1/9 Geschillenkamer Beslissing ten gronde 86/2024 van 27 mei 2024 Dossiernummer : DOS-2019-04539 Betreft: klacht over een onbevredigend antwoord op een verzoek om inzage en het ontbreken van voldoende informatie De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Romain Robert en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna -"AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken in het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Y, vertegenwoordigd door meesters Marc Uyttendaele, Patricia Minsier en Hélène Debaty, hierna "de verweerder" Beslissing ten gronde 86/2024 — 2/9 I. Feiten en procedure 1. Op 8 september 2019 dient de klager bij de Gegevensbeschermingsautoriteit een verzoek tot bemiddeling in tegen de verweerder, dat op 24 december 2019 in een klacht wordt omgezet. 2. Het onderwerp van het verzoek is een onbevredigend antwoord op een verzoek om inzage en het ontbreken van voldoende informatie. 3. De klager is de moeder van een leerling die op de school van de verweerder had gezeten. 4. Op 1 juni 2019 oefent de klager zijn recht van inzage uit bij de verweerder en vraagt met name: de gegevens die de verweerder over de klager en haar dochter heeft; de doeleinden waarvoor deze gegevens worden verwerkt; en ten slotte de bewaartermijn van de gegevens. De verweerder vraagt ook, mochten er foto's van haar dochter van tijdens het schoolreisje op Facebook zijn of worden gepubliceerd, deze te verwijderen. 5. Op 2 juni 2019 antwoordt de verweerder met betrekking tot het verzoek om inzage dat dit verzoek onder de controle van een ad-hocpersoon valt en dat hij met betrekking tot het toezicht op de verwerking van persoonsgegevens naar die ene persoon moet verwijzen. Wat betreft het verzoek in verband met de foto's, antwoordt de verweerder dat aan het begin van het schooljaar een document over het "recht op afbeelding" aan de ouders was voorgelegd, waardoor ze zich voor het hele schooljaar hadden verbonden. 6. Op 26 augustus 2019 schrijft de klager aan de verweerder dat hij nog altijd op een antwoord wacht. Op dezelfde dag antwoordt de verweerder dat hij al op 2 juni 2019 heeft geantwoord. Ook diezelfde dag meldt de klager hem dat hij van plan is hierover contact op te nemen met de GBA. 7. Op 8 september 2019 dient de klager een verzoek tot bemiddeling in bij de GBA. 8. Op 3 oktober 2019 verklaart de Eerstelijnsdienst het verzoek tot bemiddeling ontvankelijk. 9. Op 24 december 2019 beslist de klager het verzoek tot bemiddeling om te zetten in een klacht. 10. Op 6 januari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG, en wordt de klacht op grond van artikel 62, § 1, van de WOG aan de Geschillenkamer overgemaakt. 11. Op 27 januari 2020 wordt overeenkomstig artikel 96, § 1, van de WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. Beslissing ten gronde 86/2024 — 3/9 12. Op 6 maart 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de Inspecteur-generaal overgemaakt aan de voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2, van de WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en concludeert: : A. De verweerder heeft de artikelen 12.1, 15.1 en 15.3 van de AVG geschonden, aangezien hij de klager niet alle in artikel 15.1 van de AVG genoemde informatie heeft verstrekt, noch een kopie van de verwerkte persoonsgegevens; B. De verweerder heeft de artikelen 12.1, 13 en 14 van de AVG geschonden, aangezien hij via de prefect van de betrokken school erkent dat de informatie over de verzamelde gegevens ontbreekt in de documenten die door de ouders moeten worden ingevuld en ondertekend, en ook niet op de website staat. 13. Op 1 september 2020 beslist de Geschillenkamer, op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG, dat het dossier gereed is voor behandeling ten gronde.. 14. Op dezelfde datum worden de betrokken partijen per aangetekend schrijven in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG op de hoogte gebracht van de termijnen om hun conclusies in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 13 oktober 2020, deze voor de conclusie van repliek van de klager op 3 november 2020, en deze voor de conclusie van repliek van de verweerder op 24 november 2020. 15. Eveneens op die datum stemt de verweerder ermee in om alle communicatie met betrekking tot de zaak elektronisch te ontvangen. Hij vraagt in dezelfde e-mail ook een kopie van het dossier (artikel 95, § 2, 3°, WOG), die hem op 4 september 2020 wordt toegezonden. 16. Op 4 september 2020 stemt de klager ermee in om alle communicatie met betrekking tot de zaak elektronisch te ontvangen. 17. Op 9 oktober 2020 vraagt de advocaat van de verweerder een kopie van het dossier (artikel 95, § 2, 3°, WOG), die hem wordt toegestuurd op 12 oktober 2020. 18. Op 13 oktober 2020 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder. Deze dient een syntheseconclusie in. Zijn argumenten worden in punt 20 hieronder samengevat. 19. Op 10 november 2020 bevestigt de klager dat hij geen conclusie van repliek heeft ingediend. 20. Op 23 november 2020 ontvangt de Geschillenkamer de syntheseconclusie van de verweerder. De syntheseconclusie kan als volgt worden samengevat: Beslissing ten gronde 86/2024 — 4/9 • Er werd wel degelijk een antwoord aan de klager gegeven, mondeling of telefonisch, maar de schriftelijke uitwisselingen bevatten slechts een onvolledig deel van de meegedeelde informatie; • Het door de verweerder nagestreefde doel van de gegevensverzameling leek hem altijd duidelijk, zodat hij het niet nodig achtte om verdere uitleg te geven; • De verweerder wijst erop dat hij, zonder het ontbreken van voorafgaande informatie over het verzamelen van medische gegevens te ontkennen, altijd heeft geantwoord op vragen van ouders van leerlingen over de opslag- en archiveringsperioden en de identiteit van de ontvangers van de gegevensoverdrachten; • Hij heeft nu - in de loop van deze procedure - een gegevensbeschermingsbeleid ingevoerd; • De wettelijk niet verplichte documenten, zoals de formulieren voor schoolexcursies, werden vernietigd aan het einde van het schooljaar 2018-2019, na het vertrek van de dochter van de klager uit de school van de verweerder; • De verweerder voegt een tabel bij die door haar organiserende instantie is opgesteld, die de verschillende op hem rustende verplichtingen inzake gegevensbewaring illustreert. • Ten slotte geeft de verweerder - voor het eerst sinds het eerste contact met de klager - een lijst met de gegevens betreffende de dochter van de klager waarover hij nog beschikt, en hun bewaartermijn. 21. Gezien de werkdruk van de Geschillenkamer heeft het langer geduurd dan voorzien om tot deze beslissing te komen. Gezien de feiten in deze zaak acht de Geschillenkamer het nog steeds passend om hierover uitspraak te doen. II. Motivering II.1. Wat betreft de schending van de artikelen 12.1, 15.1 en 15.3 van de AVG 22. Uit de stukken van het dossier blijkt dat de klager op 1 juni 2019 zijn recht van inzage heeft uitgeoefend. 23. Het recht van inzage bestaat uit drie componenten. Ten eerste, krachtens artikel 15.1 van de AVG, heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Ten tweede heeft de betrokkene, wanneer persoonsgegevens worden verwerkt, het recht om inzage te krijgen van deze persoonsgegevens en van een reeks inlichtingen die in artikel 15.1.
- a)–
- h)worden opgesomd. Ten derde, krachtens artikel 15.3 van de AVG heeft de betrokkene Beslissing ten gronde 86/2024 — 5/9 bovendien het recht om een kopie te verkrijgen van de persoonsgegevens die het voorwerp van de verwerking uitmaken. 24. Artikel 12.1 van de AVG preciseert dat de informatie die aan de betrokkene wordt verstrekt op grond van artikel 15.1 van die verordening, schriftelijk of met andere middelen, zoals elektronische middelen, kan worden meegedeeld. 25. Het Europees Comité voor gegevensbescherming (hierna "EDPB") heeft in zijn richtsnoeren verduidelijkt dat de informatie - of de kopie van de persoonsgegevens - die aan de betrokkene wordt verstrekt in het kader van artikel 15 van de AVG permanent en dus duurzaam in de tijd moet zijn1. 26. Artikel 12.1 van de AVG bepaalt ook dat de verwerkingsverantwoordelijke mondeling kan ingaan op de uitoefening van het recht van inzage door een betrokkene op de dubbele voorwaarde dat dit gebeurt op initiatief van de betrokkene en dat de identiteit van de betrokkene met andere middelen is bewezen. 27. Daarnaast preciseert artikel 5.2 van de AVG dat het aan de verwerkingsverantwoordelijke is om aan te tonen dat hij voldoet aan de basisbeginselen van de AVG zoals bepaald in artikel 6.1, waaronder de verplichting van transparantie en uitdrukkelijk doeleinde. 28. In het onderhavige geval beweert de verweerder dat hij telefonisch op de verzoeken van de klager heeft geantwoord. De verweerder stelt dat dus rekening moet worden gehouden met deze mondelinge en telefonische uitwisselingen die hij met de klager heeft gehad, naast de schriftelijke uitwisselingen die in dezelfde context hebben plaatsgevonden. 29. Uit geen enkel element uit het dossier blijkt echter dat de klager heeft verzocht om een mondeling antwoord op de uitoefening van zijn recht van inzage. 30. Bovendien moet worden opgemerkt dat de verweerder in zijn syntheseconclusie voor het eerst informatie geeft over de gegevens die nog in zijn bezit zijn, en het doel en de bewaartermijn ervan. Tot slot bevestigt hij zelf dat hij het niet nodig vond om de doeleinden van de verwerking te vermelden omdat deze voor hem vanzelfsprekend leken. 31. Bijgevolg kan de Geschillenkamer er niet van uitgaan dat de vermeende mondelinge antwoorden van de verweerder het ontbreken van een schriftelijk antwoord in het dossier hebben kunnen compenseren. 32. Zoals opgemerkt door de ID (zie punt 12), stelt de Geschillenkamer vast dat de verweerder geen volledig antwoord heeft gegeven op het verzoek van de klager en evenmin een kopie van de verwerkte persoonsgegevens heeft verstrekt. 1 European Data Protection Board, Guidelines 01/2022 on data subject rights – Right of access, punt 150, beschikbaar in het Engels op: https://www.edpb.europa.eu/system/files/202304/edpb guidelines 202201 data subject rights access v2 en.pdf. Beslissing ten gronde 86/2024 — 6/9 33. Bovendien, al antwoordt de verweerder meermaals dat hij heeft "geantwoord" op de verzoeken van de klager, moet dit antwoord nog steeds relevant zijn en de informatie bevatten waarnaar wordt verwezen in artikel 15 van de AVG, quod non.. 34. Tot slot is het feit dat de leerkrachten geen toegang hebben tot deze informatie en onderworpen zijn aan het beroepsgeheim, zoals de verweerder aan de klager heeft meegedeeld, niet in tegenspraak met deze vaststelling. 35. Bijgevolg oordeelt de Geschillenkamer dat de verweerder de artikelen 12.1, 15.1 en 15.3 van de AVG heeft geschonden. II.2. Wat betreft de schending van de artikelen 12.1 en 13 van de AVG 36. De Geschillenkamer neemt nota van het feit dat de verweerder vóór het begin van het schooljaar 2020-2021 een "informatieblad over het verzamelen en verwerken van persoonsgegevens" op zijn website heeft gepubliceerd. 37. De Geschillenkamer concludeert niettemin dat er sprake is van een inbreuk op artikel 12.1 en artikel 13 van de AVG, een punt waarop zij het eens is met de ID (zie punt 12). 38. Er is in deze zaak geen discussie over het ontbreken van voorafgaande informatie met betrekking tot het verzamelen van de gegevens van de dochter van de klager - met name over de bewaartermijn van haar gezondheidsgegevens -, aangezien dit door de verweerder wordt erkend. 39. In dit verband verklaart de verweerder dat hij altijd heeft geantwoord op vragen van ouders van leerlingen over de opslag- en archiveringsperioden en de identiteit van de ontvangers van deze gegevens. 40. Dit heeft echter geen invloed op de zaak in kwestie. De verplichting om informatie te verstrekken is een positieve verplichting die rust op de verwerkingsverantwoordelijke en moet worden nagekomen op het moment dat de gegevens rechtstreeks worden verzameld, of binnen een maand na het verkrijgen van de gegevens wanneer dit onrechtstreeks gebeurt, tenzij er een mededeling wordt gedaan aan de betrokkene op basis van de verzamelde gegevens of er sprake is van een mededeling van dezelfde gegevens aan een andere ontvanger, in welke gevallen de in artikel 14.3.
- a)vastgestelde termijn van een maand kan worden verkort. 41. De Geschillenkamer voegt eraan toe dat transparantie een fundamenteel beginsel is van het recht op bescherming van persoonsgegevens. Het stelt betrokkenen niet alleen in staat om kennis te nemen van de verwerking van hun persoonsgegevens, maar ook om tegelijkertijd controle uit te oefenen - wat ertoe kan leiden dat de betrokkene, in voorkomend geval, bepaalde acties onderneemt. Beslissing ten gronde 86/2024 — 7/9 42. Het is precies om deze reden dat de Europese wetgever in de AVG de verplichting om betrokkenen te informeren over de verwerking van hun persoonsgegevens heeft aangescherpt door er extra kwaliteiten als beknoptheid, transparantie, begrijpelijkheid en gemakkelijke toegankelijkheid in op te nemen (zie artikel 12.1 van de AVG). 43. Deze informatie is des te belangrijker omdat het een voorwaarde is om betrokkenen echt keuzevrijheid te geven in situaties waarin hen wordt gevraagd om toestemming te geven voor de verwerking van hun persoonsgegevens 2. 44. Verder beroept de verweerder zich op geen van de in artikel 13.4 van de AVG bedoelde uitzonderingen. 45. Bovendien kan in geen enkele omstandigheid worden toegelaten dat het schijnbaar vanzelfsprekende van het doel van een verwerking - althans voor de verwerkingsverantwoordelijke - de verwerkingsverantwoordelijke van zijn verplichting ontslaat om de betrokkenen erover te informeren. Bijgevolg stelt de Geschillenkamer vast dat de verweerder de artikelen 12.1 en 13 van de AVG heeft geschonden. III. Corrigerende maatregelen en sancties 46. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 2 HvJ-EU, 11 november 2020, Orange Romania SA tegen Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), zaak C-61/19, punt 41. Beslissing ten gronde 86/2024 — 9/9 Tegen deze beslissing kan op grond van artikel 108, § 1, van de WOG, beroep worden aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat de in artikel 1034ter van het Gerechtelijk Wetboek 3 genoemde inlichtingen moet bevatten. Het interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend overeenkomstig artikel 1034quinquies van het Ger.W.4, of via het informatiesysteem e-Deposit van het Ministerie van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 3 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregisternummer of ondernemingsnummer; 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; de handtekening van de verzoeker of van zijn advocaat. 4 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van de gerecht of ter griffie neergelegd.