenging in het recht op eerbiediging van de bescherming van persoonsgegevens, en al zeker wanneer het gaat om een aanzienlijke inmenging, alleen is toegestaan indien zij noodzakelijk is en in verhouding staat tot het nagestreefde doel (of de nagestreefde doelen) en indien zij wordt omkaderd door een norm die voldoende duidelijk en nauwkeurig is en waarvan de toepassing voor de betrokken personen dus te voorzien is. Krachtens artikel 22 van de Belgische Grondwet moeten de "wezenlijke elementen " van de gegevensverwerking die een publieke inmenging in het recht op privacy veroorzaakt door middel van een formele wettelijke norm (wet, decreet of ordonnantie) worden vastgesteld.”46 76. Daarnaast heeft het Kenniscentrum in hetzelfde advies benadrukt dat de essentiële elementen die dienen te worden opgenomen in een PLF kunnen “variëren naargelang van het doel en de omstandigheden die het verplicht invullen van het PLF rechtvaardigen.”47 Met andere woorden: het kan zijn dat de gegevens die worden verzameld middels het PLF verschillen naargelang de kenmerken van de crisissituaties (in het bijzonder de noodzakelijke elementen in het licht van een pandemie). 77. In dat kader heeft het Kenniscentrum ook benadrukt dat de specifieke doeleinden van de verzamelde persoonsgegevens moeten worden beschreven overeenkomstig het beginsel van doelbinding (artikel 5.1.b AVG).48 Specifiek heeft het Kenniscentrum vragen gesteld bij een aantal verzamelingen die te maken hadden met
  5. a)de identificatie- en contactgegevens van medereizigers,
  6. b)de informatie omtrent de “wil van de betrokkene om in België te verblijven” waar al een andere vraag bestond omtrent de voorgenomen verblijfsduur in 46 Kenniscentrum GBA, advies 124/2021, §56. 47 Kenniscentrum GBA, advies 124/2021, §59. 48 Kenniscentrum GBA, advies 124/2021, §61. Beslissing ten gronde 78/2023 — 23/37 België,
  7. c)de redenen voor het verblijf in België wanneer betrokkenen zich niet beroepen op een vrijstellingsbepaling om het PLF niet te moeten invullen/verstrekken, en
  8. d)de redenen voor het specifiek moeten verzamelen van (buitenlandse) verblijfplaatsen. 49 78. Verder heeft het Kenniscentrum nog verduidelijkt dat de delegatie door de wetgever aan de FOD Volksgezondheid, dus de verweerder in onderhavig dossier, om bepaalde gegevens door die FOD te laten verzamelen, niet strookt met de grondwettelijke beginselen inzake de delegatie van bevoegdheden. Het Kenniscentrum stelt dat zulks door de Koning moet worden vastgesteld, dan wel in een uitvoerend samenwerkingsakkoord. 79. Het Kenniscentrum heeft, daarnaast, specifiek onderlijnd dat de bewaartermijn van 28 dagen, zoals uiteindelijk vastgesteld in het Samenwerkingsakkoord van 14 juli 2021, haar evenredig lijkt.50 80. De Geschillenkamer verwijst naar de elementen uit het advies van het Kenniscentrum, en wijst erop dat de doeleinden voor het verzamelen van specifieke persoonsgegevens voorafgaand dienen te worden vastgesteld, en dat een verwerkingsverantwoordelijke – mede in het licht van het respecteren van het principe van minimale gegevensverwerking in de zin van artikel 5.1.c AVG – enkel die persoonsgegevens dient op te vragen dewelke noodzakelijk zijn voor de doeleinden van het PLF.
  9. b)De grieven van de klager en de vaststellingen van de Inspectiedienst inzake het “noodzakelijk” karakter van de verzamelde persoonsgegevens 81. De Geschillenkamer stelt vast dat de verweerder wel degelijk een lijst overmaakte aan de Inspectiedienst waarbij zij argumenteerde per via het PLF gevraagde persoonsgegeven waarom dit persoonsgegeven relevant was – binnen een context van een breder onderzoek waarbij ook andere vragen door de Inspectiedienst tot de verweerder werden gericht. Deze lijst wordt hernomen 49 Kenniscentrum GBA, advies 124/2021, §65. 50 Kenniscentrum GBA, advies 124/2021, §68. in het onderzoeksverslag van de Inspectiedienst: Beslissing ten gronde 78/2023 — 24/37 Beslissing ten gronde 78/2023 — 25/37 82. In casu stelt de Geschillenkamer vast dat voor elk soort verzameld persoonsgegeven een verantwoording wordt verschaft door de verweerder ten aanzien van de Inspectiedienst. Deze laatste geeft in haar verslag aan dat “door de VV echter niet aangetoond [wordt] waarom al die persoonsgegevens noodzakelijk zijn voor doeleinden waarvoor zij worden verwerkt.” Beslissing ten gronde 78/2023 — 26/37 Te dezen stelt de verweerder in haar repliekconclusie: “Concluante kan zich moeilijk verweren tegen een dergelijke summiere beschuldiging van de Inspectiedienst.”51 83. In zijn repliekconclusie heeft de klager wel aangegeven dat er een heel aantal gegevens niet worden gevraagd in andere Europese landen die het PLF gebruiken. Daarnaast wijst hij op het feit dat er ten tijde van het indienen van de klacht bepaalde gegevens werden gevraagd die niet moesten worden gedeeld “in het algemene European Digital Passenger Locator Form”, daarbij verwijzend naar het vluchtnummer, stoelnummer tijdens de vlucht, verblijfplaatsen en het adres tijdens een quarantaineperiode in België. Voorts wijst de klager op het feit dat de deling met verschillende gezondheidsactoren niet legitiem en proportioneel zou zijn. Tot slot stelt de klager ook dat de 28 dagen bewaarperiode disproportioneel zou zijn. 84. Met betrekking tot deze punten argumenteert de verweerder vooreerst dat 19 van de 27 EU Lidstaten een variant op het PLF gebruiken, waardoor het argument van de klager feitelijk niet correct is.52 Daarnaast verduidelijkt de verweerder eveneens dat er overeenkomstig de Europese normering inzake het PLF, en specifiek het Uitvoeringsbesluit 2021/858 van de Europese Commissie, wel degelijk de overgrote meerderheid van dezelfde gegevens werd aangemerkt als op te vragen in het kader van het gebruik van het PLF, waarnaast ook verduidelijkt werd dat er ook méér gegevens konden worden verzameld door de Lidstaten (bijvoorbeeld in het kader van de nationale contact tracing strategie).53 Voorts stelt de verweerder dat de deling met verschillende actoren wettelijk is geregeld en dat er is verantwoord waarom de verwerking noodzakelijk is voor de beheersing van de pandemie en dus niet illegitiem en disproportioneel is.54 Tot slot stelt de verweerder dat er wetenschappelijke bewijzen zijn die verantwoorden waarom de periode van 28 dagen proportioneel is.55 85. Kortom, de verweerder is in haar conclusie ingegaan op elk van de precieze grieven van de klager, en – voor zover mogelijk – de algemene vaststellingen van de Inspectiedienst.
  10. c)Beoordeling door de Geschillenkamer – opportuniteitssepot 86. De Geschillenkamer stelt vast dat het onderzoek van de Inspectiedienst onvoldoende elementen heeft geïdentificeerd die de verantwoording van de verweerder voor het verzamelen en verder verwerken van persoonsgegevens via het PLF, weerleggen. Het klopt dat het algemeen aan de verwerkingsverantwoordelijke toekomt om onder meer ingevolge artikel 24 en artikel 25 AVG de gepaste technische en organisatorische maatregelen te 51 Repliekconclusie verweerder, par. 94. 52 Repliekconclusie verweerder, par. 77. 53 Repliekconclusie verweerder, par. 78-80. 54 Repliekconclusie verweerder, par. 81-82. 55 Repliekconclusie verweerder, par. 84-85. Beslissing ten gronde 78/2023 — 27/37 nemen om aan de basisbeginselen van de AVG te voldoen, maar concrete schendingen van principes dienen wel te worden aangetoond. 87. Ten aanzien van de tenlasteleggingen inzake de verantwoordingsplicht (artikel 5.2 AVG) en de verplichtingen krachtens artikel 24 en 25 AVG, overweegt de Geschillenkamer het volgende. 88. De Inspectiedienst baseert zijn bevindingen op het vermeend onvolledig verstrekken van informatie door de verwerkingsverantwoordelijke. Het niet of niet volledig beantwoorden van verzoeken volstaat op zichzelf echter niet om een inbreuk op artikel 5.2, 24 of 25 AVG te constateren. Weliswaar bepalen deze artikelen dat de verwerkingsverantwoordelijke gepaste technische en organisatorische maatregelen moet nemen en de naleving van de basisbeginselen van de AVG (cfr. artikel 5.1 AVG) moet kunnen aantonen, maar zij vormen geen algemene zorgvuldigheidsnorm die bij elke onduidelijkheid of lacune in het verstrekken van informatie automatisch geschonden is. 89. Artikel 5.2 AVG (de verantwoordingsplicht) verplicht de verwerkingsverantwoordelijke om te kunnen aantonen dat deze de bepalingen (specifiek de grondbeginselen) van de AVG werden nageleefd. Artikel 24 en 25 AVG concretiseren deze plicht door te vereisen dat al bij het ontwerp en de standaardinstellingen van de verwerking passende waarborgen worden ingebouwd om de AVG-beginselen – zoals dataminimalisatie en opslagbeperking – effectief te implementeren. De verwerkingsverantwoordelijke moet dus kunnen aantonen welke maatregelen zijn getroffen om bijvoorbeeld enkel noodzakelijke gegevens te verwerken en de rechten van betrokkenen te beschermen. Het enkele feit dat de verstrekte antwoorden aan de Inspectiedienst onvolledig voorkwamen om de naleving van andere (inhoudelijke) beginselen aan te tonen, toont evenwel nog niet aan dat de eerder genoemde verplichtingen ipso facto zijn geschonden. Met andere woorden, om een inbreuk op artikel 5.2, 24 of 25 AVG te bevestigen, moeten concrete schendingen van de naleving van die bepalingen worden aangetoond. 90. Zoals de verwerkingsverantwoordelijke zelf opmerkte, is de zienswijze dat elke (gestelde) schending van een AVG-bepaling automatisch ook een schending van de voornoemde bepalingen inhoudt, niet de doelstelling van deze bepalingen. Een louter gebrek aan (volledige) informatieverstrekking kan hooguit een aanwijzing vormen van een mogelijke onderliggende niet-naleving, maar leidt niet op zichzelf tot een zelfstandige inbreuk op voormelde artikelen. Zo heeft ook het Hof van Justitie recent bevestigd dat een negatief feit niet automatisch betekent dat een norm is geschonden: een gegevenslek impliceert op zich nog niet dat de beveiligingsverplichting van artikel 32 AVG is geschonden, tenzij na concrete beoordeling blijkt dat inadequate maatregelen werden genomen. Het Hof van Justitie verduidelijkte: Beslissing ten gronde 78/2023 — 28/37 “Bijgevolg kunnen de artikelen 24 en 32 AVG niet aldus worden begrepen dat het feit dat de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot persoonsgegevens heeft plaatsgevonden door een derde, volstaat om tot de slotsom te komen dat de door de betrokken verwerkingsverantwoordelijke getroffen maatregelen niet passend waren in de zin van deze bepalingen, zonder dat deze laatste ook maar de mogelijkheid wordt geboden het tegenbewijs te leveren.” 56 91. Later, zoals hoger werd vermeld, was er ook een wettelijke regeling voor de verzameling en verwerking van gegevens via het PLF, waaromtrent het toenmalige Kenniscentrum van de GBA een advies heeft kunnen verstrekken. In dit kader is er ook specifiek ingegaan waarom bepaalde gegevens werden opgevraagd – zoals vermeld door de verweerder in haar conclusie. Bijvoorbeeld wordt ook de periode van 28 dagen binnen het principe van de opslagbeperking (artikel 5.1.e AVG) in dat kader gekaderd, verwijzend naar de wetenschappelijke onderbouwing van de keuze voor 28 dagen als 2 x 14 dagen. 57 92. De Geschillenkamer oordeelt dan ook dat er geen inbreuk op de artikelen 5.2, 24 en 25 van de AVG kan worden vastgesteld. Voor wat betreft de grieven van de klager, heeft de verweerder een effectieve verantwoording verschaft in haar conclusies en ter hoorzitting. Er zij daarbij op gewezen dat de Geschillenkamer reeds een inbreuk vaststelde op de rechtmatigheid van de verwerking (supra), dewelke nauw verband houdt met de grieven van de klager in dit kader. 93. Om al deze redenen zal de Geschillenkamer de onderdelen van de klacht en de vaststellingen van de Inspectiedienst die betrekking hebben op de aard en het aantal verwerkte persoonsgegevens via het PLF (specifiek in het licht van het principe van de minimale gegevensverwerking), alsook de voor de persoonsgegevens gehanteerde bewaartermijnen (principe van opslagbeperking), om opportuniteitsredenen en overeenkomstig artikel 100 § 1, 1° WOG seponeren. II.3. De informatieverplichting, het uitoefenen van rechten door betrokkenen en de verantwoordingsplicht II.3.1. Inbreuk artikel 12.1 AVG – duidelijke en nauwkeurige informatie
  11. a)Standpunt Inspectiedienst 94. De Inspectiedienst stelt vast dat de privacyverklaring van de PLF onduidelijk en moeilijk navigeerbaar is, in strijd met art. 12.1 AVG. Zo stelt de Inspectiedienst dat de verstrekte 56 HvJEU Arrest van 14 december 2023, Natsionalna agentsia za prihodite, C-340/21, §31. 57 Repliekconclusie verweerder, o.m. par. 49, zie aldaar ook voetnoot 24. Beslissing ten gronde 78/2023 — 29/37 informatie overdreven lang en technisch-juridisch is geformuleerd, zonder inhoudstafel. Termen zoals “contact tracing”, “EWRS” en “NFP” worden gebruikt zonder toelichting, en er is inconsistent taalgebruik (bv. afwisselend “gegevens” vs. “persoonsgegevens”). Hierdoor is de informatie niet “in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal” zoals vereist. Dit gebrek aan duidelijkheid en eenduidigheid schendt volgens de Inspectiedienst het transparantiebeginsel neergelegd in art. 12.1 AVG.
  12. b)Standpunt klager 95. De klager neemt hieromtrent geen specifiek standpunt in.
  13. c)Standpunt verweerder 96. De verweerder betwist dat de privacyverklaring onduidelijk was op grond van art. 12.1 AVG. Volgens haar was het noodzakelijk om te verwijzen naar specifieke wetgeving en artikelen (zoals ministeriële besluiten) om transparant de rechtsgrond te duiden. Zij stelt dat eenieder geacht wordt de wet te kennen, zodat juridische verwijzingen gerechtvaardigd zijn. 97. In de intussen aangepaste privacyverklaring heeft zij extra toelichting toegevoegd bij genoemde regelgeving. Wat het gebruik van technische termen betreft, voert de verweerder aan dat begrippen als “contact tracing”, “EWRS” en “NFP” inmiddels algemeen bekend waren bij het brede publiek door de voortdurende communicatiecampagnes gedurende de covidpandemie. 98. De verweerder heeft weliswaar, zo stelt ze in haar repliekconclusie, in de nieuwe versie bepaalde termen verduidelijkt en de terminologie consistenter gemaakt (steeds “persoonsgegevens” i.p.v. afwisselend “gegevens”).
  14. d)Beoordeling Geschillenkamer 99. De AVG eist dat informatie voor de gemiddelde gebruiker begrijpelijk is. De richtsnoeren van de WP29 i.v.m. transparantie verduidelijken: “De vereiste dat informatie “begrijpelijk” moet zijn betekent dat de informatie begrepen moet kunnen worden door een gemiddeld lid van het beoogde publiek. Begrijpelijkheid houdt nauw verband met de vereiste om duidelijke en eenvoudige taal te gebruiken.” 58 100. Vage of technische formuleringen en inconsistente termen zijn in strijd met het transparantiebeginsel nu privacyverklaringen geen juridisch of technisch jargon mogen bevatten en ondubbelzinnig moeten zijn.59 58 Groep gegevensbescherming artikel 29 (WP29), richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, versie 11 april 2018, beschikbaar via: https://www.edpb.europa.eu/system/files/2023-09/wp260rev01 nl.pdf, §9 (“endorsed” door de EDPB op de plenaire zitting van 25 mei 2018). 59 Ibid., §13. Beslissing ten gronde 78/2023 — 30/37 101. De Geschillenkamer stelt, op basis van de vaststellingen van de Inspectiedienst, een inbreuk vast op artikel 12.1 AVG. Tijdens de relevante periode was de informatieverstrekking op het PLF immers niet in duidelijke en eenvoudige taal gehouden: daarbij haalt de Inspectiedienst terecht aan dat een aantal termen – zoals EWRS en NFP – onvoldoende werden gekaderd in de privacyverklaring. Dat de verweerder achteraf de privacyverklaring heeft vereenvoudigd, neemt niet weg dat deze oorspronkelijk tekortschoot. 102. Mede gelet op het transparantiebeginsel (art. 5.1.a AVG) en overweging 39 AVG, dat vereist dat informatie eenvoudig toegankelijk en begrijpelijk is, oordeelt de Geschillenkamer dat artikel 12.1 AVG is geschonden. De latere verbeteringen doen daar niet aan af, aangezien voor de beoordeling de situatie ten tijde van de indiening van de klacht relevant is. 103. De Geschillenkamer meent echter dat in dezen de context van de informatieverstrekking relevant is. Hoewel het klopt dat het PLF op het moment van het onderzoek van de Inspectiedienst reeds een paar maanden werd aangewend, en er dus persoonsgegevensverwerkingen in dat kader plaatsvonden, is het ook zo dat de verweerder een heel aantal verplichtingen – ook in het licht van de gegevensbeschermingswetgeving – moest vervullen. De verweerder, zo blijkt uit de aangeleverde stukken, heeft inspanningen geleverd om zo tijdig en nauwkeurig mogelijk informatie te verschaffen. Daarbij stelt de raadsman van de verweerder dat, in deze context terecht, het werk van een privacyverklaring “nooit af” is. 60 104. Hoewel een inbreuk inderdaad kan worden vastgesteld, roept de Geschillenkamer de context (met inbegrip van de inspanningen en medewerking van de verweerder) in herinnering; het is niet redelijk een zware sanctie op te leggen voor het niet correct uitleggen van bepaalde termen of het onvoldoende toelichten van een wettelijke bepaling. 105. Om al deze redenen gaat de Geschillenkamer over tot de berisping voor de inbreuk op artikel 12.1 AVG. II.3.2. Artikel 12.6 AVG – aanvullende identificatie bij uitoefening rechten
  15. a)Standpunt Inspectiedienst 106. Volgens de Inspectiedienst belemmert de verweerder de uitoefening van rechten van betrokkenen door systematisch onnodige bijkomende eisen te stellen, in strijd met artikel 12.6 AVG. Concreet stelt de Inspectiedienst op basis van de privacyverklaring vast dat bij elk verzoek van een betrokkene wordt geëist dat deze een scan of kopie van de identiteitskaart en een handtekening aanlevert, ook wanneer er geen voorafgaande concrete twijfel bestaat over de identiteit van de verzoeker. 60 Proces-Verbaal Hoorzitting Geschillenkamer, p. 7. Beslissing ten gronde 78/2023 — 31/37 107. De Inspectiedienst onderlijnt dat artikel 12.6 AVG de verwerkingsverantwoordelijke nochtans verplicht om de uitoefening van rechten te faciliteren en slechts bij redelijke twijfel aanvullende informatie ter bevestiging van iemands identiteit te vragen. Het standaard opvragen van identiteitskaarten zonder concrete aanleiding ziet de Inspectiedienst als een ongerechtvaardigde drempel die neerkomt op een schending van artikel 12.6 AVG.
  16. b)Standpunt klager 108. De klager neemt hieromtrent geen specifiek standpunt in.
  17. c)Standpunt verweerder 109. De verweerder stelt dat het opvragen van een identiteitsbewijs gerechtvaardigd en proportioneel is bij de uitoefening van rechten. Zij wijst erop dat artikel 12.6 AVG toelaat om aanvullende informatie te verlangen ter bevestiging van de identiteit van de verzoeker wanneer nodig. Volgens de verweerder was haar handelwijze bedoeld om de gegevens te beschermen tegen oneigenlijke inzage of wijzigingen door derden. De verweerder verduidelijkt tegelijk dat in de nieuwe privacyverklaring is verduidelijkt dat een identiteitsbewijs niet systematisch wordt opgevraagd, maar alleen indien nodig bij twijfel.
  18. d)Beoordeling Geschillenkamer 110. Het systematisch eisen van een kopie van de identiteitskaart kan niet in alle gevallen en te allen tijde worden vooropgesteld. Art. 12.6 AVG staat aanvullende identificatie-eisen slechts toe als er “redenen” zijn “om te twijfelen” over de identiteit van de verzoeker. Zonder specifieke indicatie van misbruik is standaard een identiteitsbewijs verlangen disproportioneel. 111. De EDPB heeft in haar richtsnoeren 1/2022 omtrent het recht van toegang benadrukt dat de verificatieprocedures evenredig moeten zijn en geen buitensporige drempel mogen opwerpen.61 112. In dit geval gaf de verwerkingsverantwoordelijke te kennen via haar privacyverklaring dat zij te allen tijde deze (meer stringente) verificatieprocedure toepaste op elke betrokkene, wat ingaat tegen artikel 12.6 AVG (en mede gelet op de verplichting tot facilitering van rechten van betrokkenen onder artikel 12.2 AVG), zoals de Inspectiedienst terecht opmerkt. Een minder ingrijpende verificatiemethode (bv. controle via het bij de aanvraag gebruikte emailadres 61 of een unieke code) kan volstaan in bepaalde gevallen. EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen – recht van inzage, v. 2.1, 28 maart 2023, beschikbaar via: https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf , specifiek sectie 3.3 omtrent de evenredigheidsbeoordeling met betrekking tot de authenticatie van de verzoeker. Beslissing ten gronde 78/2023 — 32/37 De verweerder heeft bovendien zelf haar praktijk bijgestuurd, hetgeen illustreert dat deze aanvankelijk te ver ging.62 113. De Geschillenkamer stelt om die reden een inbreuk vast op artikel 12.6 AVG, waarvoor zij zal overgaan tot de berisping van de verweerder. II.3.3. Artikel 13.1 AVG – toereikend karakter verstrekte informatie
  19. a)Standpunt Inspectiedienst 114. De Inspectiedienst stelt dat de informatievoorziening bij het PLF onvolledig is, waardoor artikel 13.1 AVG is geschonden. Ten eerste ontbreken de contactgegevens van de verwerkingsverantwoordelijke in de oorspronkelijke privacyverklaring. Artikel 13.1.a AVG verplicht nochtans om de identiteit en contactgegevens van de verwerkingsverantwoordelijke te verstrekken. 115. Ten tweede is er geen precieze opsomming van de ontvangers of categorieën van ontvangers van de persoonsgegevens. In plaats daarvan werd verwezen naar vage termen als “gezondheidsoverheden” en “NFP” (National Focal Point), wat volgens de Inspectiedienst te algemeen is. Artikel 13.1.e AVG vereist immers dat ten minste de categorieën van ontvangers worden meegedeeld, bij voorkeur zo specifiek mogelijk. 116. De Inspectiedienst acht de gebruikte algemene termen onvoldoende transparant: ongedefinieerde groepen of acroniemen maken het voor de burger niet duidelijk wie concreet toegang krijgt tot hun persoonsgegevens. Hiermee is de informatieverplichting in de zin van artikel 13.1 AVG niet nageleefd.
  20. b)Standpunt klager 117. De klager heeft dit punt aan de kaak gesteld, samen met de problematiek over de rechtmatigheid van de doorgifte aan de politiediensten (supra) en het feit dat hieromtrent geen duidelijke informatie wordt verschaft. Hij klaagt erover dat onduidelijk is aan wie de persoonsgegevens worden of kunnen worden verstrekt via het PLF. Voorts wijst de klager erop dat de privacyverklaring waarop de verweerder zich beroept, dateert van na de feiten en dus niet van toepassing was op het moment van het indienen van zijn klacht en de initiële fase van de procedure.
  21. c)Standpunt verweerder 118. Algemeen stelt de verweerder dat zij maatregelen nam om de transparantie te verbeteren in de nieuwe versie van de privacyverklaring. Specifiek ontkent zij dat de gebruikte termen ontoereikend waren. 62 Repliekconclusie verweerder, par. 55. Beslissing ten gronde 78/2023 — 33/37 119. Zij voert aan dat in artikel 7 van de (nieuwe) privacyverklaring alle betrokken partijen bij gegevensdeling duidelijk en nauwkeurig worden opgesomd. In haar syntheseconclusie wijst de verweerder op verschillende ontvangende partijen en de juridische basis daarvoor. 120. Zo zijn er samenwerkingsakkoorden en wettelijke bepalingen die de doorgifte aan Sciensano, gefedereerde entiteiten (voor contactopsporing, testen, quarantaine), lokale overheden en politiediensten (handhaving) en het National Focal Point (internationale contact tracing) regelen. 121. De verweerder benadrukt dat elke ontvanger dus in de privacyverklaring of via verwijzing naar wettelijke bronnen is genoemd en dat hun rol duidelijk is bepaald (onder meer via een overeenkomst tussen gezamenlijke verwerkingsverantwoordelijken).
  22. d)Beoordeling Geschillenkamer 122. De ontvangers of categorieën van ontvangers dienen aan betrokkenen te worden meegedeeld overeenkomstig artikel 13.1.e AVG.63 Dat is met name van belang bij het gebruik van een instrument zoals het PLF dat verplicht is in te vullen door een aanzienlijk aandeel van de reizende bevolking van België. Hoewel de staatsmachten van oordeel kunnen zijn dat de doorgiften van persoonsgegevens noodzakelijk kunnen zijn, hebben individuele betrokkenen natuurlijk wel het recht de controle over hun persoonsgegevens te behouden, in lijn met de doelstelling van het grondrecht op persoonsgegevensbescherming vervat in artikel 8 van het EU Handvest van de Grondrechten. 123. Een privacyverklaring moet minimaal de verwerkingsverantwoordelijke identificeren en de ontvangers (of categorieën ontvangers) van de gegevens vermelden. In dit geval was die informatie onvoldoende: de verantwoordelijke instantie werd niet duidelijk genoemd en de benoeming van ontvangers was te vaag. 124. De verweerder heeft pas ná de feiten en de onderhavige klacht volledige informatie verstrekt en verduidelijkingen aangebracht, wat illustreert dat destijds niet aan artikel 13.1 AVG werd voldaan. 125. De Geschillenkamer oordeelt daarom dat er een inbreuk is op artikel 13.1.e AVG: de ontbrekende contactinformatie van de verwerkingsverantwoordelijke en de onvoldoende specifieke benoeming van ontvangers schenden de informatieplicht van artikel 13.1 AVG. Om deze reden zal de Geschillenkamer overgaan tot de berisping van de verweerder. II.3.4. Artikel 13.2 AVG – toereikend karakter bijkomende informatie
  23. a)Standpunt Inspectiedienst 63 Vgl. eveneens, mutatis mutandis, met betrekking tot informatie over die ontvangers HvJEU van 12 januari 2023, Österreichische Post, C-154/21. Beslissing ten gronde 78/2023 — 34/37 126. De Inspectiedienst identificeert meerdere tekortkomingen ten aanzien van de aanvullende informatie die artikel informatieverstrekking 13.2 niet AVG vereist. Zo werd bij vermeld dat de betrokkene de oorspronkelijke recht heeft op gegevensoverdraagbaarheid (dataportabiliteit), terwijl artikel 13.2.b AVG expliciet voorschrijft dat de betrokkene op de hoogte moet worden gesteld van zijn recht om zijn gegevens te ontvangen of door te laten zenden. 127. Ook was de informatie over hoe de betrokkene zijn rechten kan uitoefenen ontoereikend. Verder ontbrak de melding dat de betrokkene een klacht kan indienen bij een andere toezichthoudende autoriteit dan enkel de Belgische Gegevensbeschermingsautoriteit, terwijl artikel 13.2.d AVG vereist dat de betrokkene wordt geïnformeerd over zijn recht om klacht in te dienen bij een toezichthouder. 128. Tot slot geeft de Inspectiedienst aan dat er te weinig informatie was over de verplichte aard van bepaalde gegevensverstrekkingen en de mogelijke gevolgen van niet-verstrekking. Ook dit is verplichte informatie volgens artikel 13.2.e AVG: men moet aangeven of het verstrekken van gegevens wettelijk of contractueel is verplicht en wat er gebeurt als iemand bepaalde gegevens niet geeft.
  24. b)Standpunt klager 129. De klager neemt geen specifiek standpunt in ter zake.
  25. c)Standpunt verweerder 130. De verweerder heeft in haar reactie erkend dat verbeteringen nodig waren en deze inmiddels doorgevoerd in een nieuwe privacyverklaring. Ze geeft aan dat in de oudere versie bijvoorbeeld enkel werd verwezen naar de Belgische Gegevensbeschermingsautoriteit, maar dat men nu een lijst van alle bevoegde toezichthoudende autoriteiten in de EU opneemt “teneinde betrokkenen van een andere EU-lidstaat beter te faciliteren in het uitoefenen van hun rechten”. Voorts stelt de verweerder dat zij de feedback omtrent de vermelding van de rechten van betrokkenen ter harte heeft genomen: ze heeft een nieuwe, verbeterde privacyverklaring opgesteld die rekening houdt met de door de Inspectie aangekaarte punten.
  26. d)Beoordeling Geschillenkamer 131. Het niet verstrekken van de in artikel 13.2 AVG opgesomde informatie geldt als een inbreuk, tenzij de betrokkene die informatie al heeft (artikel 13.4 AVG; d.i. niet van toepassing hier). Artikel 13.2.b AVG vereist dat betrokkenen worden geïnformeerd over al hun relevante rechten (toegang, rectificatie, wissen, bezwaar, beperking én gegevensoverdraagbaarheid). Artikel 13.2.e AVG verplicht toelichting of het verstrekken van gegevens al dan niet verplicht is en wat de gevolgen zijn als iemand dat niet doet. Geen van deze vereisten werd ten tijde Beslissing ten gronde 78/2023 — 35/37 van het onderzoek afdoende vervuld, behalve wat betreft artikel 13.2.d AVG, nu de verweerder wel degelijk de mogelijkheid tot indienen van een klacht bij de GBA vermeldde. 132. De Geschillenkamer stelt daarbij weliswaar vast dat de privacyverklaring de meest gangbare en de in haar opzicht meest praktisch relevante informationele elementen steeds heeft vermeld en heeft willen vermelden. De verweerder heeft intussen ook opvolging gegeven aan de vaststellingen van de Inspectiedienst. De Geschillenkamer gaat over tot de berisping voor de inbreuk op artikel 13.2 AVG. II.3.5. Artikel 9 WVP – specifieke nationale verplichtingen i.v.m. informatie verwerking gezondheidsgegevens
  27. a)Grief klager 133. De klager heeft expliciet naar artikel 9 WVP verwezen. Hij voert aan dat er gebreken zijn in de infoverstrekking rond de verwerking van gezondheidsgegevens via het PLF. Ten eerste ontbreekt volgens hem informatie over de maatregelen die zijn genomen conform art. 9 WVP bij de verwerking van die bijzondere gegevens. 134. Ten tweede is er geen duidelijke lijst of beschrijving van de categorieën personen die toegang hebben tot deze gezondheidsgegevens. 135. Ten derde is er algemene onduidelijkheid over wie toegang krijgt tot deze gegevens, wat volgens klager neerkomt op een schending van de informatieplicht m.b.t. bijzondere gegevens. 136. De klager maakt dus duidelijk dat de speciale bescherming die aan gezondheidsgegevens moet worden gegeven, in zijn ogen niet zichtbaar is: men weet niet welke voorzorgsmaatregelen of beperkingen de verweerder heeft ingebouwd. Ook bekritiseert hij dat de privacyverklaring waarop verweerder zich baseert van na de feiten dateert, dus destijds golden mogelijk nog minder waarborgen. Samengevat: de klager vindt dat art. 9 WVP niet is nageleefd, omdat de PLF-verwerking onvoldoende transparant was en afgeschermd.
  28. b)Standpunt verweerder 137. De verweerder betwist formeel dat er een inbreuk op art. 9 WVP heeft plaatsgevonden. In haar synthese voert zij meerdere argumenten aan: (
  29. i)Alle ontvangende partijen van de PLF-gegevens zouden in de privacyverklaring zijn opgesomd. (
  30. ii)Er bestaat een overeenkomst tussen gezamenlijke verwerkingsverantwoordelijken (ex art. 26 AVG) voor de PLF-verwerking, waarin de rol van ieder duidelijk is bepaald. Dit duidt op een organisatorische maatregel om de verantwoordelijkheid te regelen. Beslissing ten gronde 78/2023 — 36/37 (iii) De verweerder verwijst naar de wettelijke grondslag van het PLF en de bijbehorende gegevensdeling: ze noemt een samenwerkingsakkoord van 25 augustus 2020, ministerieel besluit van 24 juli 2020 (art. 10), alsmede later tot stand gekomen akkoorden (24 maart 2021, 14 juli 2021). Hieruit blijkt volgens de verweerder dat de verwerking is verankerd in regelgeving die ook waarborgen en voorwaarden bevat. (
  31. iv)De verweerder beroept zich op de AVG zelf: artikel 6.1.c AVG (wettelijke verplichting) en artikel 9.2(
  32. i)AVG (verwerking gezondheidsgegevens om redenen van algemeen belang op het gebied van volksgezondheid) als rechtsgrond. Deze bepalingen vereisen op nationaal niveau wettelijke maatregelen ter bescherming van de rechten van betrokkenen – de verweerder insinueert dat de genoemde MB’s en akkoorden daaraan voldoen. (
  33. v)De verweerder stelt dat de doorgifte van PLF-gegevens rechtmatig en proportioneel gebeurt, in lijn met art. 5.1 AVG, en telkens gesteund op een wettelijke of conventionele basis. (
  34. vi)Ten slotte benadrukt de verweerder dat de ontvangers van de gegevens duidelijk zijn opgesomd (in de privacyverklaring en de Samenwerkingsakkoorden), inclusief de reden waarom elke ontvanger de data krijgt. Voorbeeld: Sciensano voor beleid/preventie (geen onderzoek), gefedereerde entiteiten voor contact tracing e.d., lokale overheden/politie voor handhaving, NFP voor internationale waarschuwingen. Hiermee poogt de verweerder aan te tonen dat ze wel degelijk aan transparantie en noodzaak heeft gedacht – kernbegrippen in art. 9 WVP.
  35. c)Beoordeling Geschillenkamer 138. Art. 9 WVP legt specifieke nationale eisen op inzake informatieverplichtingen bij het verwerken van gezondheidsgegevens. Deze eisen vallen in dezen echter samen met de vereisten van artikel 13 AVG, met name omtrent het verstrekken van informatie omtrent de (categorieën van) ontvangers van persoonsgegevens. Te dezen stelde de Geschillenkamer reeds een inbreuk vast en ging zij over tot een sanctionering. Er is daarom geen noodzaak – mede gelet op het principe van ne bis in idem – over te gaan tot een afzonderlijke vaststelling van inbreuk onder artikel 9 WVP, waarvoor zij thans overgaat tot de seponering van deze grief op grond van artikel 100 §1, 1° WOG. III. Publicatie van de beslissing 139. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing gepubliceerd op de website van de

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.