Beslissing ten gronde nr. 81/2020

(30)minuten. Omdat er geen blauwe schijf door de klager op zijn voorruit was geplaatst en omdat hij geen parkeervergunning had, verklaart de eerste verweerder dat hij op grond van artikel [...] van het toepasselijke gemeentelijk reglement [...] een uitnodiging tot betaling van EUR [...] op de voorruit van het voertuig van de klager had geplaatst. Dit bedrag komt overeen met het vergoedingsbedrag "Tarief 1" van het gemeentelijk reglement. De klager betwist op zijn beurt dat hij een betalingsuitnodiging heeft gevonden op zijn voorruit.

1. La De eerste verweerder verklaart dat hij op 24 januari 2019 een betalingsherinnering aan de klager heeft gestuurd, waardoor de oorspronkelijke schuld overeenkomstig artikel 1 van het bovengenoemde gemeentelijk reglement met 5 euro is verhoogd. De klager betwist ook hier dat hij ooit een herinnering heeft ontvangen.
2. Zonder betaling binnen 15 dagen na de verzending van deze herinnering van 24 januari 2019, en overeenkomstig artikel [...] van het toepasselijk gemeentelijk reglement, heeft de eerste verweerder het dossier doorgestuurd naar zijn deurwaarder, d.w.z. naar de tweede verweerder, zodat deze laatste het door de klager verschuldigde bedrag kan invorderen. Beslissing ten gronde 81/2020- 5/46
3. Op 25 februari 2019 ontving de klager een aanmaning van de tweede verweerder om het verschuldigde bedrag in te vorderen overeenkomstig artikel [...] van bovengenoemd gemeentelijk reglement. Aan de initiële schuld, zoals aangekondigd in de herinneringsbrief van 24 januari 2019 (punt 5 hierboven) werden kosten toegevoegd overeenkomstig het Koninklijk Besluit van 30 november 1976 tot vaststelling van het tarief voor akten van gerechtsdeurwaarders in burgerlijke en handelszaken en van het tarief van sommige toelagen waarnaar artikel [...] van het gemeentelijk reglement verwijst. De klager verklaart deze aanmaning te hebben ontvangen op 1 maart
5. Op 3 maart 2019 heeft klager de tweede verweerder aangeschreven voor uitleg, met de mededeling dat hij nooit een uitnodiging tot betaling of een aanmaning heeft ontvangen. Hij maakt ook bezwaar tegen de betaling van de parkeervergoeding. In dezelfde brief stelt de klager de tweede verweerder vragen over de rechtsgrond voor de toegang tot de Directie Inschrijving van Voertuigen (DIV) van de FOD Mobiliteit en tot het Rijksregister. Volgens dezelfde brief oefent de klager ook zijn recht op toegang tot zijn persoonsgegevens uit, zoals erkend door de AVG (artikel 15 van de AVG).
6. Op dezelfde datum richtte de klager dezelfde verzoeken tot de eerste verweerder.
7. Op 4 maart 2019 verwijst de eerste verweerder de eiser naar de tweede verweerder in deze bewoordingen : "Regel het met de gerechtsdeurwaarder".
8. Op 29 maart, bij gebrek aan antwoord van de tweede verweerder, schrijft de klager hem opnieuw aan met de mededeling dat de wettelijke termijn van één

(1)maand om te antwoorden op zijn verzoek om toegang, op het punt staat te verstrijken. 12. Op 2 april 2019 heeft de tweede verweerder de klager in antwoord op zijn brief van 3 maart (punt 8 hierboven) aangeschreven en hem een bepaalde hoeveelheid informatie verstrekt, enerzijds over de gegevens die hij in antwoord op zijn verzoek om toegang verwerkt en over de rechtsgrondslagen, en anderzijds over de door zijn cliënt (de eerste verweerder) uitgevoerde verwerkingshandelingen. Er volgde een briefwisseling tussen klager en de deurwaarder (tweede verweerder) waarin foto's - volgens klager niet erg leesbaar - naar hem werden gestuurd. 13. Op 8 april 2019 verzoekt klager de tweede verweerder hem het bewijs te leveren van de herinneringsbrief van 24 januari 2019 (punt 5 hierboven). 14. Daarop volgt ook een verzoek op 29 april 2019 van de klager aan de eerste verweerder om een bewijs van de verzending van deze herinneringsbrief van 24 januari 2019 te verkrijgen. In Beslissing ten gronde 81/2020- 6/46 antwoord daarop verstrekt de eerste verweerder een kopie van de herinneringsbrief verwijst hij de klager voor het overige naar de gerechtsdeurwaarders. 15. Op 15 mei 2019 dient de klager een klacht in bij de GBA tegen zowel de eerste als de tweede verweerder. De klager voegt op 6 juni 2019 een addendum toe aan zijn klacht. 16. De klager heeft overigens een verzoek om toegang gericht aan de DIV. Uit het antwoord dat de klager op 17 mei 2019 heeft ontvangen, blijkt dat de eerste verweerder de gegevens van de klager heeft geraadpleegd op 3 januari 2019 om 22.03 uur, d.w.z. de dag na de vaststelling (van 2 januari 2019 - zie punt 4 hierboven) van de vermeende inbreuk op de parkeervoorschriften. 17. In Juni 2019 schrijft klager opnieuw aan zowel de eerste als de tweede verweerder om meer uitleg te krijgen over de vermeende inbreuk. 18. Op 11 juli 2019 reageert de tweede verweerder op het verzoek van klager om meer uitleg met de mededeling dat deze ervan wordt beschuldigd geen geldig parkeerbewijs op zijn voorruit te hebben geplaatst. De eerste verweerder verwijt op zijn beurt de klager dat hij heeft nagelaten de vereiste parkeerschijf te zetten in de blauwe zone. 3. Voorwerp van de klacht van de klager 19. Luidens de klacht vraagt de klager dat zijn klacht tegen de eerste en tweede verweerder ontvankelijk en gegrond wordt verklaard en dat de verweerders als gevolg daarvan worden veroordeeld tot naleving van de AVG en de Belgische wetgeving, binnen de termijn die de Geschillenkamer redelijk acht, op straffe van een dwangsom. 20. In dit verband meent de klager dat de verweerders zich schuldig hebben gemaakt aan: Voor wat de eerste verweerder betreft: - een schending van zijn recht op informatie (artikelen 12 en 14 van de AVG) - een schending van zijn recht op toegang (artikel 15 van de AVG) - een schending van artikel 28 van de AVG gelet op de hoedanigheid van verwerker van de tweede verweerder - een schending van artikel 5 van de AVG (naleving van het noodzakelijkheidsbeginsel gelet op de raadpleging van de DIV) - een schending van het proportionaliteitsbeginsel en onrechtmatig hergebruik van gegevens (artikelen 5 en 6 van de AVG) gelet op de mededeling van zijn gegevens aan de tweede verweerder Beslissing ten gronde 81/2020- 7/46 - een schending van het beginsel van de minimale gegevensverwerking (artikel 5 van de AVG) gelet op het feit dat een foto werd genomen van zijn voertuig tijdens de vaststelling van de parkeerovertreding. Wat de tweede verweerder betreft - een schending van zijn recht op informatie (artikelen 12 en 14 van de AVG) - een schending van zijn recht op toegang (artikel 15 van de AVG) - een schending van artikel 28 van de AVG gelet op zijn hoedanigheid van verwerker - een schending van het beginsel inzake proportionaliteit en onrechtmatig hergebruik van gegevens (artikelen 5 en 6 van de AVG) die hij ontving van de eerste verweerder ook al zou daar geen rechtsgeldige basis voor zijn - een schending van het beginsel van minimale gegevensverwerking en het inwinnen van de verplichte toestemming (artikelen 5 en 6 van de AVG) gelet op het formulier gevoegd bij de aanmaning tot betaling. 21. De klager vraagt ook dat de verweerders worden veroordeeld tot een straf die in verhouding staat tot de ernst van de feiten, rekening houdend met het doel en de omvang van hun beroepsactiviteit, die een groot aantal burgers treft. 22. Tot slot, vordert de klager de veroordeling van de verweerders tot de niet-anonieme bekendmaking van de beslissing van de Geschillenkamer om het publiek te informeren over de illegale praktijken in het beheer van de parkeergelden waartegen zij de eerbiediging van hun rechten inzake de bescherming van gegevens kunnen eisen. 4. Het inspectieverslag van 6 januari 2020 23. In zijn verslag deed de Inspecteur-generaal de volgende vaststellingen: 24. Vaststelling 1: Uit de gegevens in het dossier en de antwoorden van eerste verweerder blijkt niet dat de rechtmatigheid van de verwerking door eerste en tweede verweerder met het oog op de invordering van de wettelijke gemeentelijke parkeerschuld in twijfel kan worden getrokken. 25. Vaststelling 2 : : de verstrekte informatie aan de betrokkenen op de website van de eerste verweerder is onvolledig. De privacyverklaring op de website van de eerste verweerder [...] heeft geen betrekking op de persoonsgegevens die zij verwerkt bij de controle, het versturen van de herinnering en het doorsturen van het dossier naar de deurwaarder (tweede verweerder). De contactgegevens van de privacyverantwoordelijke van de eerste verweerder die belast is met de behandeling van verzoeken om toegang van betrokkenen worden in deze verklaring niet vermeld. De eerste verweerder voldoet Beslissing ten gronde 81/2020- 8/46 dus niet aan zijn verplichting om de betrokken personen gemakkelijk toegankelijke informatie te verstrekken, met name langs elektronische weg, zoals artikel 12.1 van de AVG voorschrijft. 26. Vaststelling 3 : Het recht op toegang van de klager tot zijn gegevens die de eerste verweerder verwerkt, werd niet geëerbiedigd in strijd met artikel 15 van de AVG. Als enige reactie op zijn verzoek om toegang werd klager in feite twee keer doorverwezen naar de deurwaarder [lees de tweede verweerder] en werd hem een kopie van de betalingsherinnering die hij betwistte te hebben ontvangen, overhandigd. Hier blijkt dus dat er geen procedure bestaat voor de klantendienst van de eerste verweerder die belast is met klachten om de verzoeken met betrekking tot de uitoefening van de rechten van de betrokkene door te sturen naar de privacyverantwoordelijke van de eerste verweerder. 27. Vaststelling 4 : De toegang tot de DIV van de eerste verweerder gebeurde de dag na de controle van het voertuig van de klager. De persoonsgegevens die op hem betrekking hebben (naam, voornaam en adres) zijn zonder noodzaak verwerkt gedurende de periode waarin de betrokkene de mogelijkheid heeft de vergoeding te betalen voordat een herinnering op zijn naam en adres wordt verzonden, hetgeen niet in overeenstemming is met het in artikel 5. c), [lees artikel 5.1. c)] van het in de AVG vastgelegde beginsel van minimale gegevensverwerking. Volgens het artikel van het [...] invorderingsreglement van[...] de Stad [……….. ] bedraagt deze termijn 10 dagen. Verweerder stelt dat in dit geval een technische fout is opgetreden bij de geautomatiseerde toegang tot de DIV. Hij voegt een uitwisseling van e-mails van 14 en 22 november 2019 met haar leverancier toe, waaruit blijkt dat de DIV-gegevens na 48 uur voor al zijn locaties worden ontvangen. 28. De Geschillenkamer merkt op dat in het kader van haar onderzoek de antwoorden op de vragen van de Inspecteur-generaal aan de tweede verweerder zijn ondertekend door de Groep [...]. 5. De hoorzitting van 13 juli 2020 29. De hoorzitting van 13 juli 2020 - waarvoor proces-verbaal is opgesteld - heeft, naast de argumenten die in de conclusies zijn uiteengezet, ook de volgende elementen aan het licht gebracht: - beide verweerders hebben de hoedanigheid van verwerkingsverantwoordelijke; - de wijzigingen waartoe de eerste verweerder heeft besloten in de procedure die met de tweede verweerder is ingesteld voor de uitoefening van de rechten inzake gegevensbescherming van de betrokkenen en met name het besluit om het beheer van verzoeken van de betrokkenen om de uitoefening van hun rechten, intern te houden ; - de werkzaamheden om zich in overeenstemming te brengen met de AVG, uitgevoerd door gerechtsdeurwaarders vanaf 25 mei 2018, met name de goedkeuring van een gedetailleerd privacybeleid dat beschikbaar is op zijn de website; Beslissing ten gronde 81/2020- 9/46 - de aanduiding van een functionaris voor gegevensbescherming (DPO) door zowel de eerste als de tweede verweerder; - het verzoek van zowel de eerste als de tweede verweerder tot publicatie van de beslissing van de Geschillenkamer in geanonimiseerde vorm, met name gelet op het imago van de functie van gerechtsdeurwaarder (tweede verweerder) en de vrees om, gezien het aantal personen waarvan de persoonsgegevens door beide verweerders worden verwerkt, een toename van het aantal klachten tegen hen te zien. - de bevestiging dat de eerste verweerder lid is van de Groep [...]. IN RECHTE 6. Opbouw van de beslissing 30. Bij wijze van inleidende opmerkingen zal de Geschillenkamer een aantal verduidelijkingen aanbrengen met betrekking tot haar bevoegdheid (7.1.), met betrekking tot de fout in de verwijzing naar de grondslag voor de rechtmatigheid van de verwerking waarop de eerste verweerder spontaan heeft gewezen (7.2.) en met betrekking tot de hoedanigheid van de eerste en de tweede verweerder ten aanzien van de betrokken gegevensverwerkingen (7.3.). Deze verduidelijkingen zijn een noodzakelijke voorwaarde voor de consistentie en het begrip van de rest van deze beslissing. 31. Vervolgens zal de Geschillenkamer onder titel 8 achtereenvolgens de inbreuken onderzoeken die enerzijds kunnen worden vastgesteld tegen de eerste verweerder (titel 8.1) en tegen de tweede verweerder anderzijds (titel 8.2). 32. Ten slotte zal de Geschillenkamer in titel 9 de redenen aangeven voor de corrigerende maatregelen en sancties die zij besluit op te leggen aan de eerste verweerder enerzijds (titel 9.1.) en aan de tweede verweerder anderzijds (tiel 9.2.) 7. Inleidende opmerkingen 7.1. Wat betreft de soevereine beoordeling van de Geschillenkamer, in weerwil van de vaststellingen van het inspectieverslag en de voorwaarden van de klacht 33. De tweede verweerder wijst er in zijn conclusies meermaals op dat, aangezien in het inspectieverslag geen schending van zijn verplichtingen werd vastgesteld, de Geschillenkamer geen schending van zijn verplichtingen jegens hem kon vaststellen. 34. De Geschillenkamer herinnert er in dit verband aan dat de WOG niet vereist dat zij systematisch een beroep doet op de inspectiedienst. Het is immers aan de Geschillenkamer om na het Beslissing ten gronde 81/2020- 10/46 indienen van een klacht te bepalen of een onderzoek door de inspectie al dan niet noodzakelijk is (artikel 63, 2° WOG - art. 94, 1° WOG). De Geschillenkamer kan ook beslissen om de klacht te behandelen zonder deze door te verwijzen naar de inspectiedienst (art. 94, 3° WOG). 35. Wanneer de zaak aan haar wordt voorgelegd, zullen de bevindingen van de inspectiedienst voor de Geschillenkamer zeker een licht werpen over de feitelijke elementen van de klacht, over de kwalificatie van deze feiten in het licht van de regelgeving inzake gegevensbescherming en kunnen zij ter ondersteuning dienen voor deze of gene schending die de Geschillenkamer in fine weerhoudt in haar beslissingen. Het staat de Geschillenkamer echter vrij om op basis van alle documenten, die tijdens de procedure zijn overgelegd en de argumenten die zijn ontwikkeld in het kader van het tegensprekelijk debat ,dat is gevoerd na de beslissing om de zaak ten gronde te behandelen (artikel 98 WOG) - zo nodig na een beroep te hebben gedaan op de Inspectie - een gemotiveerde conclusie te trekken over het bestaan van inbreuken die in het inspectieverslag niet aan de orde zouden zijn gesteld. 36. Wat de voorwaarden van de klacht betreft, deze vormen een uitgangspunt voor zowel de Inspectiedienst als de Geschillenkamer. De Geschillenkamer herinnert eraan dat zij reeds meermaals heeft geoordeeld dat zij tijdens de procedure na de klacht de mogelijkheid heeft om de juridische kwalificatie van de haar voorgelegde feiten te wijzigen of om nieuwe feiten in verband met de klacht te onderzoeken, zonder noodzakelijkerwijze een beroep te doen op de tussenkomst van de Inspectiedienst, in het bijzonder door de partijen vragen te stellen of door rekening te houden met nieuwe feiten of juridische kwalificaties die bij wijze van conclusie worden aangevoerd, binnen de grenzen van het debat op tegenspraak, dat wil zeggen op voorwaarde dat de partijen de gelegenheid hebben gehad om dergelijke feiten of juridische kwalificaties te bespreken op een wijze die in overeenstemming is met de rechten van de verdediging 1. 7.2. Betreffende de rechtsgrond 37. In zijn conclusies verklaart de eerste verweerder dat hij een fout moet corrigeren. Hierin staat dat het gemeentelijk reglement [...] , waarop de rechtmatigheid van de verwerking is gebaseerd en waarvan de rechtmatigheid in het onderzoeksverslag wordt erkend, van toepassing is bij parkeertarieven in geval van niet-betaling via een parkeermeter. 1 Geschillenkamer, beslissing 17/2020 (punten 26 tot 33) https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-17-2020.pdf 41/2020 (punten 12 en 14-15) https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.41-2020.pdf en 63/2020 (punten 16 tot 22):https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-63-2020.pdf beschikbaar op de website van de GBA. Beslissing ten gronde 81/2020- 11/46 38. In het onderhavige geval wijst de eerste verweerder erop dat de door de klager verschuldigde vergoeding verschuldigd is omdat er geen blauwe schijf is aangebracht. Daarom moet het gemeentelijk reglement van [...] betreffende het parkeren in de blauwe zone worden toegepast. 39. De eerste verweerder stelt echter dat, aangezien de twee gemeentelijke reglementen identiek zijn geformuleerd - althans wat betreft de artikelen die relevant zijn voor het onderhavige geschil het volstaat om de verwijzingen eenvoudigweg aan te passen. 40. In zijn conclusies stelt de klager dat het gemeentelijk reglement van [...] ditmaal ingeroepen door de tweede verweerder in de voetnoot van de aanmaning die hij hem op 25 februari 2019 (punt 7 hierboven) stuurde, verstreek op[...], dit wil zeggen vóór de verzending van de aanmaning en vóór de datum van de aan hem verweten inbreuk (2 januari 2019). Hij concludeert dan ook dat de verwerking niet rechtmatig is. De tweede verweerder beroept zich in zijn conclusies en in stukken van zijn dossier, in tegenstelling tot de verwijzing onderaan deze aanmaning op het gemeentelijk reglement van [...] betreffende het parkeren in de blauwe zone. 41. De Geschillenkamer concludeert uit het voorgaande dat verweerders het erover eens zijn dat de basis voor de rechtmatigheid van hun verwerking, althans gedeeltelijk, te vinden is in het gemeentelijk reglement van [...] inzake parkeren in de blauwe zone. 42. De Geschillenkamer kan echter alleen maar vaststellen dat er veel verwarring bestaat over de identificatie van deze rechtsgrond. Dit element maakt nu echter deel uit van de in artikel 13.1.c), en artikel 14.1.c), van de AVG opgesomde gegevens waarover de betrokkenen moeten worden geïnformeerd (zie hieronder). Op dezelfde manier kan deze informatie, zonder verplicht te zijn, ook worden opgenomen in het register van verwerkingsactiviteiten, dat regelmatig moet worden bijgewerkt (artikel 30 van de AVG). Fouten zoals die van de verweerders kunnen misschien op deze manier worden vermeden2. 43. In casu is de Geschillenkamer van mening dat de fout bij de vaststelling en mededeling van de rechtsgrond niet synoniem is met het ontbreken van een rechtsgrond in de zin van artikel 6 van de AVG. Wat betreft de informatieplicht - met name over de rechtsgrondslag (artikel 13.1.

1. c)en artikel 14.1.
2. c)van de AVG) - en meer in het algemeen over de effectieve uitvoering van artikel 24 van de AVG in dit verband, verwijst de Geschillenkamer naar de punten 8.1.1 en 8.1.4 hieronder. 2 Zie Commissie voor de Bescherming van de Persoonlijke Levenssfeer, Aanbeveling 06/2017 van 14 juni 2017 betreffende het Register van verwerkingsactiviteiten (artikel 30 van de AVG). zie punt 42 van de aanbeveling https://www.autoriteprotectiondonnees.be/publications/recommandation-n-06-2017.pdf Beslissing ten gronde 81/2020- 12/46 7.3. Betreffende de hoedanigheid van de eerste en tweede verweerder 44. De klager merkt op dat de eerste verweerder verklaart dat hij met de tweede verweerder een procedure voor klachtenbeheer heeft ingesteld. Volgens de voorwaarden van deze procedure beheert de tweede verweerder alle schuldvorderingen of klachten vanaf het moment dat het desbetreffende dossier aan hem is toegezonden en neemt hij de invordering van het verschuldigde bedrag op zich. De klager is van mening dat"indien men wil begrijpen dat de tweede verweerder als verwerker van de eerste verweerder optreedt", de vereisten van artikel 28 van de AVG van toepassing moeten zijn en dat de verweerders derhalve moeten kunnen aantonen dat zij deze vereisten daadwerkelijk toepassen. 45. De Geschillenkamer heeft ter hoorzitting van 13 juli 2020 (punt 5 hierboven) nota genomen van het feit dat zowel de eerste als de tweede verweerder als verantwoordelijke voor de verwerking in aanmerking komen voor de verwerkingen die zij verrichten en waarvan zij respectievelijk het doel en de middelen bepalen. 46. Ongeacht de door de partijen gegeven kwalificatie, die voor de Geschillenkamer niet bindend is3, is zij op basis van de door de verweerders gegeven beschrijving van de onderlinge samenwerking van mening dat elk van hen verwerkingsverantwoordelijke is Hun interventies in het kader van de minnelijke schikking volgen elkaar in deze hoedanigheid op. De Geschillenkamer merkt in dit verband op dat, volgens de verweerders zelf, hun samenwerking uitsluitend gebaseerd is op het gemeentelijk reglement, met uitsluiting van elk ander document dat hun samenwerking ondersteunt. 47. De Geschillenkamer verwerpt eveneens elke kwalificatie tussen de verweerders van gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 van de AVG . Inderdaad, medeverantwoordelijkheid vereist een gezamenlijke bepaling van zowel het doel als de middelen van de geïdentificeerde verwerking, wat hier niet het geval is.4 Elk van de verweerders voert 3 Europees Comité voor Gegevensbescherming (ECGB), Guidelines 07/2020 on the concepts of controller and processor in the GDPR, versie 1.0. van 2 september 2020. Deze richtsnoeren bestaan momenteel enkel in het Engels. Zij zijn voor openbare raadpleging voorgelegd en kunnen worden gewijzigd https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_202007_controllerprocessor_en.pdf 4 Idem hierboven punten 50-55 in het bijzonder en de aangehaalde verwijzingen: 50. The overarching criterion for joint controllership to exist is the joint participation of two or more entities in the determination of the purposes and means of a processing operation. Joint participation can take the form of a common decision taken by two or more entities or result from converging decisions by two or more entities, where the decisions complement each other and are necessary for the processing to take place in such a manner that they have a tangible impact on the determination of the purposes and means of the processing. An important criterion is that the processing would not be possible without both parties’ participation in the sense that the processing by each party is inseparable, i.e. inextricably linked. The joint participation needs to include the determination of purposes on the one hand and the determination of means on the other hand. Beslissing ten gronde 81/2020- 13/46 opeenvolgende verwerkingen uit op gegevens die weliswaar tot een bepaalde fase van de procedure identiek zijn (de tweede verweerder ontvangt een bepaalde hoeveelheid gegevens van de eerste verweerder), zonder evenwel het doel en de middelen van de verwerking(
3. en)gezamenlijk vast te stellen. In tegendeel, elk van de verweerders bepaalt bij de start van de opdracht die hen is toevertrouwd (krachtens de openbare concessieovereenkomst voor de eerste verweerder; krachtens de wet voor de tweede verweerder), het doeleinde en de middelen van de verwerkingen die zij moeten uitvoeren, en dit inderdaad achtereenvolgend maar afzonderlijk. 48. De Geschillenkamer deelt echter de indruk van verwarring en onduidelijkheid met betrekking tot de betrokken personen die door de klager zijn doorgespeeld. Dit blijkt met name uit het antwoord van de tweede verweerder op een verzoek van de klager aan de eerste verweerder om zijn rechten op het gebied van gegevensbescherming uit te oefenen (punten 10 en 14 hierboven en 75 hieronder). 49. De tweede verweerder is evenwel geen verwerker van de eerste verweerder noch samen met haar gezamenlijke verantwoordelijke. Daarom mag hun relatie niet worden geregeld door een verwerkersovereenkomst en kan hen geen enkele inbreuk op artikel 28 van de AVG verweten worden. Hun relatie mag ook niet worden geregeld door een overeenkomst tussen hen, zoals artikel 26 van de AVG voorschrijft in het geval van gezamenlijke verantwoordelijkheid. 8. Betreffende de inbreuken 55. It is also important to underline, as clarified by the CJEU, that an entity will be considered as joint controller with the other(
4. s)only in respect of those operations for which it determines, jointly with others, the means and the purposes of the processing. If one of these entities decides alone the purposes and means of operations that precede or are subsequent in the chain of processing, this entity must be considered as the sole controller of this preceding or subsequent operation. Vrije vertaling Secretariaat GBA 50. Het algemene criterium dat bepalend is voor de aanwezigheid van een gezamenlijke verantwoordelijkheid voor de verwerking is de gezamenlijke deelname van twee of meer entiteiten aan de vaststelling van het doel en de middelen van een verwerking. De gezamenlijke deelname kan de vorm aannemen van een gezamenlijk besluit van twee of meer entiteiten, of voortvloeien uit convergerende besluiten van twee of meer entiteiten, wanneer deze besluiten elkaar aanvullen en noodzakelijk zijn om de verwerking zodanig uit te voeren dat zij een concrete invloed hebben op de vaststelling van het doel van en de middelen voor de verwerking. Een belangrijk criterium is dat de verwerking niet mogelijk zou zijn zonder de deelname van beide partijen, in die zin dat de verwerking door elke partij onafscheidelijk is, d.w.z. dat de verwerking onlosmakelijk met elkaar verbonden is. De gezamenlijke deelname moet enerzijds de vaststelling van het doel en anderzijds de vaststelling van de middelen omvatten. 55. Het is ook belangrijk te onderstrepen, zoals het Hof van Justitie heeft verduidelijkt, dat een entiteit alleen als een gezamenlijke verwerkingsverantwoordelijke zal worden beschouwd, samen met een of meer andere entiteiten, met betrekking tot de verrichtingen waarvoor zij samen met de andere entiteiten het doel en de middelen voor de verwerking vaststelt. Indien een van deze entiteiten alleen beslist over het doel en de middelen van eerdere of latere verrichtingen in de verwerkingsketen, moet die entiteit worden beschouwd als de enige verantwoordelijke voor die eerdere of latere verrichting. Beslissing ten gronde 81/2020- 14/46 8.1. Betreffende inbreuken begaan door de eerste verweerder 8.1.1. Betreffende de inbreuk op de informatieplicht (artikelen 12 en 14 van de AVG) 50. In zijn hoedanigheid van verwerkingsverantwoordelijke moet de eerste verweerder de artikelen 12, 13 en 14 van de AVG ten uitvoer leggen en deze effectieve tenuitvoerlegging kunnen aantonen (artikel 5.2 en 24 van de AVG). 51. Overeenkomstig artikel 12.1 van de AVG is de eerste verweerder verantwoordelijk voor het nemen van passende maatregelen om de in de artikelen 13 en 14 van de AVG bedoelde informatie op beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze in duidelijke taal en schriftelijk of met andere middelen, waaronder elektronische middelen, te verstrekken. 52. In het onderhavige geval was de eerste verweerder, aangezien de gegevens niet rechtstreeks bij de klager werden verzameld, verplicht hem informatie te verstrekken over de verwerking van gegevens die op hem betrekking hadden in het kader van de inning van de verschuldigde vergoeding. Wat de inhoud betreft van deze informatie, hadden de opgelijste elementen onder §1 en §2 van artikel 14, overeenkomstig de jurisprudentie van de Geschillenkamer, aan de klager meegedeeld moeten worden.5 De Geschillenkamer heeft hierboven reeds gesteld dat deze elementen de exacte vaststelling van de rechtsgrondslag van de verwerking omvatten (artikel 14.1.
5. c)van de AVG) (punt 42 hierboven). 53. De Geschillenkamer is van mening dat in het licht van de hoeveelheid informatie die aan de betrokkene moet worden verstrekt, de verwerkingsverantwoordelijken, zoals de verweerders, een meerlagige aanpak moeten volgen. Enerzijds moet de betrokkene van meet af aan beschikken over duidelijke en toegankelijke informatie over het feit dat er informatie over de verwerking van zijn persoonsgegevens bestaat (privacybeleid) en waar hij die volledig zal kunnen vinden. 54. Anderzijds moet de betrokkene, onverminderd de toegankelijkheid van het privacybeleid in zijn geheel, vanaf de eerste communicatie van de verwerkingsverantwoordelijke met hem op de hoogte worden gebracht van de details van het doel van de betreffende verwerking, de identiteit van de verwerkingsverantwoordelijke en de rechten die hem ter beschikking staan. Het belang van het verstrekken van deze meerlagige inforamtie vloeit met name voort uit overweging 39 van de AVG. Alle aanvullende informatie die nodig is om de betrokkene in staat te stellen op basis van de op dit eerste 5Groep van het Artikel 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP 260, herziene versie van 11 april 2018 (overgenomen door het Europees Comité voor gegevensbescherming https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227 (punte 23). Beslissing ten gronde 81/2020- 15/46 niveau verstrekte informatie te begrijpen wat de gevolgen van de betrokken verwerking voor hem zullen zijn, moet worden toegevoegd 6. 55. Volgens zijn inspectieverslag van 6 januari 2020 merkt de inspecteur-generaal, zoals vermeld in titel 3, met betrekking tot het privacybeleid op dat : De privacyverklaring op de website van de eerste verweerder heeft geen betrekking op de persoonsgegevens die hij verwerkt bij de controle, het versturen van de herinnering en het doorsturen van het dossier naar de deurwaarder (tweede verweerder). De contactgegevens van de privacyverantwoordelijke van de eerste verweerder die belast is met de behandeling van verzoeken om toegang van betrokkenen worden in deze verklaring niet vermeld. De eerste verweerder voldoet dus niet aan zijn verplichting om de betrokken personen gemakkelijk toegankelijke informatie te verstrekken, met name langs elektronische weg, zoals artikel 12.1 van de AVG voorschrijft". 56. Met andere woorden, het privacybeleid van de eerste verweerder heeft geen betrekking op de gegevensverwerking die de klager aan de orde stelt. De Inspecteur-generaal geeft in zijn verslag immers aan dat het privacybeleid dat beschikbaar is op de site van de eerste verweerder op het moment van de raadpleging ervan, uitsluitend betrekking had op de wijze waarop de verwerking van de gegevens "die u ons via de site en/of op andere wijze" doorgeeft, werd uitgevoerd (stap 5 van het inspectieverslag). 57. De Geschillenkamer merkt verder op dat de eerste herinneringsbrief die de eerste verweerder op 24 januari 2019 aan de klager heeft gestuurd (punt 5 hierboven), deze clausule bevat: PRIVACY Uw persoonsgegevens die in ons bezit zijn, worden alleen verwerkt in het kader van deze herinnering en, indien nodig, in het kader van toekomstige uitwisselingen tussen u en onze diensten met betrekking tot de betaling van de betreffende vergoeding. Deze gegevens worden slechts bewaard voor de duur die overeenkomt met deze vereffening. Overeenkomstig de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming), staat het u vrij uw rechten uit te oefenen en vragen te stellen door een verzoek te sturen aan [...] of per e-mail [...]. De privacyverantwoordelijke zal contact met u opnemen om uw identiteit te bevestigen en de nodige stappen te ondernemen om op uw verzoek te reageren. 6 Idem (punten 35-38). Beslissing ten gronde 81/2020- 16/46 58. In die brief wordt ook de website van de eerste verweerder vermeld, zonder echter te verwijzen naar het privacybeleid in het algemeen of naar de relevante bepalingen met betrekking tot de verzonden herinnering (vooral omdat, zoals hierboven vermeld, dat privacybeleid niet van toepassing is op dit type van verwerking). De Geschillenkamer is van mening dat deze clausule het gebrek aan informatie over de elementen van §§ 1 en 2 van artikel 14 van de AVG niet kan compenseren (aangezien, zoals reeds vermeld, het privacybeleid van de eerste verweerder de betrokken verwerking niet dekt). 59. Wat betreft het feit dat de contactgegevens van de privacyverantwoordelijke in het algemeen niet worden vermeld, hetgeen ook in het onderzoeksverslag wordt opgemerkt, is de Geschillenkamer van mening dat de mededeling van de contactgegevens van de DPO of van een ander contactadres dat bestemd is voor de uitoefening van de rechten van de betrokkenen, deel uitmaakt van de verplichting van de verwerkingsverantwoordelijken om de uitoefening van de rechten van de betrokkenen te vergemakkelijken (artikel 12.2 van de AVG) 7. 60. De eerste verweerder stelt in zijn conclusies dat hij "slechts kennis kan nemen van de conclusie van het onderzoeksverslag, waarin wordt gesteld dat "de informatie die aan de betrokkenen is verstrekt op de website van ... ontoereikend is ". Hij merkt ook op dat de inspecteur van mening is dat de informatie "niet gemakkelijk toegankelijk is voor de betrokken personen (punt 41 van de conclusies van de eerste verweerder) en doet een aantal toezeggingen om dit te verhelpen (zie hieronder onder 9.1. over de discussie over corrigerende maatregelen en sancties). 61. Wat het tijdstip van de informatieverstrekking betreft, bepaalt artikel 14.3 van de AVG dat de in de §§ 1 en 2 opgesomde elementen moeten worden verstrekt binnen een redelijke termijn nadat zij zijn verkregen, maar niet later dan een maand na die verkrijging, rekening houdend met de bijzondere omstandigheden waarin de persoonsgegevens worden verwerkt. 62. In het onderhavige geval zijn de klager en de eerste verweerder het niet eens over de vraag of deze informatie tijdig is verstrekt. De eerste verweerder stelt dat de informatie is opgenomen in de uitnodiging tot betaling aan de klager en in haar herinneringsbrief (punten 4 en 5 hierboven). De klager verklaart dat hij nooit een bekeuring of herinneringsbrief heeft ontvangen en merkt op dat er geen bewijs is van mededeling van deze documenten - en dus van de informatie over gegevensbescherming - door de eerste verweerder. De eerste verweerder verwijst van zijn kant ook naar de informatie die op zijn website wordt verstrekt, hoewel hij aanvaardt dat die informatie onvolledig is (punt 60). 7 Tijdens de hoorzitting van 13 juli 2020 heeft de eerste verweerder verduidelijkt dat zijn privacyverantwoordelijke inderdaad een functionaris voor gegevensbescherming (DPO) is in de zin van artikel 37 van de AVG. Beslissing ten gronde 81/2020- 17/46 63. Het is niet aan de Geschillenkamer om te bepalen op welke wijze de overtreding van de parkeervoorschriften onder de aandacht van de overtreders moet worden gebracht (bekeuring, aanmaning per gewone post, aangetekende brief). Het blijft echter een feit dat informatie over de gegevensverwerking die plaatsvindt zowel in het kader van de vaststelling van de inbreuk als bij het beheer van de terugvordering van het bedrag na de inbreuk, binnen de in artikel 12.3 van de AVG vastgestelde termijn en op nuttige wijze (bijvoorbeeld rekening houdend met de gegeven betalingstermijn) moet worden meegedeeld, of, afhankelijk van de context, zonder het verstrijken van die termijn af te wachten. 64. Tot staving van het voorgaande en van de op de eerste verweerder rustende informatieplicht stelt de Geschillenkamer vast dat er sprake is van een schending van artikel 14.2 van de AVG, aangezien het privacybeleid van de eerste verweerder geen betrekking heeft op de gegevensverwerking in de onderhavige zaak (minnelijke invordering van schulden). De clausule "Privacy" in zijn herinneringsbrief, die inhoudelijk onvoldoende is, kan dit niet verhelpen. Deze inbreuk gaat overigens samen met artikel 12.3 van de AVG. De Geschillenkamer is van mening dat hoewel de informatie niet of onvolledig werd verstrekt, deze niet binnen de vereiste termijn is verstrekt. Ten slotte gaan deze inbreuken samen met het niet naleven van artikel 12.1 van de AVG (het niet ter beschikking stellen van de contactgegevens van de DPO in het privacybeleid). 8.1.2. Betreffende de inbreuk op het recht op toegang (artikel 15 van de AVG). 65. Krachtens artikel 15 van de AVG heeft "elke betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de opgesomde informatie in artikel 15.13.
6. a)tot
7. h)van de AVG. 66. In het onderhavige geval doet de inspecteur-generaal in dit verband in zijn verslag de volgende vaststelling : "Het recht van toegang van mevrouw X (lees de klager) tot haar gegevens die door [...] (lees de eerste verweerder) zijn verwerkt, werd in strijd met artikel 15 van de AVG niet geëerbiedigd. Als enige antwoord op haar verzoek om toegang werd mevrouw X (lees de klager) inderdaad tweemaal doorverwezen naar de deurwaarder (lees de tweede verweerder) en werd haar een kopie van de betalingsherinnering die zij had ontvangen, verstrekt. In dit verband lijkt er geen procedure te bestaan voor de klantendienst van [...] (lees de eerste verweerder) die belast is met klachten om verzoeken met betrekking tot de uitoefening van de rechten van de betrokkene door te sturen naar de privacyverantwoordelijke van [...] (lees de eerste verweerder) ". Beslissing ten gronde 81/2020- 18/46 67. De eerste verweerder beschrijft in zijn conclusies dat hij, gezien de aard van zijn activiteiten, geconfronteerd wordt met een aanzienlijk aantal bezwaren en klachten. Hij beschrijft dat in de praktijk (en bevestigt op de hoorzitting van 13 juli 2020) dat zodra wordt vastgesteld dat de dader zijn schuld niet binnen de vereiste termijn heeft betaald, het dossier wordt overgedragen aan de tweede verweerder, die verantwoordelijk is voor de invordering van het verschuldigde bedrag. De eerste verweerder stelt dat elk verzoek dat wordt ingediend nadat het dossier aan de deurwaarder is toegezonden, rechtstreeks met de deurwaarder moet worden behandeld om te voorkomen dat tegenstrijdige informatie aan de klager wordt doorgegeven. Wat hij beschrijft als een met de tweede verweerder georganiseerde procedure is echter, afgezien van het gemeentelijk reglement waarnaar beide verweerders op de hoorzitting verwijzen, niet omkaderd met een nauwkeurige en gedetailleerde schriftelijke procedure tussen hen (punt 46 hierboven). 68. Met betrekking tot het beheer van verzoeken om uitoefening van hun rechten op het gebied van gegevensbescherming door betrokkenen, stelt de eerste verweerder dat hun beheer, dat verschilt van het in punt 67 beschreven klachtenbeheer, vereist dat een e-mail wordt gestuurd naar een emailadres dat speciaal voor dit soort verzoeken is bestemd, namelijk het adres [...]. 69. De eerste verweerder wijst er in dit verband op dat de klager niet via deze specifieke e-mail met hem heeft gecorrespondeerd. De klager werd daarom (punt 67 hierboven) voor antwoord terugverwezen naar de tweede verweerder, zoals in het geval van een klacht die geen verband hield met de toepassing van de rechten van de betrokkenen op het gebied van gegevensbescherming (punt 67 hierboven), "Gelieve contact op te nemen met de deurwaarder" , aangezien zijn verzoek werd gedaan na de mededeling van het dossier aan de tweede verweerder. 70. Zoals de inspecteur-generaal in zijn verslag opmerkt, wijst de Geschillenkamer erop dat hoewel het verzoek van klager vragen betrof over de gegevensbescherming, dit verzoek niet intern werd doorverwezen naar de privacyverantwoordelijke van de eerste verweerder. Dit is in strijd met de "Privacyclausule" van de betalingsherinnering van de eerste verweerder, waarin staat dat schuldenaars, om hun rechten inzake gegevensbescherming uit te oefenen, worden verzocht contact op te nemen met de eerste verweerder (de eerste "natuurlijke" contactpersoon), wat suggereert dat het de eerste verweerder is die hun verzoek zal onderzoeken (punt 57 hierboven). 71. De tweede verweerder heeft namens de eerste verweerder bij brief van 2 april 2019 geantwoord aan de klager, dat wil zeggen, volgens de eerste verweerder, binnen de in artikel 12.3 van de AVG gestelde termijn van één maand. Volgens die brief verstrekt de tweede verweerder hem Beslissing ten gronde 81/2020- 19/46 een aantal gegevens over de door de eerste verweerder uitgevoerde verwerking.8 Hij voegt ook een kopie bij (punt 12) van de herinneringsbrief van 24 januari 2019. 72. In diezelfde brief deelt de tweede verweerder overigens ook de elementen aan de klager mee die verband houden met zijn verzoek om toegang dat rechtstreeks aan hem werd gericht betreffende zijn eigen verwerkingen (zie infra punt 8.2.2.). 73. De Geschillenkamer is van mening dat de vaststelling van interne en gestandaardiseerde procedures voor de uitoefening van de rechten van de betrokkene op het gebied van gegevensbescherming van essentieel belang is en waarschijnlijk zal bijdragen tot de effectieve toepassing van die rechten. Het vergemakkelijkt zeker de uitoefening ervan, zoals vereist in artikel 12.2 van de AVG. In een structuur als die van de eerste verweerder acht de Geschillenkamer dit, gezien de omvang van de verwerkte gegevens, onontbeerlijk. De betrokkenen mogen echter niet worden bekritiseerd omdat zij een ander communicatiekanaal gebruiken om hun verzoeken te behandelen. Er kunnen geen nadelige gevolgen voor de betrokkene voortvloeien uit het feit dat hij zelfs als hij correct was geïnformeerd - geen gebruik zou hebben gemaakt van het juiste formulier of op een andere manier contact zou hebben opgenomen met de verantwoordelijke voor de verwerking, bijvoorbeeld via een onjuist e-mailadres. De Geschillenkamer is overduidelijk van mening dat in dit geval het onderscheid tussen "klacht" en "uitoefening van het recht op toegang tot de gegevens" in het kader van een verzoek om betaling van het parkeergeld voor geen enkele burger gemakkelijk te maken is. 74. De Geschillenkamer merkt daarom op dat de eerste verweerder zich in ieder geval niet kon verschuilen achter de "fout" die hij aanvoert om te oordelen dat hij zou zijn vrijgesteld van zijn verplichting om te reageren op het verzoek van de klager om zijn recht van toegang uit te oefenen. 75. Aangezien in het onderhavige geval elk van verwerkingsverantwoordelijke is (en niet gezamenlijke de verweerders een afzonderlijke verwerkingsverantwoordelijken zoals hierboven in punt 7.3 is uiteengezet), is het hun verantwoordelijkheid om gevolg te geven aan de uitoefening van de rechten van de betrokkenen met betrekking tot de verwerkingen die zij respectievelijk uitvoeren. De Geschillenkamer kan niet uitsluiten dat de verwerkingsverantwoordelijken in de praktijk, zonder dat zij hetzij verwerkers, hetzij medeverantwoordelijken voor de verwerking zijn, 8 uittreksel uit de brief van 2 april van de tweede verweerder: "Onze klant heeft van de stad de opdracht gekregen om onbetaalde parkeergelden te innen. Hij is geregistreerd bij de Commissie voor de bescherming van de persoonlijke levenssfeer en heeft daartoe het bijgevoegde document ontvangen dat hem machtigt om DIVgegevens te ontvangen met als enig doel de onbetaalde parkeervergoeding terug te vorderen. In het kader van zijn mandaat krijgt onze klant naam, voornaam en adres om een herinneringsbrief te sturen. Als het dossier vervolgens niet wordt betaald, wordt het naar de studie gestuurd zoals voorzien in het gemeentelijk reglement. Volgens hem worden deze gegevens bij ontvangst van de betaling gewist[...]. Beslissing ten gronde 81/2020- 20/46 onderling overeenkomen dat een van hen ingaat op het verzoek om de rechten van de betrokkenen uit te oefenen namens de ander die hem daartoe opdracht geeft. Indien dit het geval is, moet de ingevoerde procedure volkomen duidelijk en begrijpelijk zijn voor de betrokkenen, die op de hoogte moeten worden gebracht. Maar deze aanpak zal hoogstwaarschijnlijk leiden tot verwarring over eenieders rol. In het onderhavige geval gaf dit aanleiding voor de klager te denken dat de tweede verweerder de verwerker is van de eerste verweerder. In het onderhavige geval is de eerste gesprekspartner van de schuldenaar van de vergoeding, gelet op de feiten en bij gebrek aan andere duidelijke informatie, uiteraard de eerste verweerder. De Geschillenkamer merkt in dit verband op dat de eerste verweerder aan de Geschillenkamer heeft aangegeven dat hij nu voorstander is van een reorganisatie van de procedures die het klachtenbeheer over de gegevensverwerkingen die hij zelf uitvoert, intern zou houden. 76. Evenmin kan de eerste verweerder stellen dat, aangezien de tweede verweerder op 2 april 2019 aan de klager heeft geantwoord, hij daar zelf van zou zijn vrijgesteld, tenzij de tweede verweerder, in opdracht van de eerste, volledig, transparant en in overeenstemming met artikel 15 van de AVG zou hebben geantwoord met betrekking tot de door de eerste verweerder uitgevoerde verwerking, hetgeen niet het geval is. Hoewel de tweede verweerder een aantal elementen aanvoert, voldoen deze niet geheel aan de eisen van artikel 15.1 van de AVG. 77. De Geschillenkamer stelt nadrukkelijk vast dat de eerste verweerder het uitblijven van een antwoord, a fortiori binnen de in artikel 12.3. van de AVG gestelde termijn, niet betwist. 78. De Geschillenkamer concludeert uit het voorgaande dat de eerste verweerder het verzoek van de klager om toegang niet op bevredigende wijze heeft ingewilligd en dat er sprake is van een inbreuk van zijn kant op artikel 15.1 van de AVG in combinatie, a fortiori, met artikel 12.3 van de AVG. De eerste verweerder is ook zijn verplichting niet nagekomen om de uitoefening van de door artikel 12.3. van de AVG voorgeschreven rechten van de betrokkenen te vergemakkelijken. 8.1.3. Betreffende de inbreuk op het beginsel van de minimale gegevensverwerking (artikel 5.1.
8. c)van de AVG) 8.1.3.1. 79. Ten aanzien van de raadpleging van de DIV De klager verwijt de eerste verweerder dat hij de DIV voortijdig heeft geraadpleegd op 3 januari 2019, d.w.z. vóór het verstrijken van de termijn voor de spontane betaling van het gevorderde bedrag van de vergoeding. Deze raadpleging vond dus plaats in strijd met het beginsel van de minimale gegevensverwerking, volgens hetwelk "persoonsgegevens:
9. c)toereikend zijn, ter zake Beslissing ten gronde 81/2020- 21/46 dienend en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (minimale gegevensverwerking)" (artikel 5.1.
10. c)van de AVG). 80. In het verslag van de inspecteur-generaal wordt in dit verband geconcludeerd dat "persoonsgegevens van [de klager] met betrekking tot (naam, voornaam en adres) onnodig zijn verwerkt in de periode waarin de betrokkene de mogelijkheid heeft om de vergoeding te betalen voordat een herinnering naar zijn naam en adres wordt gestuurd, hetgeen niet in overeenstemming is met het beginsel van minimale gegevensverwerking in artikel 5.c [lees artikel 5.1.c)] van de AVG. Volgens artikel [...] van het invordeingsreglement [...] van de Stad [...] over parkeermeters 2019 is deze termijn 10 dagen". 81. De eerste verweerder betwist niet dat deze raadpleging van de DIV plaatsvond op 3 januari 2019 om 22.03 uur, de dag na de parkeerinbreuk van 2 januari 2019. Hij legt uit dat hij, zodra hij op de hoogte was van wat hij omschrijft als "fout", onmiddellijk verzocht heeft het systeem aan te passen om rekening te houden met de door de verschillende gemeentelijke reglementen opgelegde termijnen en zo een einde te maken aan deze praktijk van onmiddellijke raadpleging van de DIV. De eerste verweerder voegt daaraan toe dat hij, toen hij dit verzoek tot zijn IT-dienstverlener richtte, deze laatste hem reeds op 26 augustus 2019 meedeelde dat het systeem was gecorrigeerd. 82. De Geschillenkamer herinnert eraan dat de toegang tot de DIV strikt beperkt is gezien de gevoeligheid van deze gegevensbank en dat alleen gemachtigde instanties bevoegd zijn om er toegang toe te krijgen. Het was de taak van de eerste verweerder om deze toegang van meet af aan bij het ontwerp te organiseren met inachtneming van de gegevensbeschermingsbeginselen (artikel 25 van de AVG), teneinde het beginsel van de minimale gegevensverwerking op doeltreffende wijze ten uitvoer te leggen. 83. De Geschillenkamer kan niet anders dan, op basis van de stukken in het dossier en de vaststelling van de inspecteur-generaal vaststellen dat de eerste verweerder het in artikel 5.1.
11. c)van de AVG bedoelde beginsel van de minimale gegevensverwerking heeft geschonden. 8.1.3.2. 84. Ten aanzien van de mededeling van de gegevens van de klager aan de tweede verweerder Wat de overdracht van de gegevens van de klager door de eerste verweerder aan de tweede verweerder betreft, dringt de Geschillenkamer erop aan dat een dergelijke overdracht alleen plaatsvindt wanneer dit noodzakelijk is, omdat dit anders in strijd zou zijn met het beginsel van de minimale gegevensverwerking. De betrokkene moet dus de tijd krijgen om de retributie te betalen alvorens de zaak aan de gerechtsdeurwaarder voor te leggen. De tweede verweerder is alleen gerechtigd om tussenbeide te komen, en dus om de gegevens van debiteuren zoals de klager te Beslissing ten gronde 81/2020- 22/46 ontvangen, als hij niet betaalt binnen de termijn als vastgesteld in het toepasselijk gemeentelijk reglement. 8.1.3.3. 85. Ten aanzien van het maken van foto's en het bewaren ervan met het oog op de vaststelling van de overtreding Volgens zijn conclusies beweert klager ook dat de eerste verweerder een aantal persoonsgegevens over hem heeft verwerkt (inclusief het opslaan) in strijd met het beginsel van de minimale gegevensverwerking en dit met het oog op de vaststelling van de niet-betaling van de verschuldigde vergoeding. Zo is de klager van mening dat de foto's van zijn voertuig (met inbegrip van zijn visitekaartje op de passagiersruimte, de naam van zijn garage) geen informatie bevatten die de overtreding die hem wordt verweten, kan verduidelijken en dus irrelevant zijn. Hetzelfde geldt voor de foto van de nummerplaat, waarvan hij betwijfelt dat deze verwerking (inclusief de opslag ervan) noodzakelijk is. 86. De eerste verweerder stelt dat zijn personeelsleden dergelijke gegevens verzamelen in het kader van de vaststelling van de inbreuk. Overeenkomstig artikel 870 van het Gerechtelijk Wetboek en in het licht van de jurisprudentie van de hoven en rechtbanken moet hij erop toezien dat de door hem aangevoerde overtreding kan worden bewezen voor de ter zake bevoegde rechtbanken. En hij voegt tot slot nog toe: "dat door het nemen van foto's om er zeker van te zijn dat er geen parkeerticket of parkeerschijf op de voorruit van het voertuig aanwezig is, de auto geparkeerd staat op een betalende plaats en/of in de blauwe zone op een datum waarop de betrokkene moet betalen voor het parkeren, concludeert de verweerder dat dit niet in strijd is met het beginsel van de minimale gegevensverwerking" (blz. 14 van de conclusies van de eerste verweerder). 87. De Geschillenkamer herinnert eraan dat de verwerkingsverantwoordelijke, om het noodzakelijke bewijs van een overtreding van een parkeerregel te leveren, gedurende de gehele duur van de verwerking (verzameling, mededeling, bewaring, enz.) van persoonsgegevens. aan alle verplichtingen moet voldoen die krachtens de AVG op hem rusten. Het behoort niet tot de primaire bevoegdheid van de Geschillenkamer om te bepalen wat voldoende en passend bewijs zou zijn en wat de basis voor de verwerking van persoonsgegevens zou zijn. Aangezien het echter gaat om persoonsgegevens - met inbegrip van afbeeldingen zoals in het onderhavige geval - die worden verwerkt om de aangeklaagde feiten vast te stellen, moeten deze gegevens relevant zijn voor het nagestreefde doeleinde. Zonder vast te stellen dat de eerste verweerder het beginsel van de minimale gegevensverwerking heeft geschonden, verzoekt de Geschillenkamer deze laatste om in de toekomst daar aandacht aan te besteden en zijn personeel dat op het terrein de vaststelling doet, er bewust van te maken onderscheidend te handelen. De Geschillenkamer herinnert ook aan het beginsel dat Beslissing ten gronde 81/2020- 23/46 persoonsgegevens niet langer mogen worden bewaard dan nodig is voor de doeleinden waarvoor zij worden verwerkt (artikel 5.1.
12. a)van de AVG). 8.1.4. Ten aanzien van de inbreuken op de artikelen 5.2 en 24 van de AVG 88. Artikel 24, lid 1, van de AVG, dat hoofdstuk IV van de AVG beheert en handelt over de verplichtingen van de verwerkingsverantwoordelijken (en de verwerkers) en dat het in artikel 5.2 bepaalt “Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd. » 89. In artikel 24.2 van de AVG is bepaald dat de in artikel 2.1 van de AVG genoemde maatregelen, voor zover deze in verhouding staan tot de verwerkingsactiviteiten, de uitvoering van een passend gegevensbeschermingsbeleid door de verwerkingsverantwoordelijke omvatten. 90. De Geschillenkamer is van mening dat gezien het vastgestelde hierboven onder de titels 8.1.1, 8.1.2 en 8.1.3. dat de eerste verweerder destijds in strijd met de feiten heeft gehandeld door niet de door artikel 24.1 en 2 van de AVG vereiste passende technische en organisatorische maatregelen te treffen om niet alleen de daadwerkelijke uitoefening van de rechten van de betrokkenen, zoals de klager - met name zijn recht op informatie en recht op toegang - te waarborgen, maar ook het beginsel van minimalisering bij de raadpleging van de DIV niet in acht te nemen. 91. Wat meer in het bijzonder de rechten van de betrokkenen betreft, benadrukt de Geschillenkamer dat het gemeentereglement, dat zeker de opeenvolging van de interventies van de eerste en de tweede verweerder in het kader van de minnelijke invordering van het parkeergeld beschrijft, op zich geen passende maatregel is als bedoeld in artikel 24 van de AVG. Het laat de eerste verweerder niet toe om er zeker van te zijn dat de verwerking overeenkomstig de AVG is gebeurd noch om dit te bewijzen. De Geschillenkamer neemt niettemin nota van de verbintenissen die de eerste verweerder is aangegaan om zijn verplichtingen in dit verband na te komen (zie punt 9.1. hieronder). 8.1.5. Conclusie betreffende de inbreuken van de eerste verweerder 92. Concluderend, stelt de Geschillenkamer de volgende inbreuken vast begaan door de eerste verweerder: - het niet nakomen van zijn informatieplicht (artikel 14.1-2, gecombineerd met artikel 12.3 en 12.1 van de AVG) Beslissing ten gronde 81/2020- 24/46 - het niet nakomen van zijn verplichting om gevolg te geven aan de uitoefening van het recht op toegang van de klager binnen de wettelijke termijn waarover hij beschikt (artikel 15.1 gecombineerd met artikel 12.3 van de AVG en artikel 12.2 van de AVG (de verplichting de uitoefening van rechten gemakkelijk te make)). - het niet nakomen van het beginsels van minimale gegevensverwerking bij de voorbarige raadpleging van de DIV (artikel 5.1.
13. c)van de AVG). - het niet nakomen van zijn verplichting om passende technische en organisatorische maatregelen te nemen zoals de artikelen 5.2 en 24.1 en 2 voorschrijven. 8.2. Betreffende inbreuken begaan door de tweede verweerder 8.2.1. Betreffende de inbreuk op de informatieplicht (artikelen 12 en 14 van de AVG) 93. De klager verwijt de tweede verweerder dat hij hem niet overeenkomstig de vereisten van artikel 14 van de AVG heeft ingelicht toen hij voor het eerst contact met hem opnam, namelijk door middel van de aanmaningsbrief die hem op 25 februari 2019 is toegezonden (punt 7 hierboven). 94. De tweede verweerder is van zijn kant van mening dat de uitzondering van artikel 14.5.
14. c)van de AVG op hem van toepassing is. Hij beroept zich hiervoor op artikel [...] van het gemeentelijk reglement van [...] zoals hierna weergegeven9: [……] 95. De Geschillenkamer merkt op dat volgens artikel 14.5.
15. c)van de AVG, de verwerkingsverantwoordelijke wordt vrijgesteld van zijn informatieplicht voor zover "het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is, en voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen"10. 96. De Geschillenkamer wijst op een taalverschil tussen de Franse versie en bijvoorbeeld de Nederlandse en Engelse versie van deze bepaling. Immers, daar waar de Franse versie van artikel 14.5.
16. c)vermeldt « lorsque et dans la mesure où l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou de l’Etat membre », houden de Nederlandse en Engelse versie van de tekst de volgende bewoordingen aan: « wanneer en voor zover het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unierecht of lidstatelijk recht » en 9 In haar aanmaningsbrief van 25 februari 2019 verwijst de tweede verweerder enkel naar een gemeentelijk reglement (foutief - zie punt 7.2. hierboven) in de volgende bewoordingen "de eventuele minnelijke incassokosten die aan de gebruiker worden aangerekend, overeenkomstig het artike l[...] van het gemeentelijk reglement [...] van de gemeente [...] betreffende de parkeervergoeding". 10 Het is de Geschillenkamer die onderlijnt. Beslissing ten gronde 81/2020- 25/46 « where and insofar obtaining or disclosure is expressly laid down byUnion or Member State law ». De Geschillenkamer is van mening dat het inderdaad de verkrijging en mededeling van gegevens is die in het nationale recht moet worden geregeld, niettegenstaande de bepalingen van de Franse versie van artikel 14.5.
17. c)van de AVG. 97. De Geschillenkamer is van mening dat de tweede verweerder zich in het onderhavige geval niet kan beroepen op de vrijstelling van informatieplicht als bedoeld in artikel 14.5.
18. c)van de AVG, en wel om de hieronder beschreven redenen. 98. Wat artikel 15.5.
19. c)van de AVG voorziet is in een uitzondering op het recht op informatie. Indien de betrokkene niet op de hoogte wordt gesteld van het feit dat er gegevens over hem worden verwerkt, wordt hem informatie onthouden die in beginsel spontaan door de verwerkingsverantwoordelijke wordt verstrekt en die de uitoefening van zijn andere rechten, waarvan hij ook op de hoogte wordt gesteld, vergemakkelijkt (artikel13.2.b),
20. c)en
21. d)en 14.2.c),
22. d)en
23. e)van de AVG). 99. Deze vrijstelling moet restrictief worden geïnterpreteerd, aangezien zij een uitzondering vormt op de verplichting om informatie te verstrekken waarin het grondrecht op gegevensbescherming 11 voorziet, temeer daar zij, zoals reeds vermeld, de betrokkene informatie ontneemt over het bestaan en de wijze van uitoefening van zijn andere rechten, die NIET onder dezelfde uitzondering vallen "indien zij zijn verkregen of medegedeeld op grond van een uitdrukkelijk in de wet vastgestelde wijze". Het recht van toegang (artikel 15 van de AVG) - dat op zijn beurt de weg vrijmaakt voor de uitoefening van andere rechten, zoals met name het recht op rectificatie, bezwaar of schrapping - valt bijvoorbeeld niet onder deze uitzondering (artikel 15.4. van de AVG). 100. De Geschillenkamer stelt vast dat, zoals reeds opgemerkt, het gemeentelijk reglement waarop de tweede verweerder zich beroept, in het onderhavige geval de opeenvolging beschrijft van de interventies van de eerste en de tweede verweerder in het beheer van de inning van de parkeergelden (alsook de verschuldigde verhogingen in geval van wanbetaling en/of laattijdige betaling). Met andere woorden, het gemeentelijke reglement waarop de tweede verweerder zijn vrijstelling van informatieplicht baseert, verstrekt geen informatie over de gegevensverwerking die ter uitvoering van dat reglement wordt verricht. Hoogstens kan worden afgeleid dat in het kader van een parkeerovertreding informatie zal worden uitgewisseld tussen de eerste en de tweede verweerder met het oog op de invordering van de verschuldigde vergoeding. Het is zeker denkbaar dat deze 11De Geschillenkamer herinnert aan de vaste jurisprudentie van het Hof van Justitie van de Europese Unie, die de uitzonderingen op het fundamentele recht op gegevensbescherming restrictief interpreteert: zie bijvoorbeeld: C. Docksey and H. Hijmans, The Court of Justice as a Key Player in Privacy and Data Protection, EDPL Review

(2019), blz. 300-316, en de aangehaalde jurisprudentie (met name, blz.. 309). Beslissing ten gronde 81/2020- 26/46 interventies leiden tot het verkrijgen en meedelen van persoonlijke gegevens. Deze zijn echter niet uitdrukkelijk voorzien en kunnen hoogstens impliciet worden afgeleid. 101. Bovendien kan op deze uitzondering alleen een beroep worden gedaan indien het genoemde reglement voorziet in passende waarborgen ter bescherming van de gerechtvaardigde belangen van de betrokkenen. De Geschillenkamer is van mening dat in dit geval deze waarborgen moeten bestaan uit een minimum aan informatie over de gegevensverwerkingen die moeten vermeld worden in een regelgeving op grond waarvan de informatie wordt meegedeeld. 102. De Geschillenkamer is van mening dat op zijn minst de volgende informatie - geïnspireerd op artikel 23.2. van de AVG - had moeten worden opgenomen: doeleinde van de verwerking, categorieën verwerkte persoonsgegevens, identiteit van de verwerkingsverantwoordelijke, bewaartermijn en een verwijzing naar de rechten van de betrokkenen. 103. Deze waarborgen moeten zeker in de nationale wetgeving worden opgenomen. Het ontbreken van passende garanties is zeker niet te wijten aan de tweede verweerder. In het kader van de AVG is het echter de verantwoordelijkheid van de verwerkingsverantwoordelijke om na te gaan of hij zich terecht kan beroepen op de uitzondering in artikel 14.5.

1. c)van de AVG. De Geschillenkamer erkent dat dit onderzoek, in functie van de zaak in kwestie en met name van de hoedanigheid van de verwerkingsverantwoordelijke niet altijd gemakkelijk is, met name wat betreft het bestaan van passende garanties. In het onderhavige geval gaat het gemeentelijk reglement waarop de tweede verweerder zich beroept ter ondersteuning van zijn vrijstelling echter op geen enkele wijze in op aspecten van gegevensbescherming, waardoor er weinig ruimte is voor twijfel over de vraag of het een vrijstelling van informatie zou kunnen legitimeren. Het rechtskader van het beroep van gerechtsdeurwaarder en de eerbiediging van de ethische regels zijn op zich niet voldoende om passende garanties te bieden op het gebied van gegevensbescherming in de zin van artikel 14.5.
2. c)van de AVG. 104. Concluderend stelt de Geschillenkamer vast dat de tweede verweerder, die zich ten onrechte beroept op de vrijstelling van artikel 14.5.
3. c)van de AVG (aangezien het gemeentelijke reglement niet uitdrukkelijk voorziet in het verkrijgen en meedelen van gegevens en er geen passende garanties zijn voor andere aspecten), zijn informatieplicht in strijd met artikel 14.1 tot en met 2, juncto artikel 12.3 van de AVG niet is nagekomen. 105. Volgens zijn conclusies verklaart de tweede verweerder aan de Geschillenkamer dat " indien de uitzondering niet van toepassing zou zijn, heeft hij er nota van genomen dat de verwijzing naar zijn website in zijn aanmaningsbrieven het, althans op het eerste gezicht, niet mogelijk maakt om aan de betrokkenen aan te geven dat zij rechtstreeks informatie kunnen verkrijgen op de website van de Beslissing ten gronde 81/2020- 27/46 tweede verweerder" (blz. 9 van de hoofdconclusies van de tweede verweerder). Hij stelt voor om aan de verwijzing op zijn template een specifieke privacyverklaring toe te voegen die verwijst naar zijn informatiedocument dat op zijn website beschikbaar is. De Geschillenkamer is inderdaad van mening dat de loutere vermelding van een website op een brief - een site waarop een privacyverklaring kan worden geraadpleegd - geen informatie is die voldoet aan de vereisten van de AVG. 106. De Geschillenkamer is inderdaad van mening dat de loutere vermelding van een website op een brief - een site waarop een privacyverklaring kan worden geraadpleegd - geen informatie is die voldoet aan de vereisten van de AVG. Er moet ten minste een "gegevensbeschermingsclausule" worden opgenomen die de essentiële elementen van de betrokken verwerkingen bevat en een expliciete verwijzing naar het privacybeleid (het eventuele relevante deel) dat voor het overige op de website beschikbaar is. De Geschillenkamer verwijst in dit verband wat zij hierboven heeft aangegeven met betrekking tot de Privacyclausule van de eerste verweerder (punt 57 e.v.). 107. De Geschillenkamer wil evenwel nog het volgende opmerken. In het kader van zijn argumentatie concludeert de tweede verweerder dat de AVG de verwerkingsverantwoordelijke niet verplicht de referenties van het wetgevingsbesluit ter ondersteuning waarvan hij meent te zijn vrijgesteld van zijn informatieplicht, aan de betrokkenen mee te delen. Bij gebrek aan informatie hierover is het echter illusoir te denken dat de betrokkenen het desbetreffende wetgevingsbesluit zullen zoeken (en vinden) dat de vereiste garanties bevat en hen in staat stelt zichzelf te informeren. De Geschillenkamer is van mening dat het een goede praktijk zou zijn, wanneer deze vrijstelling van informatie kan worden ingeroepen (quod non in het onderhavige geval), om deze verwijzing mee te delen. 8.2.2. Betreffende de inbreuk op het recht op toegang (artikel 15 van de AVG). 108. Zoals de Geschillenkamer hierboven in herinnering heeft gebracht met betrekking tot de verplichtingen van de eerste verweerder, heeft de betrokkene het recht om van de verantwoordelijke voor de verwerking bevestiging te krijgen dat de hem betreffende persoonsgegevens al dan niet worden verwerkt en, indien deze worden verwerkt, toegang te krijgen tot deze persoonsgegevens alsmede tot de in artikel 15.1.
4. a)tot en met h), van de AVG genoemde informatie. 109. De klager meldt een gedeeltelijk antwoord op zijn verzoek om toegang tot de tweede verweerder. Hij is van mening dat hij niet volledig is geïnformeerd over de bron van de gegevens. 110. De tweede verweerder wijst erop dat hij op bladzijde 3 van zijn brief van 2 april 2019 in antwoord daarop verklaarde dat hij een mandaat had gekregen van de eerste verweerder, die hem de gegevens van klager en het dossier had verstrekt. Beslissing ten gronde 81/2020- 28/46 111. Op basis van de overgelegde documenten kan de Geschillenkamer niet concluderen dat de tweede verweerder artikel 15 van de AVG heeft geschonden. 8.2.3. Wat betreft de schending van het proportionaliteitsbeginsel en het onrechtmatige hergebruik van de gegevens (artikelen 5 en 6 van de AVG) die hem door de eerste verweerder zijn meegedeeld, ook al is deze niet rechtsgeldig gebaseerd op deze beginselen. 112. De Geschillenkamer wijst erop dat de klager van mening is dat de tweede verweerder een illegale gegevensverwerking verricht wanneer hij gegevens over zijn voertuig verzamelt en registreert (foto's van de voorruit en een algemene foto van het voertuig die door de eerste verweerder aan hem is doorgegeven). De Geschillenkamer verwijst in dit verband naar de overwegingen die zij in punt 8.1.3.3. hierboven heeft uiteengezet met betrekking tot deze klacht, die ook tegen de eerste verweerder wordt aangevoerd. 113. De Geschillenkamer stelt in dit verband geen schending door de tweede verweerder vast. 8.2.4. Wat betreft het betalingsformulier en het verkrijgen van een gedwongen instemming (artikel 6.1.
5. a)van de AVG - artikel 5.1.
6. c)van de AVG) 114. Op 25 februari 2019 ontving de klager van de tweede verweerder een aanmaning tot betaling van de vergoeding van […]euro ([…] +5) verhoogd met de kosten van de aanmaning en een recht van invordering, waardoor het gevorderde bedrag op […] euro komt (punt 7 hierboven). 115. Bij dit bericht is een formulier gevoegd, getiteld "Formulier dat aan ons moet worden teruggestuurd", dat in grotere letters is afgedrukt, omkaderd en onmiddellijk gevolgd door de volgende verklaring, in vet onderstreept : "Alleen dit naar behoren ingevulde formulier en de bijbehorende bijlagen zullen in aanmerking worden genomen voor de behandeling van uw betalingsverzoek of uw geschil". 116. adres, In dit formulier worden de volgende gegevens opgevraagd: naam, voornaam, geboortedatum, postcode en plaats, telefoonnummer, gsm-nummer, e-mailadres. Voorts worden drie keuzemogelijkheden op het gebied van betalingsvoorstellen genoemd waarbij de schuldenaar -

(1)er zich toe verbindt het volledige bedrag te betalen op een nader te bepalen datum, of -

(2)verzoekt om een betalingsplan -

(3)aangeeft het bedrag niet te kunnen betalen. 117. Bij wijze van inleidende opmerking merkt de Geschillenkamer op dat de klager het gebruik van dit formulier door de tweede verweerder aan de kaak stelt zonder dat vaststaat dat hij het zelf Beslissing ten gronde 81/2020- 29/46 heeft ingevuld. Er was dus strikt genomen geen sprake van "verwerking van persoonsgegevens" van de klager via dit formulier. De weigering om een formulier in te vullen dat in strijd is met de wet (zoals hieronder zal worden aangetoond), kan echter niet leiden tot een situatie waarin de Geschillenkamer de taken en bevoegdheden die haar bij de artikelen 57 en 58 van de AVG en de WOG zijn toegekend, niet kan uitoefenen met betrekking tot een praktijk die de verwerking van gegevens die onder de AVG vallen, met zich meebrengt. De Geschillenkamer is dus, ongeacht of er sprake is van een inbreuk ten aanzien van de klager, gerechtigd deze klacht te onderzoeken, waarbij de tweede verweerder ook de gelegenheid heeft gehad zich te verdedigen. 118. De klager is van mening dat, gezien de formulering van het formulier, het formaat en de inhoud ervan en het feit dat het een bijlage bij een betalingsaanmaning is, niet kan worden gesteld dat de toestemming van de betrokkene om de op het formulier vermelde gegevens te verstrekken, vrijwillig zou zijn. De klager is ook van mening dat het verzamelen van gegevens via dit formulier in strijd 119. is met het beginsel van de minimale gegevensverwerking. De tweede verweerder stelt a contrario dat die vorm de betrokkenen in staat stelt om hun bezwaar of hun wens om te genieten van een vereffeningsplan te laten horen. De tweede verweerder voegt hieraan toe dat het doel van het formulier duidelijk wordt vermeld in de aanmaning waarvan het een bijlage vormt en dat uit deze formulering geen enkele verplichting voor de betrokkene kan worden afgeleid. Daarom kan hij zich met recht beroepen op artikel 6.1.

1. a)van de AVG om dergelijke gegevens te verzamelen en de daaropvolgende verwerkingen uit te voeren. In de aanmaning wordt vermeld dat de raadpleging van het dossier en de verzoeken om kwijting en/of betaling online kunnen worden gedaan via de site of per e-mail en dat aanvullende informatie kan worden verkregen via het formulier. 120. Wat het beginsel van minimale gegevensverwerking betreft, stelt de tweede verweerder dat het formulier het mogelijk maakt om, door de betrokkenen verschillende mogelijkheden te bieden (postadres, telefoonnummer, mobiel telefoonnummer, e-mailadres), het communicatiemiddel en de contactgegevens te kiezen die voor dat doel nodig zijn, zonder dat er een verplichting bestaat om het formulier in te vullen (punt 119 hierboven), noch - indien de schuldenaar er gebruik van wenst te maken - een verplichting om gegevens te verstrekken voor elk van de rubrieken van het formulier. 121. De Geschillenkamer herinnert eraan dat in artikel 4.11 van de AVG de toestemming van de betrokkene wordt gedefinieerd als “elke vrije 12 ,specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve 12 Het is de Geschillenkamer die onderlijnt. Beslissing ten gronde 81/2020- 30/46 handeling hem betreffende verwerking van persoonsgegevens aanvaardt». De toestemming op basis waarvan de gegevensverwerking overeenkomstig artikel 6.1.
2. a)van de AVG wordt uitgevoerd, moet aan alle eisen van deze definitie voldoen. 122. Het bijvoeglijk naamwoord "vrij" impliceert een echte keuze en controle voor de betrokkenen. Toestemming kan alleen geldig zijn als de betrokkene werkelijk in staat is een keuze te maken en als er geen risico is op misleiding, intimidatie, dwang of aanzienlijke negatieve gevolgen (bijvoorbeeld aanzienlijke extra kosten) als hij geen toestemming geeft. De toestemming is niet vrij wanneer er sprake is van enige vorm van dwang, druk of onvermogen om een echte keuze te maken. Bijgevolg wordt toestemming niet geacht vrij gegeven te zijn indien de betrokkene zijn of haar toestemming niet zonder nadelige gevolgen kan weigeren of intrekken. De verwerkingsverantwoordelijke moet ook aantonen dat het mogelijk is de toestemming te weigeren of in te trekken zonder schade te lijden (overweging 42 van de AVG).13 123. Bij het bepalen of er vrijelijk toestemming wordt gegeven, moet dus rekening worden gehouden met een eventueel machtsonevenwicht tussen de betrokkene en de verwerkingsverantwoordelijke. Overweging 43 van de AVG maakt duidelijk dat het onwaarschijnlijk is dat overheidsinstanties kunnen vertrouwen op toestemming voor de verwerking van persoonsgegevens, aangezien er, wanneer de verwerkingsverantwoordelijke een overheidsinstantie is, vaak sprake is van een duidelijk machtsonevenwicht tussen de verwerkingsverantwoordelijke en de betrokkene. 124. Het machtsonevenwicht is echter niet beperkt tot de overheid (en de werkgevers, bij wie ze ook het vaakst worden aangetroffen). Dergelijke onevenwicht kan ook bestaan in andere situaties waarin, zoals hierboven vermeld (punt 122), sprake is van bedrog, intimidatie, dwang of aanzienlijke nadelige gevolgen indien de betrokkene weigert zijn toestemming te geven. 125. In het onderhavige geval merkt de Geschillenkamer op dat het bij de aanmaning gevoegde formulier de titel draagt "Formulier dat aan ons moet worden teruggestuurd" en vermeldt dat alleen het naar behoren ingevulde formulier en de bijbehorende bijlagen in aanmerking zullen worden genomen voor de behandeling van verzoeken om betaling of geschillen. 126. De Geschillenkamer is van mening dat het gebruik van termen als "alleen hetnaar "behoren ingevuld formulier", in combinatie met de titel van het formulier en het feit dat het afkomstig is van 13 Europees Comité gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, (punten 121-123) https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf Beslissing ten gronde 81/2020- 31/46 een deurwaarderskantoor en gehecht is aan een aanmaning waarin staat dat bij het niet betalen binnen de termijn een verhoging van het bedrag zal worden toegepast, redelijkerwijs kan suggereren dat er geen alternatief is voor de schuldenaar om de verlangde informatie te verstrekken. Het feit dat de aanvrager onder de voorstellen voor betaling wordt gevraagd om de datum aan te geven waarop hij de betaling zal verrichten, kan erop wijzen dat het formulier in ieder geval moet worden ingevuld (en niet alleen in geval van een verzoek om uitstel van betaling of een geschil). De reeds geciteerde verklaring in de aanmaningsbrief "Indien u aanvullende informatie wenst te verkrijgen, gelieve het bijgevoegde formulier te gebruiken" maakt het bovenstaande niet ongeldig. 127. Ter ondersteuning van het bovenstaande merkt de Geschillenkamer op dat de toestemming zoals gevraagd door de tweede verweerder niet als vrij kan worden gekwalificeerd en in strijd is met artikel 4.11 van de AVG. Bijgevolg kan de tweede verweerder zich onder deze omdatndigheden niet op de rechtmatigheid ervan beroepen (artikel 6.1.
3. a)van de AVG). De Geschillenkamer merkt ook op dat het "Privacybeleid" van de tweede verweerder de toestemming niet vermeldt als een van de gebruikte rechtsgrondslagen (artikel 6 van de AVG). 128. Concluderend stelt de Geschillenkamer op dit punt een inbreuk op artikel 6 van de AVG vast. De Geschillenkamer doet geen uitspraak over het bestaan van enige andere rechtsgrondslag die de verwerking van alle of een deel van de in het formulier beoogde gegevens door de tweede verweerder zou kunnen legitimeren. Het is inderdaad aan de verwerkingsverantwoordelijke die de persoonsgegevens verwerkt (in dit geval de tweede verweerder) om vóór het begin van de betrokken verwerkingsactiviteit te onderzoeken welke van de zes in artikel 6 van de AVG opgesomde rechtsgrondslagen voor de beoogde verwerking de juiste rechtsgrondslag zouden zijn. De Geschillenkamer benadrukt in dit verband dat als een verwerkingsverantwoordelijke ervoor kiest om zicht te baseren op toestemming, hij bereid moet zijn om deze keuze te respecteren. Met andere woorden, de verwerkingsverantwoordelijke kan niet van de toestemming naar een andere rechtsgrond overstappen. Het is bijvoorbeeld niet toegestaan om met terugwerkende kracht de rechtsgrondslag van het rechtmatige belang (artikel 6.1.
4. f)van de AVG) te gebruiken om de verwerking te rechtvaardigen wanneer problemen worden ondervonden of aan de orde worden gesteld met betrekking tot de geldigheid van de toestemming 14. Zonder het bestaan van enige andere toelaatbare rechtsgrondslag te bevestigen of te ontkennen, kan de Geschillenkamer in het onderhavige geval dan ook slechts concluderen dat er geen geldige rechtsgrondslag bestaat - het gebruikmaken van de toestemming kan niet worden aanvaard zoals hierboven is aangetoond - en dat de tweede verweerder dus niet heeft voldaan aan artikel 6 van de AVG. 14 Europees Comité gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, (punten 121-123): WP679 https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf Beslissing ten gronde 81/2020- 32/46 129. De Geschillenkamer herhaalt overigens dat artikel 7.2 van de AVG bepaalt dat Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig wordt gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. 130. Evenzo herinnert de Geschillenkamer eraan dat om geldig te zijn, de toestemming ook op informatie moet berusten. Om als geïnformeerd te worden beschouwd, moet de verwerkingsverantwoordelijke bepaalde informatie in een begrijpelijke en gemakkelijk toegankelijke vorm aan de betrokkene verstrekken. Overweging 42 van de AVG vereist dat de betrokkene zich ten minste bewust is van de identiteit van de verwerkingsverantwoordelijke en van de doeleinden van de verwerking waarvoor de persoonsgegevens zijn bestemd. 131. De Geschillenkamer is van mening dat ook andere elementen van cruciaal belang zijn om ervoor te zorgen dat de betrokken persoon een geïnformeerde beslissing kan nemen en dat zijn of haar toestemming geldig is. De verwerkingsverantwoordelijke moet informatie verstrekken over het soort gegevens waarop de voorgenomen verwerking betrekking heeft, over het bestaan van een recht om de toestemming in te trekken (artikel 7.3 van de AVG) over het mogelijke gebruik van de gegevens voor geautomatiseerde besluitvorming (artikel 2.2.
5. c)van de AVG) en, in voorkomend geval, over de risico's in verband met de doorgifte van de gegevens naar een land dat geen passende bescherming biedt en bij ontstentenis van passende waarborgen (artikel 49.1.
6. a)van de AVG) 15. 132. De Geschillenkamer is van mening dat, ongeacht de rechtmatige grondslag waarop de tweede verweerder zich in de toekomst wil beroepen, de aanmaningsbrief informatie moet bevatten in de vorm van een specifieke clausule waarin zowel de voor geïnformeerde toestemming vereiste elementen, in voorkomend geval, als beknopte informatie die rechtstreeks van belang is voor de betrokken verwerkingshandeling(en), worden vermeld (punt 106 hierboven). 133. Met betrekking tot de naleving van het beginsel van de minimale gegevensverwerking (artikel 5, lid 1, onder c), van de AVG) merkt de Geschillenkamer ook op dat met betrekking tot de verschillende gegevens die onder "Uw contactgegevens" worden gevraagd, wordt nergens met een sterretje of andere aanduiding aangegeven dat de betrokkene vrij is om een van de communicatiemiddelen te kiezen (telefoonnummer, mobiel telefoonnummer, e-mailadres) en dat sommige gegevens dus facultatief zijn. Op zich lijken deze gegevens relevant en niet overdreven, 15 Europees Comité gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, (punten 3.3 blz. 17 en volgende van de Franse versie)https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf Beslissing ten gronde 81/2020- 33/46 maar ook hier suggereren de presentatie en de gebruikte bewoordingen dat er geen alternatief is voor de verzameling van alle informatie onder elke rubriek in de tabel. 134. De Geschillenkamer concludeert derhalve dat de tweede verweerder artikel 5.1.
7. c)van de AVG niet heeft nageleefd. 8.2.5. Eerbiediging van de artikelen 5.2 en 24 van de AVG 135. Ter ondersteuning van de bovengenoemde inbreuken (8.2.1. en 8.2.4.) is de Geschillenkamer van mening dat de tweede verweerder heeft nagelaten de passende technische en organisatorische maatregelen ten uitvoer te leggen om ervoor te zorgen en te kunnen aantonen dat de gegevensverwerkingsactiviteiten die hij verricht, met name gelet op de aard, de context en het doel ervan, in overeenstemming met de AVG worden uitgevoerd. 136. De Geschillenkamer concludeert bijgevolg dat de tweede verweerder de artikelen 5.2 en 24 1-2 van de AVG niet heeft nageleefd. 8.2.6. Conclusie betreffende de inbreuken van de tweede verweerder 137. Conluderend werden de volgende inbreuken vastgesteld die door de tweede verweerder zijn begaan: - het niet nakomen van zijn informatieplicht (artikel 14.1-2, gecombineerd met artikel 12.3 van de AVG) - het ontbreken van een rechtsgrondslag voor het verzamelen van gegevens middels het formulier dat bij de aanmaning tot betaling is gevoegd (artikel 6 van de AVG) en het niet in acht nemen van het beginsel van de minimale gegevensverwerking (artikel 5.1.c), van de AVG), gezien het buitensporige karakter van de gevraagde gegevens. - het niet naleven van de artikelen 5.2 en 24.1-2 van de AVG. 9. Over de corrigerende maatregelen en straffen 138. Krachtens artikel 100 WOG, heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; Beslissing ten gronde 81/2020- 34/46 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 139. Wat betreft de administratieve geldboete die kan worden opgelegd overeenkomstig de artikelen 100, 13° en 101 van de WOG, voorziet artikel 83 van de AVG in : «1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.. 2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a ) tot en met
8. h)en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:
9. a)de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
10. b)de opzettelijke of nalatige aard van de inbreuk;
11. c)de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
12. d)de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;
13. e)| eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
14. f)de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken; Beslissing ten gronde 81/2020- 35/46
15. g)| de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
16. h)de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
17. i)de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
18. j)het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
19. k)elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien. 140. Het is belangrijk om de inbreuken waarvoor elk van de verweerders verantwoordelijk zijn in de juiste context te plaatsen om de meest geschikte corrigerende maatregelen en sancties vast te stellen. 141. In dit verband zal de Geschillenkamer rekening houden met alle omstandigheden van de zaak, met inbegrip van de door de verweerder meegedeelde reactie op het voorgestelde bedrag van de geldboete (zie punt I - historiek van de procedure)16. In dit verband wijst de Geschillenkamer erop dat het genoemde formulier uitdrukkelijk vermeldt dat het geen heropening van de procedure inhoudt. Het enige doel ervan is het verkrijgen van de reactie van de verweerders op het bedrag van de voorgestelde boete. In het licht van de nieuwe documenten die zijn opgesteld ter staving van de wijzigingen die zich sinds de hoorzitting hebben voorgedaan of gepland zijn, zal de Geschillenkamer rekening houden met deze verbintenissen - die elk van de partijen reeds in haar opmerkingen zijn aangegaan - om zich in overeenstemming te brengen (punten 160 en 179 hieronder), zonder evenwel de inhoud ervan in dit stadium te analyseren. 142. De Geschillenkamer wil er ook op wijzen dat zij, met uitzondering van de hierboven genoemde aanpak (punt 141), als onafhankelijke administratieve instantie - met inachtneming van de desbetreffende artikelen van de AVG en de WOG - soeverein bevoegd is om de passende corrigerende maatregel(
20. en)en sanctie(
21. s)vast te stellen. 143. Het is dus niet aan de klager om de Geschillenkamer te verzoeken een bepaalde corrigerende maatregel of sanctie te gelasten. Indien de klager desalniettemin verzoekt dat de Geschillenkamer 16 Zie hiervoor met name: Hof van Beroep Brussel (19de kamer A - Marktenhof), arrest van 19 februari 2020, 2019/AR/1600 en Hof van Beroep Brussel (19de kamer A - Marktenhof), arrest van 2 september 2020, 2020/AR/329 (alleen beschikbaar in het Nederlands). Beslissing ten gronde 81/2020- 36/46 een of andere maatregel en/of sanctie uitspreekt, is het dus niet aan de Geschillenkamer om te motiveren waarom zij een van de verzoeken van de klager niet zou inwilligen. Deze overwegingen laten de verplichting van de Geschillenkamer onverlet om de keuze van de maatregelen en sancties die zij passend acht (uit de lijst van maatregelen en sancties die haar krachtens artikel 58 van de AVG en de artikelen 95.1 en 100.1 van de WOG) te motiveren om de verweerder te veroordelen. 144. In meer het onderhavige verzoekt dat geval de merkt de Geschillenkamer Geschillenkamer de naleving op dat van de de klager regels onder beveelt of een dwangsom oplegt. Onverminderd het voorgaande, verwijst de Geschillenkamer voor dit punt naar haar beleid ter zake aangezien zij zojuist haar beleid heeft gepubliceerd die vanaf nu beschikbaar is op haar website17. 145. Wat de administratieve geldboete betreft, benadrukt de Geschillenkamer dat deze bedoeld is om de effectieve toepassing van de regels van de AVG te waarborgen. Andere maatregelen, zoals een nalevingsbevel of een verbod op verdere verwerking, maken het mogelijk om een vastgestelde overtreding te beëindigen. Zoals blijkt uit Overweging 148 van de AVG zijn bij ernstige inbreuken straffen vereist met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen die worden opgelegd. Daarom kan zeker een administratieve boete worden opgelegd als sanctie voor een ernstige inbreuk die is verholpen of die op het punt staat te worden verholpen in de loop van de procedure. Feit blijft dat de Geschillenkamer bij de vaststelling van het bedrag van de boete rekening zal houden met het feit dat de genoemde overtredingen zijn beëindigd of worden verholpen. 9.1. Voor wat de eerste verweerder betreft 146. De Geschillenkamer heeft een schending vastgesteld van de artikelen 14. 1-2 gecombineerd met artikel 12.1 en 12.3, 15.1 gecombineerd met artikel 12.3 en artikel 12.2., 5.1.
22. c)en 5.2.24.1-2 van de AVG (punt 92 hierboven). 147. In het licht van de vaststelling van deze inbreuken geeft de Geschillenkamer de eerste verweerder een berisping op grond van artikel 100. 1,5° WOG. 148. De Geschillenkamer merkt voorts op dat de eerste verweerder, zonder de beslissing van de Geschillenkamer af te wachten, zodra deze tot zijn conclusies was gekomen en tijdens de hoorzitting, een aantal toezeggingen heeft gedaan om de door de Inspecteur-generaal in zijn verslag 17 Zie op de website van de GBA - rubriek Autoriteit - Organisatie - Geschillenkamer https://www.gegevensbeschermingsautoriteit.be/burger/de-autoriteit/organisatie en https://www.gegevensbeschermingsautoriteit.be/professioneel/de-autoriteit/organisatie Beslissing ten gronde 81/2020- 37/46 geconstateerde inbreuken te verhelpen. De Geschillenkamer is van mening dat de eerste verweerder inderdaad zo snel mogelijk een aantal wijzigingen en maatregelen moet doorvoeren om aan zijn verplichtingen uit hoofde van het AVG te voldoen. Bijgevolg legt de Geschillenkamer in het dispositief een gedetailleerd nalevingsbevel op en dit op grond van artikel 100. 1,9° WOG (zie in dit verband de uitleg onder punt 141 hierboven). 149. Naast deze berisping en het nalevingsbevel is de Geschillenkamer van mening dat een administratieve boete in dit geval gerechtvaardigd is om de volgende redenen. 150. Wat de aard van de inbreuk betreft, merkt de Geschillenkamer op dat de niet-naleving van artikel 5, lid 1, onder c), van de AVG een inbreuk vormt op een van de grondbeginselen van de AVG (en van het gegevensbeschermingsrecht in het algemeen), namelijk het in hoofdstuk II "Beginselen" van de AVG vastgelegde beginsel van de minimale gegevensverwerking. 151. De inbreuken op artikel 14. 1.
23. a)van de AVG in combinatie met 12.3 en 12.1 van de AVG, van artikel 15.1 van de AVG (gecombineerd met artikel 12.3 en artikel 12.2 van de AVG), vormen een inbreuk op de rechten van de betrokken personen. Dit recht op informatie en op toegang zijn ook versterkt in het kader van de AVG, wat het bijzondere belang ervan weerspiegelt. In dit perspectief heeft de Gegevensbeschermingsautoriteit de naleving van deze rechten tot een prioriteit gemaakt in haar strategisch plan 2020-2025.18 De passende corrigerende maatregelen/sanctie worden echter per geval bepaald. 152. Tot slot vormt ook de inbreuk op artikel 5.2 en 24. 1-2 van de AVG, een inbreuk op het accountabilitybeginsel, dat werd ingevoerd door de AVG. 153. Volgens artikel 83.5.
24. a)van de AVG kunnen inbreuken op deze bepalingen oplopen tot 20.000.000 euro of, in het geval van een onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar. De bedragen van de boetes die voor overtredingen van deze bepalingen kunnen worden opgelegd, zijn hoger dan die welke voor andere soorten overtredingen in artikel 83.4. van de AVG zijn vastgesteld. In geval van schending van een grondrecht bekrachtigd in artikel 8 van het Handvest van de grondrechten van de Europese Unie zal de beoordeling van de ernst ervan, ter ondersteuning van artikel 83.2.
25. a)van de AVG autonoom gebeuren 19. 18 Gegevensbschermingsautoriteit (GBA), Strategisch Plan 2020-2025: https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/GBA_Strategisch_Pla n_28012020.pdf 19 Zie in dit verband de beslissing 64/2020 van de Geschillenkamer (punt https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-64-2020.pdf 45): Beslissing ten gronde 81/2020- 38/46 154. Er is reeds opgemerkt dat in het kader van de inspectie de antwoorden die aan de inspecteur- generaal werden gericht, ondertekend zijn door de Groep [...]. Op de zitting van 13 juli 2020 heeft de eerste verweerder bevestigd dat hij deel uitmaakt van die Groep. 155. Bij de vaststelling van het bedrag van de geldboete houdt de Geschillenkamer rekening met het begrip "onderneming" (artikel 83, lid 5, van de AVG). De Geschillenkamer houdt ook rekening met het advies van het Europees Comité voor de bescherming van persoonsgegevens, waarvan zij met name het volgende behoudt: "Om geldboeten op te leggen die doeltreffend, evenredig en afschrikkend zijn, gebruikt de toezichthoudende autoriteit de definitie van het begrip onderneming zoals vastgesteld door het Hof van Justitie van de Europese Unie voor de toepassing van de artikelen 101 en 102VWEU, namelijk dat het begrip onderneming wordt begrepen als een economische eenheid die door de moedermaatschappij en alle betrokken dochterondernemingen kan worden gevormd. Overeenkomstig het EU-recht en de jurisprudentie moet een onderneming worden gezien als een economische eenheid die commerciële/economische activiteiten uitoefent, ongeacht de rechtsvorm ervan (overweging 150)".20 156. Wat het aantal door de schendingen getroffen personen betreft, merkt de Geschillenkamer op dat de vastgestelde schendingen naast die ene klager, ook betrekking hebben op een groot aantal personen De eerste verweerder heeft parkeerconcessies in […] gemeenten. De vastgestelde inbreuken maken deel uit van de dagelijkse praktijk van de eerste verweerder en zijn met name te wijten aan het feit dat er geen doeltreffende procedures voor de uitoefening van rechten zijn ingesteld. Het gaat dus om een groot aantal personen. 157. Wat de hoedanigheid van de eerste verweerder betreft, herinnert de Geschillenkamer eraan dat zij in eerdere beslissingen21 reeds heeft geoordeeld dat wanneer de verwerkingsverantwoordelijke een openbare mandataris is, een verzwarende omstandigheid is in de zin van artikel 83.2.
26. k)van de AVG. Zonder een openbaar mandataris te zijn in de strikte zin van het woord, oefent de eerste 20 Europees Comité voor gegevensbescherming Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van Verordening (EU) 2016/679, WP 253, goedgekeurd op 3 oktober 2017, blz. 6, beschikbaar op www.edpb.europa.eu Zie ook beslissing 37/2020 van de Geschillenkamer. 21Zie de beslissing 10/2019 van de Geschillenkamer (blz. 12) https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-10-2019.pdf en de beslissing 11/2019 (blz. 10) https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-grondenr.-11-2019.pdf Beslissing ten gronde 81/2020- 39/46 verweerder niettemin een overheidsbevoegdheid uit die hem bij wege van een concessie is verleend. Als zodanig heeft hij een voorbeeldfunctie. De "onwettige" context waarin de gegevensverwerking plaatsvindt, vereist, gezien het doel ervan, ook een bijzonder strikte eerbiediging van de rechten van de betrokkenen. De verwerking van gegevens vormt ook een substantieel deel van de activiteit van de eerste verweerder. 158. Wat het criterium van de duur betreft, merkt de Geschillenkamer op dat deze inbreuken in de tijd hebben geduurd (artikel 83.1.
27. a)van de AVG), ten minste sinds 25 mei 2018, met uitzondering van de inbreuk op artikel 5.1.
28. c)van de AVG, die beperkter is in de tijd. 159. Met betrekking tot de vraag of de inbreuken al dan niet opzettelijk (door nalatigheid) zijn gepleegd (artikel 83.2.
29. b)van de AVG) herinnert de Geschillenkamer eraan dat "niet opzettelijk" betekent dat het niet de bedoeling was de inbreuk te plegen, hoewel de verwerkingsverantwoordelijke of de verwerker niet heeft voldaan aan de zorgvuldigheidsplicht die krachtens de wetgeving op hem rustte. In het onderhavige geval is de Geschillenkamer van mening dat de vastgestelde feiten en inbreuken - hoe ernstig ook - niet de bewuste bedoeling van de eerste verweerder weerspiegelen om de AVG te schenden. 160. Ten slotte merkt de Geschillenkamer op dat de eerste verweerder gedurende de gehele procedure heeft samengewerkt met de GBA (artikel 83.2.
30. f)van de AVG), met name met de Inspectiedienst, en geeft zij toe dat het beheer van de zaak van de klager vereist dat hij zijn huidige werking met betrekking tot de rechten van de betrokken personen substantieel moet verbeteren. De eerste verweerder is, zoals reeds vermeld, ook een aantal nalevingsverbintenissen in dit verband aangegaan22. 22 Over de informatieplicht, doet de eerste verweerder een aantal toezeggingen aan de GBA, waarvan de voorwaarden hieronder zijn weergegeven (punten 42 tot 45 van de opmerkingen van de eerste verweerder) : 42. De verweerder is er zich bewust van geworden dat de verstrekte informatie niet voldoende was in verhouding tot zijn verplichtingen. De verweerder verbindt zich er daarom toe de Gegevensbeschermingsautoriteit zo spoedig mogelijk een informatiedocument te verstrekken dat voldoet aan de vereisten van artikel 14 van de AVG en dat op zijn website zal worden geplaatst. 43. Bovendien zal de verweerder ervoor zorgen dat deze mededeling gemakkelijk toegang biedt tot informatie over gegevensbescherming door een verklarende mededeling op te stellen die op één enkele plaats op zijn website zal te vinden zijn. 44. Bovendien zal de verweerder een duidelijke verwijzing opnemen bij de uitnodiging tot betaling om ervoor te zorgen dat de betrokkenen direct begrijpen dat alle informatie op de website toegankelijk is. Daarnaast zal de verweerder zo snel mogelijk de inhoud van het privacybericht onder aan de herinneringsbrief opnieuw herzien. 45. Ten slotte verbindt de verweerder zich ertoe zijn volledige website opnieuw te laten controleren om alle documentatie, details en verwijzingen onder de nodige formulieren in te voeren, zodat de betrokkenen gemakkelijk toegang kunnen krijgen tot de volledige informatie. Beslissing ten gronde 81/2020- 40/46 De Geschillenkamer is van oordeel dat de andere criteria van artikel 83.2. van de AVG niet relevant zijn en geen invloed kunnen hebben op haar beslissing om een administratieve geldboete op te leggen of op het bedrag ervan. 162. Concluderend in het licht van de hierboven ontwikkelde elementen die specifiek zijn voor deze zaak, is de Geschillenkamer van oordeel dat de vastgestelde feiten en de niet-naleving van artikel 14. a), b),
31. c)en e), artikel 6 en artikel 17.1. a), juncto artikel 12.1. van de AVG rechtvaardigen dat een doeltreffende, evenredige en afschrikkende sanctie wordt opgelegd als bepaald in artikel 83 van de AVG en rekening houdend met de in artikel 83.2 van de AVG genoemde beoordelingsfactoren en de reactie van verweerder op de vooropgestelde boete, wordt aan de verweerder een berisping (artikel 100.1, 5° WOG) en een nalevingsbevel (artikel 100.1, 9° WOG), vergezeld van een administratieve boete 163. van 50.000 EUR (artikel 100.1, 13° en 101 WOG) opgelegd. Bij de vaststelling van dit bedrag heeft de Geschillenkamer rekening gehouden met het feit dat de eerste verweerder deel uitmaakt van de Groep [...] , de jaaromzet van die Groep en de financiële draagkracht van die laatste. Zij heeft ook rekening gehouden met de informatie die de eerste verweerder in zijn reactie op de voorgestelde geldboete heeft verstrekt, namelijk dat de Groep in de huidige context van de covid-19-pandemie een aanzienlijke daling van haar inkomsten ondervindt. 164. Het bedrag van 50.000 EUR blijft in het licht van deze elementen in verhouding staan tot de gemelde inbreuken. De Geschillenkamer is van mening dat een boete van minder dan 50.000 euro in het onderhavige geval niet zou voldoen aan de criteria van artikel 83.1. van de AVG, volgens welke de administratieve boete doeltreffend, evenredig en afschrikkend moet zijn. In zijn besluit 01/2020 van 9 november 2020 benadrukt het Europees Comité voor gegevensbescherming in dit verband dat de hoogte van de boete bijdraagt aan de doeltreffendheid, evenredigheid en afschrikking ervan23. 9.2. Wat de tweede verweerder betreft 23 Europees Comité voor Gegevensbescherming, Decision 01/2020 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding Twitter International Company under Article 65

(1)(a) GDPR (enkel beschikbaar in het Engels) Zie § 199: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_bindingdecision01_2020_en.pdf “199 Following this, the EDPB considers that the fine proposed in the Draft Decision is too low and therefore does not fulfil its purpose as a corrective measure, in particular it does not meet the requirements ofArticle83

(1)GDPR of being effective, dissuasive and proportionate.” Vrije vertaling Secretariaat GBA: "199 Bijgevolg is het ECGB van mening dat het bedrag van de in het ontwerpbesluit voorgestelde boete te laag is en om die reden zijn rol als corrigerende maatregel niet vervult. Met name voldoet dit bedrag niet aan de vereisten van artikel 83.1 van de AVG dat de boete doeltreffend, evenredig en ontradend moet zijn". Beslissing ten gronde 81/2020- 41/46 165. De Geschillenkamer stelde een schending vast van artikel 14.1-2 gecombineerd met artikel 12.3, artikel 6, artikel 5.1.

1. c)en de artikelen 5.2. en 24.1-2 van de AVG begaan door de verweerder (punt 137 hierboven). 166. In het licht van de vaststelling van deze inbreuken geeft de Geschillenkamer de eerste verweerder een berisping op grond van artikel 100. 1,5° WOG. 167. De Geschillenkamer merkt ook op dat de tweede verweerder in zijn conclusies en op de hoorzitting heeft voorgesteld om bepaalde wijzigingen in zijn praktijk aan te brengen. De Geschillenkamer is namelijk van mening dat de tweede verweerder inderdaad zo snel mogelijk een aantal wijzigingen en maatregelen moet doorvoeren om aan zijn verplichtingen uit hoofde van de AVG te voldoen. Bijgevolg legt de Geschillenkamer in het dispositief een gedetailleerd nalevingsbevel op en dit op grond van artikel 100. 1,9° WOG (zie in dit verband de uitleg onder punt 141 hierboven). 168. Naast deze berisping24 en het nalevingsbevel is de Geschillenkamer van mening dat een administratieve boete in dit geval gerechtvaardigd is om de volgende redenen. 169. Wat de aard van de inbreuk betreft, merkt de Geschillenkamer op dat de niet-naleving van artikel 5, lid 1, onder c), van de AVG een inbreuk vormt op een van de grondbeginselen van de AVG (en van het gegevensbeschermingsrecht in het algemeen), namelijk het in Hoofdstuk II "Beginselen" van de AVG vastgelegde beginsel van de minimale gegevensverwerking. Toegegeven, de gegevens die in het kader van het formulier worden verzameld, zijn hoofdzakelijk identificatiegegevens en vormen geen gevoelige gegevens in de zin van de artikelen 9 en 10 van het AVG. Zoals in punt 176 hieronder zal worden vermeld, worden zij echter in een "onwettige" context verwerkt. De Geschillenkamer zal rekening houden met deze dubbele overweging. 170. De schending van artikel 14. 1-2, juncto artikel 12.3 van de AVG vormt een inbreuk op de rechten van de betrokken personen - niettegenstaande het bestaan van een privacybeleid, waarvan de Geschillenkamer op de hoogte is en waarmee zij rekening houdt (punt 179). Het recht op informatie is in het kader van de AVG versterkt, wat het bijzondere belang ervan weerspiegelt. In dit perspectief heeft de Gegevensbeschermingsautoriteit de naleving van deze rechten tot een prioriteit gemaakt in 24 De Geschillenkamer wil het onderscheid tussen een waarschuwing en een berisping verduidelijken. de waarschuwing is bedoeld om een verwerkingsverantwoordelijke of een verwerker te wijzen op het feit dat de voorgenomen verwerkingen een inbreuk kunnen vormen op de bepalingen van de AVG (artikel 58.2.
2. a)van de AVG, artikel 95.1.4° en artikel 100.1.5° van de WOG). De berisping (of oproep tot de orde) is bedoeld om een verwerkingsverantwoordelijke of een verwerker tot de orde te roepen wanneer de verwerkingen hebben geleid tot een inbreuk op de bepalingen van het AVG (artikel 58.2.
3. b)van de AVG en artikel 100.1.5° van de WOG). Beslissing ten gronde 81/2020- 42/46 haar strategisch plan 2020-2025.25 De passende corrigerende maatregelen/sanctie worden echter per geval bepaald. 171. Tot slot vormt ook de inbreuk op artikel 5.2 en 24. 1-2 van de AVG, een inbreuk op het accountabilitybeginsel, dat werd ingevoerd door de AVG. 172. Volgens artikel 83.5.
4. a)van de AVG kunnen inbreuken op deze bepalingen oplopen tot 20.000.000 euro of, in het geval van een onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar. De bedragen van de boetes die voor overtredingen van deze bepalingen kunnen worden opgelegd, zijn hoger dan die welke voor andere soorten overtredingen in artikel 83.4. van de AVG zijn vastgesteld. In geval van schending van een grondrecht bekrachtigd in artikel 8 van het Handvest van de grondrechten van de Europese Unie zal de beoordeling van de ernst ervan, ter ondersteuning van artikel 83.2.
5. a)van de AVG autonoom gebeuren 26. 173. Volgens de bewoordingen in zijn reactie op de beoogde boete die hij tot de Geschillenkamer richtte, beroept de tweede verweerder zich op de gezondheidscrisis die verband hield met de pandemie van het virus covid-19, waardoor het beroep van de gerechtsdeurwaarder op een uiterst harde manier werd getroffen. De gedwongen stillegging van de meeste activiteiten van de gerechtsdeurwaarders (met inbegrip van de handhavingsmaatregelen) heeft ertoe geleid dat de tweede verweerder een deel van zijn personeel op technische werkloosheid heeft moeten zetten. De tweede verweerder is van mening dat zijn toekomstige omzet voor 2020 en 2021 bovendien niet in verhouding staat tot die van de afgelopen jaren. 174. Wat het aantal door de schendingen getroffen personen betreft, merkt de Geschillenkamer op dat de vastgestelde schendingen naast die ene klager, ook betrekking hebben op een groot aantal personen. De tweede verweerder is zeker geen multinationale onderneming, maar een Belgische KMO. De tweede verweerder is immers een studie van de gerechtsdeurwaarders in België, met […] jaren ervaring en [ …] medewerkers. 175. Aangezien de inbreuken in de lijn liggen van de praktijk van de tweede verweerder, is het aantal potentieel betrokken personen gelijk aan het aantal personen waarvan de tweede verweerder de gegevens verwerkt in het kader van zijn minnelijke invorderingstaken, d.w.z. een aanzienlijk aantal, 25 Gegevensbschermingsautoriteit (GBA), Strategisch Plan 2020-2025: https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/GBA_Strategisch_Pla n_28012020.pdf 26Zie in dit verband de beslissing 64/2020 van de Geschillenkamer (punt https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-64-2020.pdf 45): Beslissing ten gronde 81/2020- 43/46 ook al vormt de minnelijke invordering, zoals de Geschillenkamer bekend is, slechts een deel van de activiteiten van de tweede verweerder. 176. Wat de hoedanigheid van de eerste verweerder betreft, herinnert de Geschillenkamer eraan dat zij in eerdere beslissingen27 reeds heeft geoordeeld dat de status van openbare mandataris van de verwerkingsverantwoordelijke een verzwarende omstandigheid is in de zin van artikel 83.2.
6. k)van de AVG. De tweede verweerder is onder meer een ministeriële ambtenaar met overheidsbevoegdheid, die zogenaamde "monopolistische" bevoegdheden kan uitoefenen die hem bij wet zijn toegekend. Als vrij beroep voert de gerechtsdeurwaarder enkele buitengerechtelijke activiteiten uit, waaronder de minnelijke schuldinvordering. De functie is gereglementeerd en de gerechtsdeurwaarders worden benoemd door de Koning. Hun aantal is beperkt. In het licht van die status heeft de tweede verweerder een voorbeeldfunctie, ongeacht de hoed waarmee hij zijn taken uitvoert. De "onwettige" context waarin de gegevensverwerking plaatsvindt, vereist, gezien het doel ervan, ook een bijzonder strikte eerbiediging van de rechten van de betrokkenen. De verwerking van gegevens vormt ook een substantieel deel van de activiteit van de tweede verweerder. 177. Wat het criterium van de duur betreft, merkt de Geschillenkamer op dat deze inbreuken in de tijd hebben geduurd aangezien ze deel uitmaken van de praktijk van de tweede verweerder (artikel 83.1.
7. a)van de AVG), ten minste sedert januari 2019. 178. Wat betreft de vraag of de inbreuken opzettelijk of uit onachtzaamheid zijn gepleegd (artikel 8.2.
8. b)van de AVG), is de Geschillenkamer van oordeel dat zij niet opzettelijk zijn gepleegd. Zij wijst er ook op dat de tweede verweerder vanaf 25 mei 2018 een duidelijk en gedetailleerd privacybeleid heeft gevoerd en heeft getracht al zijn verplichtingen in het kader van de AVG na te komen, met name de aanwijzing van een functionaris voor gegevensbescherming. Hij heeft hiertoe contact opgenomen met gespecialiseerde adviseurs en dit, ondanks de aankondigingen van de Nationale Kamer van de gerechtsdeurwaarders die aangaf dat zij concrete maatregelen zou nemen om de studies te begeleiden en te helpen, wat uiteindelijk niet het geval was. 179. Ten slotte heeft de tweede verweerder zich tijdens de procedure coöperatief opgesteld en bereid getoond zijn praktijken (in zijn conclusies en tijdens de hoorzitting) te willen wijzigen. De Geschillenkamer heeft daar nota van genomen. (zie hiervoor de uitleg onder punt 141 hierboven). 27 Zie de beslissing 10/2019 van de Geschillenkamer (blz. 12) https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-10-2019.pdf en de beslissing 11/2019 (blz. 10) https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-grondenr.-11-2019.pdf Beslissing ten gronde 81/2020- 44/46 De Geschillenkamer is van oordeel dat de andere criteria van artikel 83.2. van de AVG niet relevant zijn en geen invloed kunnen hebben op haar beslissing om een administratieve geldboete op te leggen of op het bedrag ervan. 181. Concluderend, in het licht van alle hierboven uiteengezette elementen die eigen zijn aan deze zaak, is de Geschillenkamer van mening dat de vastgestelde feiten en de niet-naleving van artikel 14.1-2 gecombineerd met artikel 12.3, artikel 6, artikel 5.1.
9. c)en de artikelen 5.2 en 24. 1-2 van de AVG) rechtvaardigen dat als doeltreffende, evenredige en afschrikkende sanctie als bepaald in artikel 83 van de AVG en rekening houdend met de in artikel 83.2 van de AVG genoemde beoordelingsfactoren en de reactie van verweerder op de vooropgestelde boete, een berisping (artikel 100.1, 5° WOG) en een nalevingsbevel (artikel 100.1, 9° WOG), vergezeld van een administratieve boete van 15 000 EUR (artikel 100.1, 13° en 101 WOG). aan de tweede verweerder wordt opgelegd. 10. Voor wat de transparantie betreft 182. Gezien het belang van transparanti