Beslissing ten gronde nr. 80/2022

1/11 Geschillenkamer Beslissing ten gronde 80/2022 van 13 mei 2022 Dossiernummer : DOS-2020-00190 Betreft: een stad die e-mails verstuurt naar een mailinglijst zonder de adressen van de ontvangers te verbergen De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Christophe Boeraeve en Frank De Smet, leden, die de zaak in deze samenstelling in behandeling neemt; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; . . . Beslissing ten gronde 80/2022 - 2/11 Heeft de volgende beslissing genomen inzake: de klager: de heer X, (hierna "de klager") de verweerder:Y (hierna "de verweerder")". I. Feiten en procedure 1. Op 14 januari 2020 diende de klager bij de Gegevensbeschermingsautoriteit een klacht in tegen de verweerder. 2. Het voorwerp van zijn klacht betreft de verzending door verweerder van drie e-mails naar een mailinglist, waarvan de klager deel uitmaakt, zonder de e-mailadressen van de ontvangers te verbergen, aangezien de verzending heeft plaatsgevonden met alle ontvangers in Carbon Copy (CC) en niet in Blind Carbon Copy (BCC). Klager stelde derhalve de mededeling van zijn emailadres aan de gehele mailinglijst ter discussie. 3. Het verzenden van deze e-mails maakt deel uit van een stadsvernieuwingsproject van de verweerder. Voor dit project organiseerde de verweerder een burgerparticipatie met participatieve workshops. 4. Hiertoe benaderde de verweerder de personen die voor deze workshops werden geselecteerd per e-mail om hen tot deelname uit te nodigen. Nadat klager zich had aangemeld, stuurde verweerder hem op 2 oktober en 4 november 2019 twee e-mails over deze participatieve workshops. 5. Vanaf 12 november 2019 werden de andere ontvangers van de mailinglist in de e-mails die de verweerder in het kader van deze participatieve workshops verstuurde, niet meer verborgen. 6. De klager wees de verweerder er reeds op toen hij op 12 november 2019 de eerste e-mail ontving die in CC en niet in BCC was verzonden, dat deze praktijk in strijd was met de AVG. Desondanks stuurde de verweerder op 19 december 2019, 14 januari 2020 en 21 januari 2020 aan alle ontvangers 7. In dit verband heeft klager na ontvangst van de tweede problematische e-mail op 19 december 2019 de verwerking van zijn persoonsgegevens op 20 december 2020 opnieuw betwist en dit keer de functionaris voor gegevensbescherming (DPO) van verweerder een kopie van zijn bericht gestuurd. 8. Bij gebrek aan antwoord deed de klager op 14 januari 2020, een beroep op de GBA, zoals beschreven in punt 1 hierboven. Beslissing ten gronde 80/2022 - 3/11 9. Op 17 januari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, §1 van de WOG bezorgd aan de Geschillenkamer. 10. In een e-mail van 28 januari 2020, d.w.z. na de klacht van klager bij de GBA, erkende verweerder bij monde van zijn DPO dat voor de verwerking van de persoonsgegevens van klager zijn toestemming niet was verkregen en dat hij het recht had om de onmiddellijke stopzetting van de verwerking te verzoeken. Ter rechtvaardiging van het uitblijven van een antwoord sinds 12 november 2019 (punten 6 en 7), beroept verweerder zich, opnieuw bij monde van zijn DPO, op een gebrekkige interne communicatie van informatie. 11. Op 10 februari 2020 beslist de Geschillenkamer op grond van artikelen 63, 2° en 94, 1° van de WOG een onderzoek te vragen aan de Inspectiedienst. 12. Op 11 februari 2020 werd het verzoek tot het verrichten van een onderzoek overeenkomstig artikel 96, §1 van de WOG bezorgd aan de Inspectiedienst. 13. Op 27 oktober 2020 werd het onderzoek door de Inspectiedienst afgerond, het verslag bij het dossier gevoegd en het dossier door de inspecteur-generaal bezorgd aan de Voorzitter van de Geschillenkamer (art. 91, §1 en § 2 WOG). 14. Uit het verslag van de ID blijkt dat de verweerder de artikelen 4.1, 5.1.

1. b), 5.1.
2. c), 6.4, 12. 3, 24.1, 24.2, 25.1, 25.2 et 32.1 van de AVG heeft geschonden en dit om deze redenen:
3. a)Er is sprake van een verwerking van e-mailadressen in strijd met de bepalingen van de AVG bestaande in de verspreiding van persoonsgegevens (e-mailadressen) in de zin van artikel 4.1 van de AVG.
4. b)Deze verspreiding van persoonsgegevens leidt tot niet-naleving van het beginsel van de minimale gegevensverwerking, dat inhoudt dat de verzending van een e-mail er niet toe mag leiden dat de contactgegevens van de geadresseerden worden meegedeeld aan alle personen tot wie de betrokken e-mail is gericht (artikel 5.1.
5. c)van de AVG).
6. c)In het kader van de betwiste mailings werd geen rekening gehouden met de beveiliging van persoonsgegevens, hetgeen leidde tot een ongeoorloofde bekendmaking van de emailadressen van de deelnemers aan alle ontvangers van de mailinglijst (artikel 32.1. van de AVG).
7. d)Het verzenden van e-mails zonder de adressen van de geadresseerden te verbergen, vormt een verdere verwerking die onverenigbaar is met het oorspronkelijke doel van de gegevens van de klager en de mailinglijst (artikel 5.1.b), juncto artikel 6.4 van de AVG). Deze verwerking beantwoordt niet aan de beginselen inzake de verwerking van Beslissing ten gronde 80/2022 - 4/11 persoonsgegevens (artikel 25.1 van de AVG) en gegevensbescherming door ontwerp en standaardinstellingen (artikel 25.1 van de AVG)
8. e)In zijn hoedanigheid van verwerkingsverantwoordelijke heeft verweerder, in strijd met de artikelen 24.1 en 24.2 van de AVG geen passende technische en organisatorische maatregelen genomen om te waarborgen dat de verwerking overeenkomstig de AVG wordt uitgevoerd.
9. f)Aangezien verweerder niet binnen een maand had geantwoord op het verzoek van klager om zijn rechten uit te oefenen, handelde hij in strijd met artikel 12.3 van de AVG. 15. Op 12 januari 2021 beslist de Geschillenkamer op grond van artikel 95, §1, 1°, en artikel 98 van de WOG, dat het dossier gereed is voor behandeling ten gronde. 16. Op 27 januari 2021 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in art. 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. 17. De uiterste datum voor ontvangst van de conclusie van repliek van de verweerder werd daarbij vastgelegd op 10 maart 2021, deze voor de conclusie van repliek van de klager op 31 maart 2021 en deze voor de conclusie van repliek van de verweerder op 21 april 2021. 18. Op 16 maart 2021 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. Daarin worden de onderstaande argumenten uiteengezet: - In de eerste plaats betwist verweerder niet dat e-mailadressen persoonsgegevens zijn. Onder verwijzing naar het feit dat het e-mailadres van klager door hemzelf op twee websites openbaar is gemaakt, betwijfelt verweerder echter of deze gegevens in het onderhavige geval wel privé zijn. - In de tweede plaats verklaart verweerder, verwijzend naar de doelstelling van participerende democratie die op regionaal of gemeentelijk niveau in verschillende beleidsdocumenten is verankerd, dat de doeleinden van de verwerking welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn1. - In de derde plaats stelt de verweerder dat er geen sprake is van schending van het beginsel van de minimale gegevensverwerking (artikel 5.1.
10. c)van de AVG), aangezien hij ervoor heeft gezorgd dat hij alleen gegevens verzamelt en verwerkt die strikt noodzakelijk zijn voor de uitvoering van de verwerking, die bestaat in de uitwisseling van informatie met de deelnemers aan de 1 Met name : de Waalse Gewestelijke Beleidsverklaring 2018-2024, de Gemeentelijke Beleidsverklaring van 20 december 2018, het Transversaal Strategisch Plan 2019-2014 Beslissing ten gronde 80/2022 - 5/11 workshop. Volgens hem zijn de enige gegevens die worden verzameld en verwerkt de emailadressen van burgers die te kennen hebben gegeven dat zij aan de burgerparticipatie willen deelnemen. Verder betoogt verweerder dat, anders dan de ID heeft vastgesteld, het feit dat een e-mail er niet toe mag leiden dat de contactgegevens van de geadresseerden worden meegedeeld aan alle personen tot wie de betrokken e-mail is gericht, niet binnen het toepassingsgebied van het beginsel van de minimale gegevensverwerking valt. - Ten vierde betwist verweerder niet dat het verzenden van de e-mails zonder de e-mailadressen van alle ontvangers van een mailinglijst te verbergen (verzending in CC en niet in BCC) in casu een verdere verwerking vormt. Volgens hem is de verwerking echter niet onverenigbaar met het oorspronkelijk, nagestreefde doel. Er is derhalve geen sprake van een inbreuk op artikel 5.1.
11. b)juncto artikel 6.4 van de AVG. - In de vijfde plaats stelt verweerder dat, wat de technische en organisatorische maatregelen betreft, van meet af aan passende voorzorgsmaatregelen zijn getroffen om de verwerking te kaderen. - Ten zesde, wat ten slotte de schending van artikel 12.3 van de AVG betreft, betwist verweerder niet dat de in dit artikel gestelde termijn van één maand niet in acht is genomen, en rechtvaardigt hij dit met een interne communicatiefout. 19. Daarnaast vermeldt verweerder in zijn conclusies de maatregelen die zijn DPO heeft genomen om de beveiliging van persoonsgegevens te waarborgen. In dit verband verklaart verweerder dat hij de volgende maatregelen heeft genomen: - Wat de klacht van klager betreft, werd contact opgenomen met de dienst die verantwoordelijk was voor de verzending van de omstreden e-mails, werd klager op 28 januari 2020 een antwoord toegezonden (punt 10) en werd een verwerkingsfiche opgesteld. - Wat de meer algemene maatregelen betreft, is aan alle personeelsleden een herinnering gezonden over de veiligheidsmaatregelen die moeten worden genomen bij het verzenden van "groeps"-e-mails en is binnen de cel DPO een meer algemene denkoefening gehouden. 20. Op 31 maart 2021 had de klager nog geen conclusie van repliek ingediend, waartoe hij volgens het procedurele tijdschema gerechtigd was. Verweerder diende geen conclusie van repliek in en geen van de partijen heeft om een hoorzitting verzocht. II. Motivering II.1. Wat de inbreuken op de AVG betreft 21. Verweerder beschikt over de e-mailadressen van de deelnemers aan het stadsvernieuwingsproject, waaronder die van klager, om met hen over het project te Beslissing ten gronde 80/2022 - 6/11 communiceren. Aangezien het voorwerp van de klacht van klager geen betrekking heeft op de rechtmatigheid van de initiële verwerking van zijn gegevens waarvoor hij aangeeft toestemming te hebben gegeven, zal de Geschillenkamer dit aspect niet onderzoeken en ervan uitgaan dat er een rechtmatige grondslag is voor het verkrijgen van deze gegevens als bedoeld in artikel 6.1 van de AVG. 22. Gelet op het voorwerp van de klacht zal de Geschillenkamer onderzoeken in hoeverre de verweerder de gegevens van de klager mag delen met derden, in dit geval met de andere deelnemers aan de participatieve workshops 2. 23. Overeenkomstig artikel 5.1.
12. b)van de AVG kan de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld3. 24. Zoals de Geschillenkamer in punt 18 heeft opgemerkt, betwist verweerder in zijn conclusie niet dat de mededeling van het e-mailadres van klager aan de andere deelnemers aan het participatieproces een verdere verwerking vormt. Verweerder is echter van mening dat deze verwerking niet onverenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld - namelijk de communicatie met deze laatsten in het kader van de participatieve workshops - en in overeenstemming is met de doelstelling om de participatieve democratie van de stad te versterken. Er zij op gewezen dat de conclusies van verweerder op dit punt in tegenspraak zijn met zijn aanvankelijke standpunt, dat hij bij monde van zijn DPO op 28 januari 2020 heeft erkend dat deze verzending in strijd was met de AVG (punt 10). 25. Rekening houdend met de criteria van artikel 6.4 van de AVG en overweging 50 4 daarvan, moet worden nagegaan of de verdere verwerking - zoals reeds vermeld, de verspreiding van de contactgegevens van de klager per e-mail aan andere deelnemers aan het participatieproces - al dan niet verenigbaar is met het doel van de oorspronkelijke verwerking. 26. De Geschillenkamer merkt op dat verweerder de persoonsgegevens heeft verwerkt in het kader van zijn opdracht. De klager kon echter redelijkerwijs niet verwachten dat de beklaagde dezelfde gegevens zou delen met derden die een band met de verweerder hebben als deelnemers aan dezelfde workshop, maar die niettemin geen band hebben met de relatie tussen de klager en de 2 Beslissing 03/2021 van de Geschillenkamer (punt 12): https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-tengronde-nr.-03-2021.pdf. 3 Beslissing 03/2021 van de Geschillenkamer (punt 13): https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-tengronde-nr.-03-2021.pdf. 4 "Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. Beslissing ten gronde 80/2022 - 7/11 verweerder5. In dezelfde zin is het Europees Comité voor gegevensbescherming (EDPS) van mening dat betrokkenen niet mogen worden verrast met betrekking tot het doel van de verwerking van hun persoonsgegevens6. 27. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking, in tegenstelling tot wat de verweerder stelt, omdat er een afzonderlijke rechtsgrond is vereist opdat de mededeling van de contactgegevens van de klager aan de andere deelnemers als rechtmatig zou kunnen worden beschouwd7. 28. Een verwerking van persoonsgegevens, waaronder een onverenigbare verdere verwerking zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een rechtsgrond bestaat. 29. In overweging 50 van de AVG8 is opgenomen dat een afzonderlijke rechtsgrond is vereist voor de verwerking van persoonsgegevens voor andere doeleinden die niet verenigbaar zijn met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Deze afzonderlijke rechtsgrondslagen zijn die welke zijn gedefinieerd in artikel 6.1 van de AVG. 30. De verweerder zelf maakt geen melding van enige rechtsgrond die hem zou toelaten over te gaan tot de gegevensverwerking die het voorwerp uitmaakt van de klacht, zijnde de mededeling van het e-mailadres van klager aan de andere deelnemers aan het participatieproces 9. 31. De verweerder is de ene keer immers van mening dat de genoemde verwerking verenigbaar is met de oorspronkelijke verwerking zoals vermeld in zijn antwoord (punt 18 hierboven) en dan weer dat de door de klager aangeklaagde verdere verwerking in strijd is met de AVG (punt 10) toegevend dat dit een vergissing is. 32. De Geschillenkamer zou zich kunnen beperken tot de vaststelling dat verweerder, die ten onrechte heeft geoordeeld dat de verdere verwerking verenigbaar was met de eerste verwerking, zich logischerwijs - niet beroept op enige rechtsgrondslag ter ondersteuning van de omstreden (onverenigbare verdere) verwerking10 die hij heeft verricht, en dus in strijd handelt met de artikelen 5.1.b), juncto 6. 4, en 6.1.11 van de AVG. 5 Zie bijvoorbeeld de eerder vernoemde beslissing 03/2021 van de Geschillenkamer. 6 Europees Comité voor gegevensbescherming (EDPS), Richtsnoeren inzake transparantie in het kader van Verordening (EU) 2016/679, punt 45, https://ec.europa.eu/newsroom/article29/items/622227/en 7 Zie in dezelfde zin de beslissing ten gronde 03/2021 van 13 januari 2021 van de Geschillenkamer, punt 14 https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-03-2021.pdf. 8 Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. [...] 9 Zie in dezelfde zin de beslissing ten gronde 03/2021 van 13 januari 2021 van de Geschillenkamer, punt 17 https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-03-2021.pdf. 10 De Geschillenkamer herinnert in dit verband aan de verplichting voor elke verwerkingsverantwoordelijke om, alvorens tot verwerking over te gaan, de passende rechtsgrondslag te identificeren, in toepassing van artikel 6.1 van de AVG. Zie in dit verband de besluiten 38/2021, 42/2022 en 48/2022, die beschikbaar zijn op de website van het GBA onder de rubriek "Beslissingen". 11 Indien dit niet het geval is, had de betwiste verwerking, zoals is aangetoond, een eigen rechtsgrondslag moeten hebben, die in casu ontbreekt. De inbreuken op artikel 5.1.b), en artikel 6.4 van de AVG resulteren derhalve ook in een inbreuk op artikel 6.1 van de AVG. Beslissing ten gronde 80/2022 - 8/11 33. Zonder daartoe verplicht te zijn, zal de Geschillenkamer hierna niettemin onderzoeken of in het onderhavige geval de betwiste mededelingen vanaf het e-mailadres van klager op een van de in artikel 6.1. onder a), b), c), d),
13. e)en
14. f)genoemde rechtsgronden kunnen worden gebaseerd. In de onderhavige zaak concludeert de Geschillenkamer dat deze verdere verwerking van persoonsgegevens geen dergelijke rechtsgrondslag heeft. De verwerking is namelijk niet gebaseerd op de toestemming van de klager (artikel 6.1.
15. a)van de AVG in combinatie met artikel 7 van de AVG). De verwerking is niet noodzakelijk voor de uitvoering van een - niet bestaande overeenkomst waarbij de klager partij is of voor de uitvoering van op zijn verzoek genomen maatregelen vóór de sluiting van een overeenkomst (artikel 6.1.
16. b)van de AVG). Evenmin is de verwerking noodzakelijk om een wettelijke verplichting na te komen waaraan de verweerder is onderworpen (artikel 6.1.
17. c)van de AVG). De verwerking is duidelijk niet noodzakelijk om de vitale belangen van de klager te beschermen (artikel 6.1.
18. d)van de AVG). Artikel 6.1.
19. f)van de AVG kan door de verweerder niet worden ingeroepen in toepassing van artikel 6.1. 2 de lid, aangezien verweerder een overheidsinstantie is die de betwiste verwerking heeft verricht in het kader van zijn opdracht. Wat artikel 6.1.
20. e)van de AVG betreft, is de Geschillenkamer van oordeel dat verweerder zich daarop niet kan beroepen, aangezien - zelfs in de veronderstelling dat de genoemde verwerking plaatsvindt in het kader van de vervulling van een taak van algemeen belang waarmee verweerder is belast niet is voldaan aan het noodzakelijkheidscriterium. Het delen van het e-mailadres van de klager met andere deelnemers aan de workshops in kwestie is namelijk niet strikt noodzakelijk voor de uitvoering van deze taak. 34. Bij gebrek aan een rechtsgrondslag voor de (onverenigbare) verdere verwerking van klagers' gegevens, concludeert de Geschillenkamer dat verweerder de artikelen 5.1.
21. b)juncto 6.4 en 6.112 van de AVG heeft geschonden, aangezien het e-mailadres van klager verder is verwerkt op een wijze die onverenigbaar is met de gespecificeerde, rechtmatige en legitieme doeleinden waarvoor het was verzameld13, zonder dat een passende rechtsgrondslag kon worden ingeroepen. 35. Bovendien heeft verweerder, door niet binnen de in artikel 12.3 van de AVG gestelde termijn van een maand te antwoorden op het verzoek van klager om bezwaar te maken (een termijnoverschrijding die de verweerder niet betwist (punt 10), aangezien laatstgenoemde tussen 12 november 2019 en 28 januari 2020 geen antwoord aan klager heeft gegeven), deze bepaling niet nageleefd. 36. Deze inbreuken op artikel 5.1b) juncto artikel 6.4 en artikel 6.1 van de AVG alsook op artikel 12.3 van de AVG tonen aan dat verweerder als verantwoordelijke voor de verwerking geen passende technische en organisatorische maatregelen heeft genomen om te waarborgen en te kunnen aantonen dat de genoemde verwerking in overeenstemming met de AVG wordt uitgevoerd. Hij is derhalve in strijd met artikel 24 van de AVG. Rekening houdend met de aard, de omvang, de context 12 Zie supra voetnoot 11. 13 Artikel 5.1.
22. b)van de AVG Beslissing ten gronde 80/2022 - 9/11 en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, moet de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd. 37. Zoals de ID in haar onderzoeksverslag vermeldt, moeten de maatregelen ook gericht zijn op de naleving van de artikelen 25 en 32 van de AVG. Bij gebrek aan voldoende bewijs van een schending van laatstgenoemde bepalingen, beschouwt de Geschillenkamer deze niet als inbreuken op de AVG door de verweerder. In dit verband preciseert de Geschillenkamer dat, afhankelijk van het betrokken geval, het voorwerp van de klacht, de concrete omstandigheden van elk geval en in het bijzonder de inspanningen die de verweerder zich in de loop van de procedure getroost om de AVG na te leven, zij ervoor kan kiezen een inbreuk op een of andere bepaling van de AVG die verband houdt met de hoofdinbreuk (zelfs indien deze door de ID wordt vastgesteld), niet vast te stellen en zich tertoe te beperken de verwerkingsverantwoordelijke te herinneren aan zijn verplichtingen, zonder dat deze herinnering een corrigerende maatregel of een sanctie vormt in de zin van artikel 100 van de WOG. 38. De Geschillenkamer is ook van oordeel dat het in dit geval niet relevant is om de mededeling van het e-mailadres van klager aan de andere ontvangers van de mailinglist te kwalificeren als een inbreuk op het beginsel van de minimale gegevensverwerking (artikel 5.1.
23. c)van de AVG). Overigens is er geen sprake van een inbreuk op artikel 4.1 van de AVG. 39. De Geschillenkamer voegt daaraan toe dat het feit dat klager zijn e-mailadres op andere websites heeft gepubliceerd, niets afdoet aan de noodzakelijke naleving van de in de AVG verankerde gegevensbeschermingsregels die op de betrokken verwerking van toepassing zijn. Er moet namelijk worden gekozen voor een aanpak per verwerking, die de kern vormt van het beschermingsmechanisme die door de AVG wordt gewaarborgd. Wat verweerder het wegvallen van de "privacy" van zijn e-mailadres noemt, is niet relevant voor zowel de definitie van "persoonsgegevens" als voor de voorwaarden van de betwiste verwerking. In het algemeen blijven openbaar gemaakte gegevens "persoonsgegevens" waarop de AVG van toepassing is. De AVG voorziet weliswaar in een aantal nuances van de voorwaarden voor de verwerking van deze gegevens in specifieke contexten, maar die zijn in dit geval niet van toepassing. II.2. Wat betreft de corrigerende maatregelen en sancties 40. Krachtens artikel 100 WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; Beslissing ten gronde 80/2022 - 10/11 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 41. Bij de beoordeling van de sanctie en/of de passende corrigerende maatregel houdt de Geschillenkamer er rekening mee dat verweerder - niettegenstaande het feit dat hij in zijn conclusie het tegendeel heeft betoogd - bij monde van zijn DPO het bestaan van een verdere verwerking in strijd met de AVG heeft erkend en heeft uitgelegd dat de niet-naleving van de in artikel 12.3 van de AVG gestelde termijn te wijten was aan een interne communicatiefout. De Geschillenkamer heeft ook rekening gehouden met de stappen die verweerder heeft ondernomen om te voldoen aan de AVG teneinde de vastgestelde tekortkomingen te verhelpen (punt 19). In deze omstandigheden beslist de Geschillenkamer om de verweerder een berisping te geven overeenkomstig artikel 100, § 1, 5°, van de WOG. Beslissing ten gronde 80/2022 - 11/11 III. Publicatie van de beslissing 42. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer wordt deze beslissing gepubliceerd op de website van de GBA. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DIE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging: - op grond van artikel 100, §1, 5° van de WOG, de verweerder een berisping op te leggen. Tegen deze beslissing kan op grond van artikel 108, §1, van de WOG, beroep worden aangetekend bij het Marktenhof, binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. (get.) Hielke Hijmans Voorzitter van de Geschillenkamer