← België

Beslissing ten gronde nr. 84/2022

1/26 Geschillenkamer Beslissing ten gronde 84/2022 van 24 mei 2022 Dossiernummer : DOS-2020-02294 Betreft: klacht van de "Ordre des Barreaux Francophones de Belgique" (OBGF) (de Orde van de Franstalige Balies van België) en dhr. Forges tegen de verwijzingswebsites sos-services.be en sos-avocats.be De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Y. Poullet en Frank De Smet; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna de wet van 30 juli 2018); Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De Klager: Ordre des Barreaux Francophones et Germanophones de Belgique (O.B.F.G.) en de heer Forges, vertegenwoordigd door Meester Etienne Wéry, advocaat met kabinet te 1050 Brussel, Kroonlaan 224, hierna "de klager"; De verweerder: Y, hierna "de verweerder"". Beslissing ten gronde 842022 - 2/26 I. Procedurele voorgeschiedenis 1. Op 4 juni 2020 diende de Ordre des Barreaux Francophones et Germanophones de Belgique (hierna OBFG) en de heer Forges (hierna " de klager") via hun raadsman tegen verweerder een klacht in bij de Gegevensbeschermingsautoriteit. 2. De klacht heeft betrekking op de verwijzingswebsites sos-services.be en sos-avocats.com, die beide door verweerder worden uitgebaat. De klager verklaarde dat advocaten die als lid bij hem zijn aangesloten op deze websites worden vermeld zonder enige rechtsgrondslag en zonder dat zij daarvan op de hoogte zijn. De klager deelt ook mee dat informatie over hen vaak onjuist is en dat er getuigenissen verschijnen die ten onrechte aan de bedoelde advocaten worden toegeschreven. Hij wijst ook op een gebrek aan overeenstemming met de AVG, zowel in het privacybeleid als in de informatie over het gebruik van cookies door de twee hierboven genoemde websites. 3. Na verscheidene verzoeken van plaatselijke verenigingen heeft de stafhouder van de Orde van de klager op 9 september 2019 contact opgenomen met de exploitant van de websites, zonder enige reactie. 4. Op 10 juli 2020 wordt de klacht op grond van de artikelen 58 en 60 van de WOG ontvankelijk verklaard door de Eerstelijnsdienst en overeenkomstig artikel 62, §1, van de WOG aan de Geschillenkamer overgedragen. 5. Op 10 augustus 2020 beslist de Geschillenkamer op grond van artikel 95, §1, 1° en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 10 december 2020 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, en in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd 21 september 2020, deze voor de conclusie van repliek van de klager op 12 oktober 2020 en deze voor de conclusie van repliek van de verweerder op 2 november 2020. 7. Op 22 september 2020 ontving de Geschillenkamer een e-mail van verweerder waarin hij zijn conclusies aankondigde, maar zonder bijlage. Op 25 september 2020 antwoordde de griffie van de Geschillenkamer aan de verweerder dat zijn conlcusies ontbraken in zijn e-mail van 22 september 2020. De verweerder liet deze e-mail onbeantwoord. Op 15 oktober stuurde de griffie van de Geschillenkamer aan verweerder een e-mail om te informeren naar zijn conclusies. In zijn antwoord op 2 november 2020 stuurde hij zijn conclusies mee, waarin hij ook aangaf dat indien klager om een verlenging van de antwoordtermijn zou verzoeken, verweerder daartegen geen bezwaar zou maken. Beslissing ten gronde 842022 - 3/26 8. Verweerder verzocht ook om te worden gehoord teneinde, zoals hij stelt, aan te tonen dat hij te goeder trouw is en vooral niet de bedoeling heeft om enerzijds de rechten van de betrokkenen te schenden en anderzijds de verzamelde gegevens te verhandelen. 9. Op 3 november 2020 nam klager contact op met de griffie van de Geschillenkamer en deelde mee dat de conclusies van verweerder niet zouden worden afgewezen, op voorwaarde dat hij in aanmerking zou komen voor een verlenging van de termijn voor de indiening van de repliek. 10. Op 4 januari 2021 ontving de Geschillenkamer de conclusie van repliek van de klager. 11. De Geschillenkamer ontving geen conclusie van repliek van de verweerder. 12. Op 4 februari 2022 werden de partijen ervan in kennis gesteld dat de hoorzitting zou plaatsvinden op 28 maart 2022. 13. Op 28 maart 2022 werden de partijen gehoord door de Geschillenkamer. 14. Op 30 maart 2022 werd het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 15. De Geschillenkamer ontving van de partijen geen opmerkingen over het proces-verbaal en besliste om dit in haar beraadslaging op te nemen. 16. Op 22 april 2022 stelde de Geschillenkamer de verweerder in kennis van haar voornemen om een administratieve boete op te leggen, alsmede het bedrag daarvan met de bedoeling de verweerder de gelegenheid te geven zich te verdedigen voordat de boete effectief wordt opgelegd. 17. Verweerder gaat niet in op de mogelijkheid om zich te verdedigen of zijn opmerkingen kenbaar te maken over het voornemen van de Geschillenkamer om hem een administratieve geldboete op te leggen en over het bedrag van die boete. II. Over de bevoegdheden van de GBA 18. In het onderhavige geval is het van belang te benadrukken dat de betwiste verwerkingen, zoals verweerder ter hoorzitting van 28 april 2022 aangaf, plaatsvonden sinds 2016. Welnu, de GBA en bijgevolg ook de Geschillenkamer werden opgericht krachtens de WOG, die in werking is getreden op dezelfde dag als de AVG, namelijk op 25 mei 2018. De Geschillenkamer acht zich dus niet bevoegd om de rechtmatigheid van de verwerkingen voor de periode vóór 25 mei 2018 te toetsen, hoewel zij erop wijst dat de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens reeds dezelfde beginselen toepaste als deze die hierna worden besproken. Alleen de gegevensverwerkingen die na 25 mei 2018 plaatsgevonden, zullen worden geanalyseerd. 19. Ook wijst de Geschillenkamer erop dat sinds de inwerkingtreding op 10 januari 2022 van de wet tot omzetting van het Europees Wetboek voor elektronische communicatie en tot wijziging van diverse bepalingen inzake elektronische communicatie van 21 december 2021 (hierna: "wet van Beslissing ten gronde 842022 - 4/26 21 december 2021"), de GBA volgens het Belgische recht voortaan bevoegd is om de bepalingen inzake de plaatsing en het gebruik van cookies te controleren. Bij bovengenoemde wet werden onder meer wijzigingen aangebracht in de wet op de elektronische communicatie (hierna "WEC" genoemd). Meer bepaald voorziet artikel 256 van de wet van 21 december 2021 in de intrekking van artikel 129 WEC en de overheveling van deze bepaling naar de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (hierna "WVP"). Artikel 10/2 van de WVP bepaalt voortaan: « In toepassing van artikel 125, § 1, 1°, van de wet van 13 juni 2005 betreffende de elektronische communicatie en onverminderd de toepassing van de Verordening en deze wet is de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker slechts toegestaan op voorwaarde dat: 1° de betrokken abonnee of gebruiker, overeenkomstig de voorwaarden bepaald in de Verordening en in deze wet, duidelijke en precieze informatie krijgt over de doeleinden van de verwerking en zijn rechten op basis van de Verordening en van deze wet; 2° de abonnee of eindgebruiker zijn toestemming heeft gegeven na ingelicht te zijn overeenkomstig de bepaling onder 1°. Het eerste lid is niet van toepassing voor de technische opslag van informatie of de toegang tot informatie opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker met als uitsluitend doel de verzending van een communicatie via een elektronische-communicatienetwerk uit te voeren of een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren wanneer dit hiervoor strikt noodzakelijk is. » 20. Aangezien de GBA bevoegd is voor het toezicht op de bepalingen van de WVP, is zij bevoegd voor het toezicht op de plaatsing en het gebruik van cookies. 21. Gelet op het voorgaande moet hier dus een onderscheid worden gemaakt tussen verschillende periodes met betrekking tot de grondslag van de bevoegdheid van de GBA om toezicht te houden op de plaatsing en het gebruik van cookies. 22. Aangezien de Geschillenkamer niet bevoegd is om de verwerkingen te toetsen die hebben plaatsgevonden vóór de oprichting van de GBA op 25 mei 2018, zal zij zich niet uitspreken over de betwiste verwerkingen (waaronder het plaatsen en gebruiken van cookies) die verweerder van 2016 tot 25 mei 2018 verrichtte. De Geschillenkamer merkt tevens op dat verweerder in zijn conclusies heeft aangegeven dat hij de verwerking van persoonsgegevens betreffende advocaten waarvoor hij geen rechtsgrondslag had, in de loop van de onderhavige procedure heeft stopgezet, evenwel zonder een specifieke datum te noemen. Een controle van de website lijkt de juistheid van deze bewering te bevestigen, hoewel niet kan worden uitgesloten dat de van de website verwijderde gegevens nog steeds in gebruik zijn. Beslissing ten gronde 842022 - 5/26 23. Met betrekking tot het plaatsen en gebruiken van cookies tussen 25 mei 2018 en de inwerkingtreding op 10 januari 2022 van de wet tot omzetting van het Europees Wetboek voor elektronische communicatie en tot wijziging van diverse bepalingen betreffende elektronische communicatie van 21 december 2021 (waarbij, zoals hiervoor aangegeven, exclusieve bevoegdheid voor de controle op het plaatsen en gebruiken van cookies aan de GBA wordt toegekend), wordt de bevoegdheid van de Geschillenkamer in de navolgende paragrafen uiteengezet. 24. De bevoegdheid van de GBA met betrekking tot Richtlijn 2002/58/EG (hierna : eprivacyrichtlijn) is uiteengezet in eerdere beslissingen van de Geschillenkamer, met name in de beslissingen 12/2019 van 17 december 2019, 24/2021 van 19 februari 2021, en 19/2021 van 12 februari 2021. Dit deel bevat een samenvatting van het standpunt van de Geschillenkamer. 25. In toepassing van artikel 4, § 1, van de WOG, is de GBA verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, zoals bevestigd door de AVG en andere wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. Eveneens, overeenkomstig de artikelen 51 e.v. van de AVG en artikel 4.1, van de WOG, alsmede 33, §1, van de WOG , is het de taak van de Geschillenkamer, als administratieve geschilleninstantie van de GBA, om doeltreffend toezicht uit te oefenen op de toepassing van de AVG en om de fundamentele rechten en vrijheden van natuurlijke personen met betrekking tot de verwerking te beschermen, overeenkomstig artikel 8 van het Handvest van de grondrechten van de Europese Unie. 26. Verweerder betwist niet dat de betwiste websites persoonsgegevens verzamelen door middel van cookies. 27. Voor de verwerkingen die plaatsvonden vóór de inwerkingtreding op 10 januari 2022 van de wet tot omzetting van het Europees wetboek voor elektronische communicatie en tot wijziging van diverse bepalingen inzake elektronische communicatie van 21 december 2021 (waarbij, zoals hierboven aangegeven, de exclusieve bevoegdheid voor de controle op de plaatsing en het gebruik van cookies aan de GBA wordt toegewezen), was het Belgisch Instituut voor postdiensten en telecommunicatie (BIPT) de verrkingsverantwoordelijke voor de WEC, ook voor artikel 129 van deWEC, dat uitvoering geeft aan artikel 5. 3 van de e-privacyrichtlijn, overeenkomstig artikel 14, § 1 van de wet van 17 januari 2003 met betrekking tot het statuut van de regulator van de Belgische post- en telecommunicatiesector (hierna : "BIPT"). 28. In zijn advies 5/2019 over de wisselwerking tussen de e-privacyrichtlijn en de AVG bevestigde het Europees Comité voor gegevensbeschermingsautoriteiten gegevensbescherming bevoegd zijn om de (hierna: AVG toe "EDPB") dat te op passen gegevensverwerkingen, ook in de context waarin andere autoriteiten op grond van de nationale Beslissing ten gronde 842022 - 6/26 omzetting van de e-privacyrichtlijn bevoegd zouden zijn om toezicht te houden op bepaalde elementen van de verwerking van persoonsgegevens. 29. In het advies staat ook dat de e-privacyrichtlijn tot doel heeft de bepalingen van de AVG met betrekking tot de verwerking van persoonsgegevens in de sector elektronische communicatie "te verduidelijken en aan te vullen", en er aldus voor te zorgen dat de artikelen 7 en 8 van het Handvest van de grondrechten van de EU worden nageleefd. 30. In dit verband merkt de Geschillenkamer op dat artikel 8.3. van het Handvest bepaalt dat de verwerking van persoonsgegevens onderworpen is aan de controle van een onafhankelijke autoriteit belast met gegevensbescherming. 31. De werkgroep gegevensbescherming ("Artikel 29") - voorganger van het EDPB- en het EDPB hebben ook vastgesteld dat de vereisten van de AVG voor het verkrijgen van een geldige toestemming van toepassing zijn op situaties die binnen de werkingssfeer van de eprivacyrichtlijn vallen1. 32. Het Hof van Justitie van de Europese Unie heeft in zijn arrest Planet49 met name bevestigd dat het verzamelen van gegevens door middel van cookies als verwerking van persoonsgegevens kan worden aangemerkt2. Derhalve heeft het Hof artikel 5.3 van de e-privacyrichtlijn geïnterpreteerd aan de hand van de AVG3, meer in het bijzonder op basis van artikel 4.11. artikel 6.1.a (toestemmingsvereiste) en artikel 13 (te verstrekken informatie) van de AVG. 33. Zoals hierboven opgemerkt, doet de bevoegdheid van het BIPT om toezicht te houden op bepaalde delen van de verwerking – zoals op het plaatsen van cookies op de eindapparatuur van een internetgebruiker - geen afbreuk aan de algemene bevoegdheid van de GBA. Zoals door het EDPB is verduidelijkt, blijven de gegevensbeschermingsautoriteiten bevoegd voor verwerkingen (of elementen van verwerkingen) waarvoor de e-privacyrichtlijn niet in specifieke voorschriften voorziet4. In het onderhavige geval waren de bevoegdheden van het BIPT en de gegevensbeschermingsautoriteiten inderdaad complementair, aangezien de gegevensbeschermingsautoriteiten op grond van artikel 4 van de WOG verantwoordelijk zijn voor het toezicht op de naleving van de grondbeginselen inzake gegevensbescherming (zoals bevestigd in de AVG en in andere wetten die bepalingen inzake de bescherming van persoonsgegevens bevatten), en toestemming is inderdaad een grondbeginsel op dit gebied. 1 Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259, blz. 4. 2 Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801, punt 45. 3 Evenals met behulp van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens 4 Groep 5, WP 2019, Opinion 5/2019 on the interplay between the ePrivacy Directive and the GDPR, in het bijzonder wat de bevoegdheid, taken en bevoegdheden van de gegevensbeschermingsautoriteiten betreft, § 69. Beslissing ten gronde 842022 - 7/26 34. De klacht heeft ook betrekking op de verwerking van cookies op de websites van verweerder. 35. Daarenboven stelt de rechtbank van eerste aanleg van Brussel dat de rechtsvoorganger van de GBA bevoegd was om een vordering aan de rechtbank voor te leggen “in zoverre deze betrekking heeft op beweerde schendingen van de Privacywet van 8 december 1992, waarnaar art. 129 WEC, die daarvan een precisering en aanvulling is, overigens uitdrukkelijk verwijst"5. Zoals hierboven vermeld, was het vroegere artikel 129 WEC de omzetting in Belgisch recht van artikel 5.3 van de e-privacyrichtlijn. 36. De GBA was dus ook vóór de inwerkingtreding van de wet van 21 december 2021 bevoegd om na te gaan of het vereiste van het grondbeginsel van rechtmatigheid van de verwerking rond 37. De GBA was ook bevoegd om de naleving van alle andere door de AVG verplicht gestelde voorwaarden te controleren - zoals transparantie van de verwerking (artikel 12 van de AVG) of de informatie die moet worden verstrekt (artikel 13 van de AVG). 38. Zoals het Hof van Justitie in de zaak Facebook e.a. heeft bevestigd, valt alleen het registreren en lezen van persoonsgegevens door middel van cookies binnen de werkingssfeer van Richtlijn 2002/58/EG, terwijl " alle eerdere handelingen en latere activiteiten waarbij dergelijke persoonsgegevens door middel van andere technologieën worden verwerkt, binnen de werkingssfeer van de [AVG] vallen".6 III. Over de bevoegdheid van de OBFG om de klacht in te dienen 39. Artikel 220 van de WVG bepaalt in toepassing van artikel 80 AVG: « § 1. De betrokkene heeft het recht om een orgaan, een organisatie, of een vereniging zonder winstoogmerk de opdracht te geven een klacht namens hem in te dienen en namens hem de administratieve of gerechtelijke beroepen uit te oefenen, hetzij aan de bevoegde toezichthoudende autoriteit, hetzij aan de rechterlijke macht als bepaald in de bijzondere wetten, het Gerechtelijk Wetboek en het Wetboek van strafvordering. § 2. Bij de geschillen voorzien in paragraaf 1, moet een orgaan, een organisatie of een vereniging zonder winstoogmerk : 1° op geldige wijze zijn opgericht in overeenstemming met de Belgische wetgeving; 2° rechtspersoonlijkheid bezitten; 3° statutaire doelstellingen van openbaar belang hebben; 4° actief zijn op het gebied van de bescherming van de rechten en vrijheden van de betrokkenen in het kader van de bescherming van de persoonsgegevens en dit sedert ten minste drie jaar. § 3. Het orgaan, de organisatie of vereniging zonder winstoogmerk bewijst door de voorlegging van haar activiteitenverslagen of van enig ander stuk, dat zijn activiteit minstens drie jaar effectief is 5 Rechtbank Brussel, 24 ste kamer burgerlijke zaken, 16 februari 2018, rolnummer 2016/153/A, punt 26, blz. 51, raadpleegbaaar op dit adres: https://www.autoriteprotectiondonnees.be/news/lautorite-de-protection-des-donneesdefend-son-argumentation-devant-lacour- dappel-de-bruxelles. 6 Arrest van het HOf van 15 juni 2021, C-645/19, ECLI:EU:C:2021:483, punt 74. Beslissing ten gronde 842022 - 8/26 geweest, dat het overeenstemt met haar maatschappelijk doel en dat deze activiteit betrekking heeft op de bescherming van persoonsgegevens.» 40. De klager stelt in de klacht dat de OBFG een publiekrechtelijke rechtspersoon is die is opgericht bij de wet van 4 juli 2001, waarvan artikel 11 bepaalt dat de OBFG rechtspersoonlijkheid heeft. 41. Hij legt ook uit dat de wet van 4 juli 2001 in artikel 495 bepaalt dat de OBFG tot taak heeft «te waken over de eer, de rechten en de gemeenschappelijke beroepsbelangen van haar leden (...) " en " de initiatieven en maatregelen te nemen die nuttig zijn (...) voor de verdediging van de belangen van de advocaat en de justitiabele». Het bevat ook een uittreksel uit het OBFGactiviteitenverslag 2016-2019 waarin de doelstellingen van algemeen belang duidelijk tot uiting komen in de opdracht van de Orde (de Autoriteit vertaalt): «De staat heeft hen gevraagd initiatieven te nemen en nuttige maatregelen te nemen ter verdediging van de justitiabelen. Zij heeft hun een maatschappelijke verantwoordelijkheid toevertrouwd (...) De orden krijgen een rol als bewakers van de rechtsbedeling en verdedigers van de rechtsstaat». 42. Bovendien toont de klager voldoende aan dat de Orde al ten minste drie jaar actief is op het gebied van de bescherming van persoonsgegevens, door verschillende voorbeelden van zijn activiteiten op dit gebied op te sommen en bij te voegen. De Orde heeft dit met name aangetoond door bij het Grondwettelijk Hof een beroep tot nietigverklaring in te stellen tegen de wet van 29 mei 2016 betreffende het verzamelen en bewaren van gegevens in de sector elektronische communicatie, dat heeft geleid tot het arrest van het Hof van 19 juli 2018 - nr. 96/2018. Zij is voor hetzelfde Hof ook vrijwillig tussengekomen in het kader van het door de "ABSL Fédération des Entreprises de Belgique" ingestelde beroep tot nietigverklaring van artikel 221, § 2, van de WVP. 43. Voor zover de OBFG voldoet aan alle criteria van artikel 220 van de WVP, is de Orde bevoegd om haar klacht in te dienen bij de Geschillenkamer. IV. De grieven van de klager IV.1. Wat de website sos-services.be betreft 44. Klager stelt in zijn klacht en in zijn conclusies dat de advocaten die op https://sosservices.be/avocats/ zijn vermeld, de volgende informatie bevatten : naam, achternaam, adres, indien van toepassing, een telefoonnummer en een beschrijving van de (vermeende) activiteiten van de advocaat. Hij wijst er ook op dat de advocaten op de lijst niet worden Beslissing ten gronde 842022 - 9/26 geïnformeerd, en dat de bovengenoemde verwerking van hun persoonsgegevens gebeurt zonder toestemming of enige rechtsgrondslag. 45. De gewijzigde versie van het privacydocument van de site (de wijziging heeft plaatsgevonden in de loop van de procedure) vermeldt, met betrekking tot de verwerkte persoonsgegevens (de Autoriteit vertaalt) : «4. De persoonsgegevens die wij verwerken Aangezien de website bedoeld is om te verwijzen naar professionelen uit verschillende sectoren, zijn wij verplicht om de volgende persoonlijke gegevens te verzamelen: - Naam, voornaam - Ondernemingsnummer en BTW, - Adres, - Telefoongegevens, fax en e-mail - Website. Wanneer u de website gebruikt, verzamelen en verwerken wij hardwaregegevens met betrekking tot surf- en IP-adressen, taal, webbrowsercookies, evenals relevante gegevens van uw mobiele apparaat (mobiele telefoon, tablet, enz.): naam, model en modelnummer, besturingssysteem (OS) en kernelversie, UDID (alleen toepassing voor iOS-apparaten), telecommunicatienetwerk waarmee uw apparaat is verbonden, tijdzone; in het systeem opgeslagen taal: NL/FR/EN, IP-adres, IMEI-code (International Mobile Station Equipment Identity), telefoonnummer, serienummer van uw kaart». 46. De klager voegde daaraan toe dat veel van de informatie over deze advocaten op de lijst onjuist was. 47. Hij bracht ook de kwestie van het ontbreken van een privacybeleid ter sprake, aangezien de link naar het beleid, hoewel beschikbaar op de website, niet werkt. 48. Hij wijst er ook op dat analytische cookies worden geïnstalleerd tenzij, althans in theorie, de gebruiker dit weigert, maar dat er geen lijst of beschrijving is van de doeleinden van de verwerking. Hij voegt eraan toe dat, hoewel in de instellingen de niet strikt functionele cookies zijn uitgevinkt, de browser na een bezoek aan de site aangeeft dat er toch 6 cookies zijn geïnstalleerd. Na verificatie tijdens de procedure stelt de Geschillenkamer vast dat dit niet of niet langer het geval is. IV.2. Wat de website sos-avocats.com betreft 49. De klager stelt dat deze website op soortgelijke wijze is opgebouwd als de website sosservices.be en uit een soortgelijke kritiek als op de website sos-services.be. 50. De klager begint met erop te wijzen dat sos-avocats.com impliceert geassocieerd te zijn met de vermelde advocaten (" SOS-Avocats en zijn team van ervaren strafrechtdeskundigen ..."). Hij wijst erop dat 150 advocaten van zijn Orde worden genoemd, met dezelfde persoonsgegevens Beslissing ten gronde 842022 - 10/26 als die op de website sos-services.be (voor- en achternaam, adres, telefoonnummer, e-mail, specialisatiegebied), en stelt de aanwezigheid van valse getuigenissen aan de kaak. 51. Hij verklaart tevens dat deze verwerkingen worden verricht zonder rechtsgrondslag en zonder dat de betrokken advocaten daarvan in kennis worden gesteld. Bovendien wordt het juistheidsbeginsel geschonden, aangezien veel persoonsgegevens onjuist zijn. 52. De klager wijst ook op het privacy-handvest dat, hoewel het op deze website bestaat, tekortkomingen zou vertonen. 53. Hij wijst er ook op dat geen toestemming wordt gevraagd voor cookies die voor statistische doeleinden worden geplaatst, en merkt op dat er geen lijst van cookies is. 54. De klager stelt een schending vast van de artikelen 5.1, a), b), c),

  1. d)en
  2. e)en 6.1, 13 en 14 van de AVG en 129 van de wet op de elektronische communicatie van 13 juni 2005 (WEC). V. Standpunt van de Geschillenkamer 55. De analyse van de Geschillenkamer is van toepassing op beide websites, aangezien de verwerkingen vergelijkbaar zijn (zelfs identiek). In gevallen waarin een onderscheid moet worden gemaakt, geeft de Geschillenkamer dit uitdrukkelijk aan. De argumenten van verweerder zijn in dit onderzoek opgenomen. 56. Het gaat om de volgende onderzochte bepalingen: • • • • • • art 5.1 en 6 AVG wegens ontbreken van een rechtsgrondslag voor de verwerking betreffende de advocaten op de lijst, met als doel de publicatie van deze gegevens op de betwiste websites ; art 13 AVG (betreffende het verzamelen van persoonsgegevens van betrokkenen) wegens het niet beschikbaar of onvolledig zijn van het privacydocument en het beide websites inzamelpunten bevatten waar persoonsgegevens worden verzameld (contactformulier en cookies) ; art 13 AVG (betreffende het verzamelen van persoonsgegevens van betrokkenen) wegens het niet beschikbaar of onvolledig zijn van het privacydocument en het beide websites punten bevatten waar persoonsgegevens worden verzameld (contactformulier en cookies) ; art 5.1.a AVG (beginselen van eerlijkheid en transparantie) omdat de verwerkingen worden uitgevoerd zonder de betrokkenen te informeren, zonder rechtsgrondslag, en met betrekking tot persoonsgegevens waarvan de betrokkenen niet weten waar en hoe ze zijn verzameld ; art 5.1.d AVG (juistheidsbeginsel), aangezien veel persoonsgegevens onjuist zijn ; art 5.1.b AVG (doelbindingsbeginsel) wegens het ontbreken van de vermelding van de doeleinden van de verwerking. 57. De Geschillenkamer merkt om te beginnen op dat verweerder stelt dat hij momenteel enkel de website sos-services.be exploiteert en niet langer sos-avocats.com, omdat deze domeinnaam Beslissing ten gronde 842022 - 11/26 werd overgedragen aan klager na de indiening van een klacht door laatstgenoemde op 24 maart 2020 bij het Arbitragecentrum voor internetgeschillen. 58. Met betrekking tot de website sos-avocats.com, onthoudt de verweerder zich van commentaar op de beschuldigingen van de klager (schending van artikel 5.1.a), b), c),
  3. d)en
  4. e)en 6.1, 13 en 14 van de AVG en 129 van de WEC), met de verklaring dat deze domeinnaam niet langer wordt beheerd door de verweerder sinds de overdracht aan de klager. V.1. Wat het legaliteitsbeginsel betreft (artikelen 5.1.a en 6 AVG) 59. Het legaliteitsbeginsel (artikel 5.1.
  5. a)van de AVG) vereist dat de verwerkingsverantwoordelijke zich voor de gehele duur van de verwerking kan beroepen op een van de in artikel 6 van de AVG genoemde rechtsgrondslagen. In dit verband herinnert de Geschillenkamer er tevens aan dat het aan de verwerkingsverantwoordelijke is om een rechtsgrondslag voor zijn verwerking aan te geven7. Dit vereiste maakt ook deel uit van de beginselen van eerlijkheid en transparantie die hij moet toepassen (artikel 5.1.
  6. a)van de AVG)- Aangezien uit de ene of de andere rechtsgrondslag verschillende gevolgen voortvloeien, met name wat de rechten van de betrokkenen betreft, is het niet toegestaan dat de verwerkingsverantwoordelijke zich, afhankelijk van de omstandigheden, op de ene of de andere beroept. V.1.1. Contractuele noodzaak (artikel 6.1.
  7. b)van de AVG) 60. Verweerder deelt in zijn conclusies in de eerste plaats mee dat de doeleinden van de verwerkingsverantwoordelijke «in de eerste plaats verband houden met de contractuele uitvoering, namelijk de aanwezigheid in de gids en dus een betere zichtbaarheid in zoekmachines». De Geschillenkamer merkte op dat er geen bewijs was dat de advocaten die op de betrokken websites vermeld staan een contractuele relatie met verweerder hadden met het oog op de verbetering van hun zichtbaarheid in zoekmachines. Artikel 6.1.b. van de AVG kan derhalve niet worden aanvaard als de rechtsgrondslag van de verwerking door verweerder. V.1.2. Toestemming (artikel 6.1.a van de AVG) 61. Vervolgens stelt verweerder in zijn conclusie dat de "marketingcommunicatie" de toestemming van de betrokken personen zou hebben gekregen. De Geschillenkamer blijft in het ongewisse over de precieze betekenis van de term "marketingcommunicatie". Voor het geval verweerder in deze bewoordingen verwijst naar de betwiste verwerking van persoonsgegevens zoals hierboven beschreven - de vermelding van de betrokken advocaten op de twee websites 7 Zie beslissing 47/2022 van 4 april 2022, § 113 en beslissing 48/2022 van 4 april 2022, §§ 125 en 219. Beslissing ten gronde 842022 - 12/26 herinnert de Geschillenkamer eraan dat verweerder, in zijn hoedanigheid van verantwoordelijke voor de verwerking, het bewijs moet leveren van de toestemming waarop hij de verrichte verwerking stelt te baseren (artikel 24 van de AVG). De Geschillenkamer stelt echter vast dat dergelijke bewijzen voor de overgrote meerderheid van de advocaten op de lijst ontbreken. Verweerder legt slechts documenten over waaruit de instemming van twee van de opgesomde advocaten blijkt. Hij voert in de eerste plaats een e-mail van 08 april 2020 van het secretariaat van W aan, waarin wordt aangegeven dat het adres van het kantoor van de advocaat moet worden gewijzigd. Wat deze e-mail betreft, merkt de Geschillenkamer op dat de geldigheid van de toestemming onzeker blijft, aangezien deze niet geïnformeerd is, gezien het gebrek aan informatie over de uitgevoerde verwerkingen. In de tweede plaats voert verweerder ook een e-mail van de heer V. aan. Na onderzoek heeft de Geschillenkamer echter vastgesteld dat het betrokken document niet is gedateerd en dat het uit de context is gehaald, zodat de geldigheid van de beweerde toestemming niet kan worden geverifieerd. 62. Voorts merkt de Geschillenkamer op dat verweerder in zijn conclusies verklaart (de Autoriteit vertaalt): «De persoonsgegevens van de advocaten waarvoor verweerder geen bewijs van toestemming had voor het vermelden van hun persoonsgegevens, met inbegrip van contactgegevens, zijn volledig uit de databanken van verweerder gewist». Dit komt neer op een impliciete erkenning door verweerder dat hij zich (althans voor een aantal advocaten) niet op toestemming kon verlaten om zijn rechtmatigheidsverplichting na te komen. Verweerder heeft tijdens de hoorzitting van 28 maart 2022 ook uitgelegd dat hij een stagiair die hij in 2016 in dienst had genomen, had gevraagd om de lijst van advocaten en hun persoonsgegevens die op de website van de balie van Brussel beschikbaar waren, over te nemen, zonder enig contact met of voorafgaand verzoek om toestemming van de betrokken advocaten. Verweerder heeft ook uitdrukkelijk toegegeven dat hij niet de toestemming heeft van een aantal advocaten 8. 63. Gelet op de bovenstaande feiten concludeert de Geschillenkamer dat toestemming geen geldige rechtsgrondslag is voor de verwerkingen die de verweerder verrichtte. V.1.1. Gerechtvaardigd belang (artikel 6.1.f AVG) 64. Verweerder verklaart ook dat sommige verwerkingen zonder twijfel zijn gebaseerd op het gerechtvaardigde belang, hetzij van de betrokkene, die bijvoorbeeld opnieuw wenst te worden gecontacteerd, hetzij van verweerder. Deze verklaring getuigt van een misverstand ten aanzien van het legaliteitsbeginsel en het begrip gerechtvaardigd belang als bedoeld in artikel 6.1.
  8. f)van de AVG, waarin, ter herinnering, het volgende staat : 8 Zie PV hoorzitting van 28 maart 2022, blz. 5-6. Beslissing ten gronde 842022 - 13/26 «de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, , behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.» (wij onderstrepen). 65. Het druist in tegen alle logica van de AVG dat de verwerkingsverantwoordelijke zich beroept op het gerechtvaardigde belang van de betrokkene als grondslag voor zijn eigen verwerking. Overigens kan de Geschillenkamer het argument van verweerder slechts verwerpen dat de toestemming van een van de advocaten voor de verrichte - Me V - verwerkingen een aanwijzing vormt voor het belang van de betrokken advocaten om op de lijst te worden geplaatst. De Geschillenkamer merkt op dat verweerder de rechtsgrondslag van gerechtvaardigd belang lijkt te verwarren met die van toestemming. Dit argument is hoe dan ook ongegrond, aangezien verweerder geen enkel bewijs aanvoert om de geldigheid van de vermeende toestemming van de vermelde advocaten te verifiëren (zie punt 61 et 62). 66. Bovendien, zelfs indien verweerder zich als verwerkingsverantwoordelijke op gerechtvaardigde wijze op zijn (eigen) gerechtvaardigd belang zou kunnen beroepen, zouden de fundamentele rechten en vrijheden van de betrokken advocaten, die zich duidelijk tegen de betrokken verwerkingen verzetten, in het voordeel van deze laatsten doorwegen. 67. Volgens artikel 6.1.f), van de AVG en de rechtspraak van het Hof van Justitie van de Europese Unie (hierna " het Hof ") moet aan drie cumulatieve voorwaarden zijn voldaan opdat een verwerkingsverantwoordelijke zich geldig op deze rechtmatigheidsgrondslag kan beroepen 9. Het betreft, «(...) “in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(
  9. n)aan wie de gegevens worden verstrekt (doeltoets), in de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang (noodzakelijkheidstoets), en, in de derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren (afwegingstoets) ») ». 68. Teneinde zich conform artikel 6.1.
  10. f)van de AVG te kunnen beroepen op de rechtsgrond van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te tonen dat:
  11. a)de belangen die hij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); 9 Zie met name Hof van Justitie van de Europese Unie (HvJ-EU), arrest van 11 november 2019 (C - 708/18) TK t. Asociatia de Porpietari bloc MA-ScaraA, uitsproken en aanzien van artikel 7
  12. f)van de richtlijn 95/46/EG. Beslissing ten gronde 842022 - 14/26
  13. b)de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en
  14. c)de afweging van deze belangen ten opzichte van de belangen, de grondrechten en de fundamentele vrijheden van de betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”). 69. De Geschillenkamer is van mening dat de verwerkingsverantwoordelijke in het kader van de uitoefening van zijn commerciële activiteiten aan de eerste voorwaarde a priori heeft voldaan. 70. Ook aan de tweede voorwaarde lijkt te zijn voldaan, aangezien de naam, voornaam, beschrijving van de werkterreinen van de betrokken advocaten en hun website noodzakelijk zijn om de gebruikers van de website in staat te stellen contact met hen op te nemen. 71. Aan de derde voorwaarde is echter niet voldaan. De betrokken advocaten zijn immers op de twee omstreden websites vermeld zonder dat zij daarvan op de hoogte zijn (in strijd met de artikelen 13 tot en met 14 van de AVG, zoals hierna wordt aangegeven) en dus zonder dat zij de betrokken verwerking konden verwachten. Bovendien bevatten de betrokken websites onjuiste en valse informatie (met name over de specialisatiegebieden van de betrokken advocaten, de huidige stand van hun inschrijving bij de balie, en getuigenissen die niet door de betrokken advocaten zijn geschreven), waardoor de reputatie van de vermelde advocaten kan worden geschaad. Ten minste om deze redenen weegt de afweging tussen de belangen, vrijheden en grondrechten van de betrokken personen en de verweerder duidelijk in het voordeel van de betrokken advocaten. 72. Aangezien niet aan de drie cumulatieve voorwaarden is voldaan, kan verweerder zich niet op geldige wijze beroepen op de rechtsgrondslag van het gerechtvaardigd belang als rechtsgrondslag van de verwerking. 73. Voor zover verweerder niet aannemelijk maakt dat hij zich voor zijn verwerkingen op een van de rechtsgronden van artikel 6 van de AVG kan beroepen, stelt de Geschillenkamer de schending vast van de artikelen 5.1.a en 6 van de AVG. V.2. Betreffende de informatieplicht (artikelen 13 en 14 van de AVG) 74. Op grond van de artikelen 13 en 14 van de AVG moet elke persoon wiens persoonsgegevens worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij hem of bij derden worden verzameld, op de hoogte worden gesteld van de in die artikelen genoemde elementen. Wanneer de gegevens rechtstreeks bij de betrokkene worden verzameld, wordt deze op de hoogte gebracht van de elementen opgesomd in artikel 13.1 en 2 van de AVG. 75. In artikel 14.1 en 2, worden soortgelijke elementen opgesomd, met dien verstande dat artikel 14 van de AVG betrekking heeft op gegevens die niet rechtstreeks bij de betrokkene worden Beslissing ten gronde 842022 - 15/26 verzameld, maar bij derden. Deze informatie moet op grond van artikel 13 of artikel 14 van de AVG aan de betrokkene worden verstrekt op de wijze als bepaald in artikel 12 van de AVG. 76. De Geschillenkamer herinnert eraan dat een essentieel aspect van het transparantiebeginsel, zoals benadrukt in de artikelen 12, 13 en 14 van de AVG, is dat de betrokkene van tevoren moet kunnen bepalen wat de reikwijdte en de gevolgen van de verwerking zijn, om in een later stadium niet verrast te zijn over de manier waarop zijn persoonsgegevens zijn gebruikt. De informatie moet concreet en betrouwbaar zijn, niet op abstracte of dubbelzinnige wijze worden geformuleerd en niet vatbaar zijn voor verschillende interpretaties. Meer in het bijzonder moeten de doeleinden en de rechtsgronden van de verwerking van persoonsgegevens duidelijk zijn. 77. Voorts is na de inwerkingtreding van de wet van 21 december 2021, waarvan artikel 173 voorziet in de intrekking van artikel 129 van de WEC en de overheveling van deze bepaling naar de WVP, in artikel 10/2 van de WVP ook voorzien in een informatieplicht (alsook in een verplichting om - behalve voor strikt essentiële cookies - voorafgaande toestemming te verkrijgen) voor gebruikers bij het plaatsen van cookies 10. 78. De Geschillenkamer merkt op dat de website sos-services.be inzamelpunten bevat voor het verzamelen van persoonsgegevens (cookies en er staat een contactformulier ter beschikking van de gebruikers). 79. Verweerder verklaart dat hij het privacybeleidsdocument heeft gewijzigd en een cookiebeleid heeft toegevoegd, waarmee hij lijkt te suggereren dat hij aan de vereisten van de AVG heeft voldaan. Hij betwist niet dat zij vóór deze wijzigingen in strijd met deze zelfde vereisten handelde. 80. De klager wees erop dat het privacybeleidsdocument en het cookiebeleid onvolledig en onduidelijk blijven. 81. De Geschillenkamer is het eens met de argumenten van de klager en komt tot de volgende bevindingen. • De identificatie van de verwerkingsverantwoordelijke is niet duidelijk 10 In toepassing van artikel 125, § 1, 1°, van de wet van 13 juni 2005 betreffende de elektronische communicatie en onverminderd de toepassing van de Verordening en deze wet is de opslag van informatie of het verkrijgen van toegang tot informatie die reeds is opgeslagen in de eindapparatuur van een abonnee of een gebruiker slechts toegestaan op voorwaarde dat:Artikel 10/52: 1° de betrokken abonnee of gebruiker, overeenkomstig de voorwaarden bepaald in de Verordening en in deze wet, duidelijke en precieze informatie krijgt over de doeleinden van de verwerking en zijn rechten op basis van de Verordening en van deze wet; 2° de abonnee of eindgebruiker zijn toestemming heeft gegeven na ingelicht te zijn overeenkomstig de bepaling onder 1°. Het eerste lid is niet van toepassing voor de technische opslag van informatie of de toegang tot informatie opgeslagen in de eindapparatuur van een abonnee of een eindgebruiker met als uitsluitend doel de verzending van een communicatie via een elektronische-communicatienetwerk uit te voeren of een uitdrukkelijk door de abonnee of eindgebruiker gevraagde dienst te leveren wanneer dit hiervoor strikt noodzakelijk is.” Beslissing ten gronde 842022 - 16/26 82. De identificatie van de VV is inderdaad niet duidelijk aangezien vier entiteiten ("Y Group sprl", "Z", "onze dienstverleners die uw gegevens namens ons verwerken", en vervolgens "...") worden genoemd in het deel van het privacybeleidsdocument dat betrekking heeft op de identificatie van de verwerkingsverantwoordelijke. 83. De Geschillenkamer merkt ook op dat verweerder tijdens de hoorzitting heeft toegegeven dat de vermelding "..." een vergissing is, hetgeen de vaststelling van de Geschillenkamer versterkt dat de verwerkingsverantwoordelijke in het privacybeleid van verweerder niet duidelijk is geïdentificeerd. • De lijst van doeleinden van de verwerking is onvolledig 84. De Geschillenkamer merkt op dat in het document inzake het privacybeleid niet wordt aangegeven voor welke doeleinden persoonsgegevens van de advocaten op de lijst (noch van de andere dienstverleners overigens) worden verwerkt. Dit vormt een inbreuk op artikel 5.1.
  15. b)van de AVG, aangezien dit artikel voorschrijft dat de doeleinden moeten worden vermeld. • De bewaartermijn van persoonsgegevens is onduidelijk en twijfelachtig 85. In dit verband merkt de Geschillenkamer op dat het privacybeleid nadat de verweerder de wijziging aanbracht (...) als volgt luidt (de Autoriteit vertaalt): " 9. Bewaartermijn voor reclamedoeleinden Wij bewaren uw verzamelde gegevens : voor contractuele doeleinden : zolang de contractuele relatie voortduurt ; voor boekhoudkundige doeleinden: gedurende een periode van 7 jaar na de inzameling; voor reclamedoeleinden :zolang u ons niet hebt meegedeeld dat u uw toestemming intrekt of bezwaar maakt tegen de verwerking van uw gegevens voor reclamedoeleinden; De gegevens van potentiële klanten worden gedurende 3 maanden bewaard." Vervolgens verschijnt onder het punt " 10- Wijziging van het doel " een punt : " 5.8 Verlengde bewaartermijn De aangegeven bewaartermijnen kunnen worden verlengd indien er in bepaalde gevallen, met name wanneer gegevens voor verschillende doeleinden worden verwerkt, een langere contractuele of wettelijke bewaarplicht geldt". 86. De Geschillenkamer betoogt dat deze laatste alinea onduidelijk is en de gebruiker van de website kan misleiden, aangezien de formulering van de verweerder de gebruikers niet in staat stelt te voorzien hoe lang de gegevens zullen worden bewaard. De bewaartermijn moet weliswaar voor elk doel van de verwerking worden aangegeven, maar verweerder geeft aan dat de bewaartermijnen kunnen worden verlengd, met name in het geval van gegevens die voor meerdere doeleinden worden verwerkt. De verweerder zou in dit geval echter kunnen aanvoeren dat er een ander doel is voor het bewaren van gegevens waarvoor de bewaartermijn Beslissing ten gronde 842022 - 17/26 is verstreken, zonder dat de betrokkene duidelijkheid kan worden verschaft over de bewaartermijn voor elk doel. • Er wordt geen melding gemaakt van de ontvangers of categorieën ontvangers van de verwerkte persoonsgegevens 87. Verweerder heeft in zijn conclusies echter niet beklemtoond dat naast de "gemeenschappelijke verwerkingsverantwoordelijke" geen persoonsgegevens aan derden zijn doorgegeven, "onverminderd de administratieve en boekhoudkundige dienstverleners en de aan cookies gekoppelde Google-diensten ". De Geschillenkamer merkt om te beginnen op dat de partijen die door verweerder zijn aangewezen als gezamenlijke verwerkingsverantwoordelijken, geen partij zijn in het geding. Zij merkt tevens op dat verweerder tijdens de hoorzitting van 28 maart 2022 heeft verklaard dat hij ervan uitging dat deze gegevens werden gebruikt voor factureringsdoeleinden, maar dat er nooit enige overdracht van persoonsgegevens heeft plaatsgevonden. Verweerder heeft tijdens de hoorzitting ook uitgelegd dat deze website in Gent (NV ..) wordt gehost en dat de gegevens niet buiten België worden gebracht. 88. Na onderzoek van de verschillende vermeldingen hierboven van het gewijzigde privacybeleidsdocument, stelt de Geschillenkamer vast dat de artikelen 13 en 14 van de AVG niet zijn nageleefd, met name wat betreft de identificatie van de verwerkingsverantwoordelijke, de vermelding van het doel van de verwerkingen of de bewaartermijn van persoonsgegevens. 89. De Geschillenkamer merkt ook op dat verweerder in zijn conclusies stelt dat: «de werking van de website vergezeld gaat van een aangepast privacybeleid en een cookiebeleid. Deze bijgewerkte elementen werden onmiddellijk aan alle betrokken personen toegezonden (...)». Dit element, tezamen met het verzuim van verweerder om zijn niet-naleving van de artikelen 13 en 14 AVG en van het vroegere artikel 129 WEC aan te vechten, kan erop wijzen dat verweerder erkent dat hij de vereiste informatie als bedoeld in deze artikelen, niet heeft verstrekt. 90. Gelet op de bovenstaande overwegingen komt de Geschillenkamer tot de conclusie dat verweerder, door het ontbreken van een document inzake een privacybeleid tot aan de wijziging van de website, in elk geval zijn informatieverplichtingen, en dus de artikelen 13 en 14 AVG en het vroegere artikel 129 WEC heeft geschonden. 91. De Geschillenkamer voegt daaraan toe dat de wijzigingen die de verweerder in de loop van de procedure heeft aangebracht (aanpassing van het privacydocument) om de uiteengezette redenen niet volstaan om te voldoen aan de artikelen 13 en 14 van de AVG. Zij stelt derhalve vast dat de schending van de artikelen 13 en 14 van de AVG voortduurt. 92. Wat het privacybeleidsdocument op de website sos-avocats.be betreft (een domeinnaam die inmiddels aan de klager is overgedragen), stelt de Geschillenkamer vast dat ten minste dezelfde tekortkomingen gelden als deze die zijn vastgesteld voor het privacybeleidsdocument op de website sos-services.be. Uit de door de klager ingediende Beslissing ten gronde 842022 - 18/26 documenten blijkt dat er geen melding wordt gemaakt van de identiteit van de verwerkingsverantwoordelijke, noch van de bewaartermijn van de persoonsgegevens, noch van de ontvangers (of categorieën ontvangers) van de gegevens. De doeleinden zijn ook onvolledig, in die zin dat niets wordt gezegd over de advocaten die op de lijst staan. Er is ook geen sprake van de mogelijkheid om een klacht in te dienen bij de GBA. De Geschillenkamer oordeelt derhalve dat verweerder de artikelen 13 en 14 van de AVG niet heeft nageleefd met betrekking tot de website avocats.be (tot aan de overdracht van de domeinnaam aan klager). V.3. Met betrekking tot de verplichting tot eerlijkheid en transparantie (artikel .5.1.
  16. a)van de AVG) 93. Het transparantiebeginsel vereist dat persoonsgegevens worden verwerkt op een "rechtmatige, eerlijke en transparante wijze ten aanzien van de betrokkene (rechtmatigheid, eerlijkheid, transparantie) . 94. De Geschillenkamer benadrukt het belang van de naleving van de transparantieverplichtingen door de verwerkingsverantwoordelijke gelet op de gevolgen hiervan voor de uitoefening van de rechten van de betrokkenen vervat in de artikelen 15 tot en met 22 AVG, zoals geïllustreerd door de rechtspraak van het Hof van Justitie 11. 95. Zoals klager opmerkt, hebben de betwiste verwerkingen geen rechtsgrondslag, worden de betrokkenen (de advocaten op de lijst) niet geïnformeerd, wordt niet aangegeven welke doeleinden worden nagestreefd, en gaat het om gegevens waarvan de betrokkenen niet weten waar of hoe zij zijn verzameld. Dit is dus een oneerlijke verwerking, die in strijd is met artikel 5.1.
  17. a)van de AVG. V.4. Betreffende de doelbinding (artikel 5.1.
  18. b)AVG) en de informatieplicht (artikelen 13 en 14 van de AVG) 96. De Geschillenkamer merkt op dat het document inzake het privacybeleid niet vermeldt voor welke doeleinden de persoonsgegevens betreffende de in de lijst opgenomen advocaten, of zelfs andere dienstverleners, worden verwerkt, hetgeen in strijd is met artikel 5.1.
  19. b)en met de artikelen 13 en 14 van de AVG. V.5. Wat de juistheidsverplichting betreft (artikel 5.1.
  20. d)van de AVG) 97. Artikel 5.1.
  21. d)van de AVG bepaalt dat de persoonsgegevens juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens 11 Hof van Justitie van de Europese Unie van 1 oktober 2015 (BARA, C -201/1, § 30 e.v. Beslissing ten gronde 842022 - 19/26 die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (juistheid). 98. Klager verklaart dat veel van de persoonsgegevens van de vermelde advocaten onjuist zijn, niet zijn bijgewerkt, of eenvoudigweg zijn verzonnen (getuigenissen die in de eerste persoon enkelvoud zijn geschreven impliceren dat zij door de vermelde advocaten zijn geschreven, terwijl klager verklaart dat hij niet eens op de hoogte is gebracht van het feit dat hij op de website sos-services.be is vermeld (of voor de website sos-avocats.com). 99. De Geschillenkamer concludeert dat de door verweerder verwerkte gegevens onjuist zijn en dat hij niet alle redelijke maatregelen heeft genomen om de juistheid van de persoonsgegevens van de advocaten op de lijst te waarborgen, en stelt derhalve een schending vast van artikel 5.1.d van de AVG. VI. Over de corrigerende maatregelen en straffen 100. De Geschillenkamer heeft een schending vastgesteld van de artikelen 5 1. a), b),
  22. d)en 6.1, 13 en 14 AVG, alsmede het vroegere artikel 129 WEC gelezen in combinatie met de artikelen 13 en 14 AVG (voor verwerkingen vóór de inwerkingtreding van de wet van 21 december 2021). 101. De corrigerende maatregelen en sancties die de Geschillenkamer kan opleggen, zijn vastgesteld in artikel 83 van de AVG en de artikelen 100, 13° en 101 van de WOG. 102. Het is van belang de schendingen van deze artikelen in hun context te plaatsen om de meest geschikte corrigerende maatregelen vast te stellen. 103. In dit verband zal de Geschillenkamer rekening houden met alle omstandigheden van de zaak, met inbegrip - binnen de hierna gepreciseerde grenzen - van de reactie van de verweerder op het voorgestelde bedrag van de geldboete dat hem is meegedeeld (zie procedurele voorgeschiedenis). In dit verband wijst de Geschillenkamer erop dat het genoemde formulier uitdrukkelijk vermeldt dat het geen heropening van de debatten inhoudt. Het enige doel ervan is het verkrijgen van de reactie van de verweerder op het bedrag van de voorgestelde geldboete. 104. De Geschillenkamer merkt op dat klager haar onder meer verzoekt : a- te verklaren dat verweerder de in de klacht gestelde schendingen niet betwist; b - vast te stellen dat de verwerking van persoonsgegevens van de advocaten van de Orde van klager via de websites https://sos-services.be en https://sos-avocats.com/ een schending vormde van artikel 5.1.a), b), c),
  23. d)en e), en artikel 6.1, en de artikelen 13 en 14 van de AVG juncto artikel 129 van de WEC, en dat sommige van deze schendingen nog steeds voortduren; Beslissing ten gronde 842022 - 20/26 c- elke huidige en toekomstige verwerking van persoonsgegevens van advocaten die lid zijn van de O.B.F.G. op de website https://sos-services.be definitief te verbieden; d- te gelasten dat (
  24. i)alle persoonsgegevens betreffende de advocaten waarover de O.B.F.G. beschikt, definitief worden vernietigd en (
  25. ii)dat aan de O.B.F.G. een schriftelijke bevestiging van deze vernietiging wordt toegezonden; e- de lijst te doen verstrekken van de ontvangers (met inbegrip van de verwerkers) aan wie de persoonsgegevens van de in de O.B.F.G. bedoelde advocaten zijn meegedeeld, of schriftelijk te bevestigen dat een dergelijke overdracht niet heeft plaatsgevonden; f- vast te stellen dat de domeinnaam sos-services.be wordt gebruikt in strijd met de fundamentele beginselen van de bescherming van de persoonlijke levenssfeer en DNS Belgium - overeenkomstig het Samenwerkingsprotocol van 26 november 2020 - en te verzoeken de website te schrappen die aan deze domeinnaam is gekoppeld. g- een administratieve boete op te leggen 105. De Geschillenkamer verduidelijkt dat het haar soevereine verantwoordelijkheid is als onafhankelijke administratieve autoriteit - met inachtneming van de relevante artikelen van de AVG en van de WOG - om de passende corrigerende maatregel(
  26. en)en sanctie(
  27. s)te bepalen. 106. Het is dus niet aan de klager om de Geschillenkamer te verzoeken een bepaalde corrigerende maatregel of sanctie op te leggen. Indien ondanks het voorgaande de klager de Geschillenkamer toch verzoekt een of andere maatregel en/of sanctie op te leggen, is het dus niet aan de Geschillenkamer om te motiveren waarom zij een van de verzoeken van de klager niet zou inwilligen. Deze overwegingen laten de verplichting van de Geschillenkamer onverlet om de keuze te motiveren van de maatregelen en sancties die zij -uit de lijst van maatregelen en sancties die haar op grond van artikel 58 van de AVG en artikel 100 en 100 van de WOG ter beschikking staan - passend acht om de partij waartegen de klacht is gericht te veroordelen. 107. De Geschillenkamer merkt op dat de klager ook de oplegging van een administratieve geldboete vordert, en benadrukt dat het haar verantwoordelijkheid is om te zorgen voor de daadwerkelijke toepassing van de AVG-regels. Andere maatregelen, zoals bijvoorbeeld een nalevingsbevel of een verbod om bepaalde verwerkingen te blijven uitvoeren, kunnen worden gebruikt om een einde te maken aan een vastgestelde schending. Zoals blijkt uit overweging 148 van de AVG worden in geval van ernstige inbreuken sancties opgelegd, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen. Daarom kan een administratieve boete zeker worden gebruikt om een ernstige inbreuk te sanctionneren die tijdens de procedure is verholpen of die op het punt staat te worden verholpen. De Geschillenkamer zal bij het vaststellen van het bedrag van de geldboete evenwel rekening houden met de maatregelen die zijn getroffen naar aanleiding van het incident. Beslissing ten gronde 842022 - 21/26 108. De Geschillenkamer neemt tevens nota van het feit dat verweerder in de loop van de onderhavige procedure wijzigingen heeft aangebracht aan de website sos-services.be (aanpassing van het document inzake het privacybeleid en toevoeging van een cookies handvest). Zij neemt tevens nota van het feit dat verweerder ter hoorzitting van 28 maart 2022 te kennen heeft gegeven dat hij had getracht zich in de onderhavige procedure door een advocaat te laten vertegenwoordigen, doch zonder succes, aangezien de advocaten met wie contact was opgenomen, een risico van belangenconflict opwierpen als gevolg van hun lidmaatschap van de OBFG. 109. De Geschillenkamer merkt tevens op dat verweerder tijdens de hoorzitting heeft verklaard dat hij bij het opstellen van het document inzake het privacybeleid en het cookie-handvest, althans voor de website sos-services.be, door een advocaat werd bijgestaan. De verweerder heeft dit ook bewezen door na de hoorzitting een e-mail te sturen naar de Geschillenkamer, zonder een kopie te sturen naar de klager om het verzoek om anonimiteit van de geraadpleegde advocaat te beschermen, met de uitdrukkelijke toestemming van de raadsman van de klager. Bij analyse van de stukken stelt de Geschillenkamer vast dat verweerder een model van een document inzake een privacybeleid en een cookies handvest van een commerciële site ter goedkeuring aan de geraadpleegde advocaat lijkt te hebben voorgelegd. Deze gaf aan dat de overgelegde modellen conform leken te zijn, maar stelde bepaalde wijzigingen voor, die verweerder ten dele heeft gevolgd. 110. Hoewel zij deze inspanningen erkent, is de Geschillenkamer van oordeel dat zij niet volstaan omdat er nog steeds talrijke tekortkomingen bestaan, met name in het privacybeleidsdocument, en dat verweerder verdere maatregelen moet nemen om te voldoen aan zijn verplichtingen krachtens de AVG. Daarom legt de Geschillenkamer een nalevingsbevel op om te voldoen aan de beginselen van rechtmatigheid, informatie, eerlijkheid en transparantie, en juistheid. 111. Naast de corrigerende maatregel om de verwerking in overeenstemming te brengen met artikel 5.1.a),
  28. b)en d), en artikel 6.1, en de artikelen 13 en 14 van de AVG, beslist de Geschillenkamer ook tot het opleggen van een administratieve geldboete. Zoals duidelijk blijkt uit overweging 148 , stelt de AVG immers voorop dat bij elke ernstige inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd. 12 De Geschillenkamer toont 12 Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve Beslissing ten gronde 842022 - 22/26 hierna aan dat de door verweerder gepleegde schendingen van de artikelen 5.1, a), b),
  29. d)en 6.1, 13 en 14 van de AVG geenszins onbeduidende schendingen zijn en dat de geldboete geen onevenredige last voor een natuurlijke persoon zou vormen in de zin van overweging 148 van de AVG, die allebei de kwijtschelding van een geldboete mogelijk zouden maken. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. 112. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2.
  30. i)van de AVG. Het instrument van de administratieve boete is niet bedoeld om overtredingen een halt toe te roepen, maar om de regels van de AVG daadwerkelijk te doen naleven. Daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, §1, 8° en 9° van de WOG. 113. Rekening houdend met artikel 83 van de AVG en de rechtspraak 13 van het Marktenhof, motiveert de Geschillenkamer het opleggen van een administratieve sanctie in concreto: - De ernst van de inbreuk: Dit is een schending van verschillende grondbeginselen van de AVG, namelijk het beginsel van rechtmatigheid, eerlijkheid, transparantie, informatieplicht en juistheid. Deze beginselen vormen de kern van de AVG en de grondrechten, waardoor inbreuken het overeenkomstige ernstige karakter krijgen. Verweerder is ook een onderneming die als hoofdactiviteit persoonsgegevens verwerkt. - De duur van de inbreuk : De omstreden verwerking vond plaats sinds 2016, althans voor de website sos-services.be, zoals de verweerder tijdens de hoorzitting heeft aangegeven. De klager nam verder op 27 september 2019 contact op met de verweerder om zijn aandacht te vestigen op de inbreuken en hem te gelasten de AVG na te leven, zonder enige reactie van de verweerder. - Opzettelijk karakter van de inbreuk: Met betrekking tot de vraag of de inbreuken al dan niet opzettelijk (niet door nalatigheid) zijn gepleegd (artikel 83.2.
  31. b)van de AVG), herinnert de Geschillenkamer eraan dat "niet opzettelijk" betekent dat het niet de bedoeling was de inbreuk te plegen, hoewel de verwerkingsverantwoordelijke niet had voldaan aan de zorgvuldigheidsplicht die krachtens de wetgeving op hem rustte. In deze zaak is de Geschillenkamer van oordeel dat het uitblijven van een reactie van verweerder op de brief van klager van 27 september 2019, waarin hij hem op de hoogte heeft gesteld van zijn inbreuken op de AVG en hem heeft geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. (De Geschillenkamer onderlijnt) 13 Hof van Beroep Brussel (sectie Marktenhof), Verreydt N.V. t. GBA, Arrest 2020/1471 van 19 februari 2020. Beslissing ten gronde 842022 - 23/26 gelast deze na te leven, samen met het uitblijven van wijzigingen op de website sosservices.be tot die welke tijdens de onderhavige procedure zijn aangebracht, wijzen op een opzettelijke bedoeling van verweerder om de AVG te schenden. 114. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende, evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met de daarin bepaalde beoordelingscriteria. 115. De Geschillenkamer stelt vast dat de andere criteria van artikel 83.2 van de AVG niet relevant zijn en geen invloed kunnen hebben op haar beslissing om een administratieve geldboete op te leggen of op het bedrag ervan. 116. Volgens artikel 83.5.
  32. a)van de AVG kunnen inbreuken op de hierboven vastgestelde bepalingen oplopen tot 20 000 000 EUR of, in het geval van een onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar. De maximumbedragen van de boetes die voor inbreuken op deze bepalingen kunnen worden opgelegd, zijn hoger dan die welke voor andere soorten overtredingen in artikel 83.4 van de AVG zijn opgesomd. Aangezien het gaat om schendingen van een grondrecht, neergelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie, zal de beoordeling van de ernst ervan, zoals de Geschillenkamer reeds eerder heeft onderstreept, ter ondersteuning van artikel 83.2.a), van de AVG, op autonome wijze gebeuren. 117. De Geschillenkamer herinnert aan het bepaalde in artikel 83.4. van de AVG, dat de inbreuken waarvoor de geldboeten tot 10 000 000 EUR kunnen oplopen of, in het geval van een onderneming, tot 2% van de jaarlijkse wereldwijde omzet van het voorgaande boekjaar. 118. In dit geval heeft de Geschillenkamer, zoals hierboven aangegeven, een schending vastgesteld van het beginsel van rechtmatigheid, eerlijkheid en transparantie (art. 5.1.a en 6 AVG), alsook van de verplichting om informatie te verstrekken (art. 13 en 14 AVG), van de doelbinding (art. 5.1.b AVG) en juistheid (art. 5.1.d AVG) Het maximumbedrag van de geldboete in dit geval, zoals bepaald in artikel 83.5 is derhalve 20.000.000 EUR. 119. De Geschillenkamer deelt de verweerder tevens mee dat dezelfde bepalingen mogelijkerwijs worden geschonden met betrekking tot persoonsgegevens betreffende andere opgesomde beroepen (zie bijvoorbeeld artsen, zelfstandigen, enz.). 120. Concluderend, in het licht van de hierboven ontwikkelde elementen die specifiek zijn voor deze zaak, is de Geschillenkamer van oordeel dat de bovengenoemde schendingen rechtvaardigen dat als doeltreffende, evenredige en afschrikkende sanctie zoals bepaald in artikel 83 van de AVG en rekening houdend met de in artikel 83.2 van de AVG opgesomde beoordelingsfactoren en de reactie van de verweerder op de voorgestelde geldboete, een nalevingsbevel, vergezeld van een administratieve geldboete van 5000 EUR (artikel 100.1, 13° en 101 WOG) aan de verweerder worden opgelegd. Beslissing ten gronde 842022 - 24/26 121. Het bedrag van 5000 EUR is, gelet op deze elementen, evenredig met de aan de kaak gestelde schendingen. Dit bedrag ligt bovendien ver onder het maximumbedrag van 20 000 000 EUR waarin artikel 83.5 van de AVG voorziet. 122. Dit bedrag is gerechtvaardigd om de hierboven uiteengezette redenen, waaronder het feit dat de klager reeds op 27 september 2019 contact had opgenomen met de verweerder om zijn aandacht te vestigen op de vermeende inbreuken en hem te gelasten de AVG na te leven, alsook de langere periode waarin de verwerking plaatsvond (sinds 2016). Zoals hierboven vermeld, voldoen de wijzigingen die de verweerder in de loop van de onderhavige procedure aanbracht niet aan de vereisten van de AVG. 123. De Geschillenkamer heeft ook rekening gehouden met de geringe omvang van de verwerende onderneming, hetgeen het beperkte bedrag van de geldboete rechtvaardigt, ondanks de aard en de ernst van de vastgestelde inbreuken. 124. De Geschillenkamer is van mening dat een lagere geldboete in het onderhavige geval niet zou beantwoorden aan de in artikel 83.1. van de AVG vereiste criteria, volgens welke de administratieve geldboete niet alleen evenredig, maar ook doeltreffend en afschrikkend moet zijn. Deze elementen vormen een specificatie van de algemene verplichting van de lidstaten uit hoofde van het recht van de Europese Unie, gebaseerd op het beginsel van loyale samenwerking (artikel 4.3 van het Verdrag betreffende de Europese Unie). VII.Publicatie van de beslissing 125. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer wordt deze beslissing gepubliceerd op de website van de GBA. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de verzoekende partij rechtstreeks worden bekendgemaakt. De gegevens van de klager worden op zijn verzoek niet anoniem gemaakt. Beslissing ten gronde 842022 - 25/26 OM DIE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging: - Krachtens artikel 100, § 1, 8° van de WOG de verweerder te gelasten elke verwerking van de persoonsgegevens van de advocaten van de klager op de website https://sos-services.be onmiddellijk op te schorten; Krachtens artikel 100, § 1, 5° van de WOG, verweerder te waarschuwen dat het voor een eventuele toekomstige verwerking van persoonsgegevens van de advocaten van de Orde van de klager hij de artikelen 5.1.a), b),
  33. d)en
  34. e)en 6.1, 13 en 14 van de AVG in acht moet nemen; - Krachtens artikel 100, § 1, 9° van de WOG, de lijst van ontvangers (met inbegrip van verwerkers) door te geven aan wie persoonsgegevens van de advocaten van de Orde van de klager zijn doorgegeven, of schriftelijk te bevestigen dat een dergelijke doorgifte niet heeft plaatsgevonden ; - Krachtens artikel 100, § 1, 9°, van de WOG, verweerder te gelasten om binnen een termijn van drie maanden vanaf de betekening van de onderhavige beslissing een volledig ontwerp van herziening van het privacybeleid van sos-services.be aan de Geschillenkamer voor te leggen, overeenkomstig de hierboven genoemde bepalingen; - Krachtens artikel 100, § 1, 10° van de WOG te gelasten (
  35. i)dat alle persoonsgegevens betreffende de advocaten van de Orde van de klager die in strijd met de voormelde bepalingen van de AVG zijn verwerkt, definitief worden vernietigd en (
  36. ii)dat een schriftelijke bevestiging van deze vernietiging aan de Geschillenkamer wordt toegezonden; - Krachtens artikel 83 van de AVG en de artikelen 100, 13° en 101 van de WOG, de verweerder een administratieve geldboete van 5000 EUR op te leggen wegens schending van bovengenoemde artikelen. Beslissing ten gronde 842022 - 26/26 Tegen deze beslissing kan op grond van artikel 108, §1, van de WOG, beroep worden aangetekend bij het Marktenhof, binnen een termijn van dertig dagen vanaf de datum van kennisgeving, met de Gegevensbeschermingsautoriteit als verweerder. (get.) Hielke Hijmans Voorzitter van de Geschillenkamer

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.