← België

Beslissing ten gronde nr. 87/2024

1/57 Geschillenkamer Beslissing ten gronde 87/2024 van 3 juni 2024 Dossiernummer : DOS-2022-04748 Betreft: Klacht over het niet naleven van het recht op wissen en bezwaar na ontvangst van commerciële berichten voor directmarketingdoeleinden De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Romain RobertFrank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna -"AVG";) ; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken in het dossier; Heeft de volgende beslissing genomen inzake: De klager: X , hierna 'de klager' ; De verweerder: de onderneming Y (hierna 'de verweerder') Beslissing ten gronde 87/2024 — 2/57 I. Feiten en procedure 1. Op 18 november 2022 dient klager bij de Gegevensbeschermingsautoriteit (hierna: GBA) een verzoek tot bemiddeling in tegen verweerder, dat op 14 februari 2023 een klacht werd omdat deze niet reageerde. 2. De klacht betreft de ontvangst van regelmatige ongevraagde commerciële berichten voor directmarketingdoeleinden van de verweerder, ondanks het feit dat de verweerder zijn recht op wissen en bezwaar heeft uitgeoefend. 3. Op 30 juni 2022 ontdekt de klager, die de producten van de verweerder bij zijn vertegenwoordiger had gekocht, op zijn factuur van 31 mei 2022, een onverwachte toeslag van 1,50 euro in verband met een "energiebijdrage". Omdat de verweerder weigert deze toeslag terug te betalen, verzoekt de klager al zijn persoonsgegevens te wissen. Hij stuurt dit verzoek per e-mail naar " ...", om aan te geven dat hij niet langer een klant van de verweerder wenst te zijn. 4. Op 1 juli 2022 bevestigt de verweerder de ontvangst van de verzoeken van de klager en bevestigt dat hij deze onmiddellijk zou behandelen. Ondanks de verzekering van verweerder dat rekening zou worden gehouden met de verzoeken van 30 juni 2022, blijft de klager reclameberichten van verweerder ontvangen. 5. Op 18 november 2022 verzoekt de klager om een bemiddelingsprocedure bij de Eerstelijnsdienst (hierna "ELD") van de GBA. In het aanvraagformulier dat naar GBA werd gestuurd, herhaalt de klager zijn wens om geen nieuwe commerciële betrekkingen met de verweerder te hebben, waarbij hij het volgende uitlegt : "[...]Ik vroeg daarom om een terugbetaling, die ik niet kreeg. Ik vroeg toen, op 1 juli, om al mijn gegevens te verwijderen omdat ik nooit meer bij hen zou bestellen. [...] Vandaag, vier en een halve maand later, ontvang ik nog steeds reclameberichten»1. 6. Op 24 november 2022 bevestigt de ELD de ontvangst van het bemiddelingsverzoek en verklaart ze ontvankelijk. 7. Op 7 december 2022 stelt de ELD de verweerder in kennis van het verzoek om bemiddeling waarbij hij wordt uitgenodigd te reageren op het verzoek van de klager betreffende de uitoefening van zijn rechten, en een kopie van zijn reactie aan de ELD te sturen. 8. Op 11 januari 2023 vraagt de klager naar de status van het bemiddelingsverzoek en laat hij de ELD weten dat hij telefoontjes en e-mails van de verweerder blijft ontvangen. Op 13 januari 2023 antwoordt ELD dat de zaak in behandeling is genomen, dat aan verweerder op 1 Stuk 1 - Verzoek om bemiddelingen en bijlagen Beslissing ten gronde 87/2024 — 3/57 7 december 2022 een brief is gestuurd waarin hij een maand de tijd kreeg om te reageren, en dat verweerder een herinnering zou ontvangen. 9. Op 17 januari 2023 zendt de ELD een aangetekende brief met ontvangstbevestiging aan verweerder, waarin hij hem verzoekt te antwoorden op het eerste verzoek van 7 december 2022. 10. Op 14 februari 2023 deelt de ELD, bij gebrek aan een antwoord van de verweerder, aan de klager mee dat hij zijn bemiddelingsverzoek kan omzetten in een klacht overeenkomstig artikel 62, §2, lid 4 WOG. De klager verzoekt dezelfde dag nog om deze omzetting. 11. Op 20 februari 2023 stelt de ELD de verweerder ervan op de hoogte dat de bemiddeling is mislukt omdat hij niet heeft gereageerd, en stuurt vervolgens de klacht van de klager door naar de Geschillenkamer overeenkomstig artikel 62, § 1 van de WOG. 12. Op 15 mei 2023 beslist de Geschillenkamer op grond van artikel 95, § 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. 2 De betrokken partijen worden per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen. Op dezelfde dag bepaalt de Geschillenkamer dat, overeenkomstig het taalbeleid, de procestaal Frans zou zijn3. Op 15 en 19 mei 2023 bevestigen de verweerder en de klager de ontvangst van de brief. De uiterste datum voor ontvangst van de conclusie van antwoord van verweerder wordt daarbij vastgelegd 26 juni 2023 deze voor de conclusie van repliek van de klager op 17 juli 2023 en deze voor de conclusie van repliek van verweerder op 7 augustus 2023. 13. In september 2023 roept de Geschillenkamer, bij gebreke van opmerkingen van de partijen, overeenkomstig artikel 52 van de ROI, de betrokken partijen bijeen voor een hoorzitting op 12 oktober 2023, om hen in de gelegenheid te stellen hun argumenten mondeling toe te lichten. De verweerder bevestigt zijn aanwezigheid op 3 oktober 2023, terwijl de klager in een e-mail van 11 oktober 2023 laat weten dat hij niet bij de hoorzitting aanwezig kan zijn. 14. Op 12 oktober 2023 wordt de verweerder door de Geschillenkamer gehoord. Tijdens deze hoorzitting voert verweerder de volgende middelen aan :

  1. a)aanstelling van de functionaris voor gegevensbescherming (hierna 'DPO') de problemen met de GBA begonnen onder het beheer van de voormalige DPO, de heer Z1 (hierna 'de voormalige DPO' genoemd). Noch de DPO, de heer Z2 (hierna 'de huidige DPO'), noch de directie waren op de hoogte van deze problemen. De 2 Artikel 95, § 1, van de voormelde wet van 3 december 2017. Gegevensbeschermingsautoriteit, "Nota talenbeleid gehanteerd door de Geschillenkamer", beschikbaar op (https://www.gegevensbeschermingsautoriteit.be/publications/nota-talenbeleid-gehanteerd-door-de-geschillenkamer.pdf. 3 Beslissing ten gronde 87/2024 — 4/57 verweerder rechtvaardigt het uitblijven van een antwoord van de voormalige DPO door zicht te beroepen op een werk overbelasting en erop te wijzen dat de directie niet op de hoogte was van deze overbelasting.
  2. b)Ontoereikend postbeheer: de voormalige DPO behandelde de brieven van de GBA of de klager niet en deelde deze informatie niet intern. De voormalige DPO nam stappen om de verwerking van de gegevens van de klager te beperken, zonder met de klager of de GBA te communiceren.
  3. c)De procedure voor het wissen van gegevens: de verweerder beschreef de procedure voor het wissen van de persoonsgegevens van de klager, legde de fout van de voormalige DPO uit, vermeldde de verwarring rond de locatie van de gegevens en de " code 43 ", en beloofde te voldoen aan de AVG door de klager te informeren over de wissing van zijn gegevens.
  4. d)Verantwoordelijkheid voor de verwerking van persoonsgegevens de verantwoordelijkheid voor de gegevensverwerking tussen 'Y België' (hierna 'de verweerder') en 'Y Duitsland' (hierna 'de Duitse verwerker') werd besproken, waarbij werd verwezen naar een verwerkersovereenkomst.
  5. e)Organisatorische verbeteringen: het contract van de vorige DPO is afgelopen en de huidige DPO werkt fulltime met een team van twee mensen om de mailbox 'Privacy@Y.be' te beheren. De verweerder verbond zich ertoe initiatieven te nemen om zijn reactievermogen te verbeteren en de beslissingen van GBA na te leven. 15. Op 27 oktober 2023 legt de Geschillenkamer het proces-verbaal van de hoorzitting aan de partijen voor. 16. Op 3 november 2023 stuurt de verweerder zijn preciseringen op het proces-verbaal naar de Geschillenkamer, waarmee in deze beslissing rekening zal worden gehouden. De verweerder vraagt ook dat de Geschillenkamer, gelet op de specifieke omstandigheden van de zaak, kiest voor een opschorting van de uitspraak, zoals toegestaan door artikel 100, § 1, 3° van de WOG, of voor een waarschuwing of berisping in de zin van artikel 100, § 1, 5° van dezelfde wet. 17. Op 11 november 2023, na afloop van de procedure, deelt verweerder de Geschillenkamer mee dat hij van de Duitse verwerker een e-mail had ontvangen waarin werd bevestigd dat de gegevens van klager waren gewist, en dat hij klager een e-mail had gestuurd waarin hij werd geïnformeerd over de verwijdering. 18. Op 5 april 2024 stelt de Geschillenkamer de verweerder in kennis van haar voornemen om een administratieve boete op te leggen, alsmede het bedrag daarvan met de bedoeling de Beslissing ten gronde 87/2024 — 5/57 verweerder de gelegenheid te geven zich te verdedigen voordat de boete effectief wordt opgelegd. 19. Op 5 april 2024 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. Dit antwoord is onderzocht door de Geschillenkamer als onderdeel van haar beraadslagingen. II. Motivering II.1. Inleidende opmerkingen II.1.1. Aangaande de samenvoeging van dossiers 20. Tijdens de hoorzitting wees verweerder erop dat hij werd onderzocht door de inspectiedienst (hierna 'ID') van GBA in een afzonderlijk dossier. Deze verklaring wordt herhaald in zijn reactie op het proces-verbaal van de hoorzitting van 3 november 2023 4. 21. Op 5 april 20245 verzoekt verweerder, in zijn antwoord op het sanctieformulier van 15 maart 2024, om het dossier (...) (onderwerp van het ID-onderzoek) samen te voegen met het huidige dossier dat voor deze beslissing werd voorgelegd. 22. Ten eerste moet de verweerder eraan worden herinnerd dat de ID gebonden is aan de geheimhouding van het onderzoek, overeenkomstig artikel 64, § 3 van de WOG, dat bepaalt dat "het onderzoek is geheim, behoudens wettelijke uitzondering, tot het moment van de neerlegging van het rapport van de inspecteur-generaal bij de geschillenkamer". 23. Ten tweede benadrukt de Geschillenkamer dat zij niet bevoegd is om een onderzoek van de ID over te nemen. Zij verwijst verweerder naar artikel 92 van de WOG voor de voorwaarden voor verwijzing. Dit artikel specificeert dat de ID een zaak kan doorverwijzen naar de Geschillenkamer na het afsluiten van een onderzoek in overeenstemming met artikel 91, § 2 van de WOG. 24. Ten derde wijst de Geschillenkamer erop dat het sanctieformulier bedoeld is om de vermeende overtreder, in dit geval de verweerder, in staat te stellen zijn standpunt over het bedrag van de voorgestelde geldboete kenbaar te maken voordat deze wordt opgelegd en daadwerkelijk ten uitvoer wordt gelegd. Deze verweerprocedure, voorzien in het sanctieformulier over het bedrag van de voorgestelde geldboete, leidt niet tot nieuwe debatten over de bevindingen die al zijn vastgesteld door de Geschillenkamer, aangezien deze gesloten zijn. 4 In zijn reactie op het proces-verbaal van de hoorzitting van 3 november 2023 en het sanctieformulier van 5 april 2024 heeft verweerder verklaard dat het dossier van de inspectie overeenkomt met het dossiernummer (...). 5 Sanctieformulier van 15 maart 2024 ; antwoord van verweerder op sanctieformulier van 5 april 2024. Beslissing ten gronde 87/2024 — 6/57 25. Concluderend wijst de Geschillenkamer het verzoek af om het dossier (...) samen te voegen met het huidige dossier waarop deze beslissing betrekking heeft. II.1.2. Aangaande de interpretatie van artikel 21.2 van de AVG 26. In dit geval merkt de Geschillenkamer op dat de klager zijn verzoek tot wissen (volledige verwijdering van zijn gegevens) op 30 juni 2022 heeft ingediend door zijn toestemming in te trekken, overeenkomstig artikel 17.1.
  6. b)van de AVG. Bovendien blijkt uit het verzoek van de klager duidelijk dat hij vastbesloten is om alle commerciële betrekkingen met de verweerder te beëindigen. Voor zover de klager zijn recht op wissen krachtens artikel 17.1.
  7. b)van de AVG heeft uitgeoefend door zijn toestemming in te trekken, had de verweerder het verzoek tot wissen moeten inwilligen, alle persoonsgegevens van de klager moeten wissen en moeten stoppen met direct marketing, aangezien de rechtsgrondslag die voor deze gegevensverwerking wordt ingeroepen de toestemming is. 27. Vervolgens wijst de Geschillenkamer erop dat artikel 21 van de AVG twee verschillende vormen van het recht van bezwaar omvat. Enerzijds voorziet artikel 21.1 in de mogelijkheid om bezwaar te maken tegen verwerkingen die zijn gebaseerd op het gerechtvaardigd belang van de verwerkingsverantwoordelijke of op een taak van algemeen belang van de verwerkingsverantwoordelijke (algemeen bezwaar onder voorbehoud van belangenafweging). 28. Bovendien heeft de betrokkene, in overeenstemming met artikel 21.2, de mogelijkheid om elke verwerking van zijn gegevens voor direct marketing te weigeren ("bezwaar tegen direct marketing"), waarmee hij aangeeft geen toestemming te geven voor het ontvangen van reclame. Als het doel van de verwerkingsverantwoordelijke direct marketing is, is het recht om bezwaar te maken automatisch: de verwerkingsverantwoordelijke mag de gegevens niet langer verwerken voor dergelijke doeleinden, inclusief profilering, voor zover dit betrekking heeft op dat doel, wanneer de betrokkene te kennen heeft gegeven dat hij zich daartegen verzet. 29. De Geschillenkamer is van mening dat artikel 21.2 te allen tijde van toepassing is aangezien artikel 21.2 de betrokkene een onvoorwaardelijk recht verleent om "te allen tijde" bezwaar te maken tegen de verwerking van zijn of haar persoonsgegevens voor directmarketingdoeleinden, met inbegrip van profilering voor zover deze verband houdt met dergelijke direct marketing. De uitoefening van het recht onder artikel 21.2 is niet onderworpen aan voorwaarden.6 Dit artikel is van toepassing ongeacht de rechtsgrondslag 6 Zie in die zin WP29, richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679, rev. 01, blz. 21 Zanfir-Fortuna dans The EU General Data Protection Regulation (GDPR): A Commentary, OUP 2000, p. 518. Beslissing ten gronde 87/2024 — 7/57 voor de verwerking en zonder dat een belangenafweging vereist is. Dit standpunt kan ook worden afgeleid uit het onderscheid tussen overwegingen 69 en 70 van de AVG. 30. De Geschillenkamer erkent dat een andere lezing van artikel 21.2, volgens welke deze bepaling beperkt zou zijn tot dezelfde rechtsgrondslagen voor verwerking als artikel 21.1 van de AVG [artikel 6.1.
  8. e)en artikel 6.1.f)], niet is uitgesloten. Een dergelijke lezing zou echter niets veranderen aan de verplichtingen van de verweerder, aangezien de intrekking van de toestemming op grond van artikel 17.1.b van de AVG impliceert dat alle verwerkingen moeten worden gestaakt. 31. Uit het bovenstaande blijkt dat het intrekken van toestemming (de rechtsgrondslag die verweerder aanvoert om direct marketing te rechtvaardigen) en het maken van bezwaar tegen de verwerking van gegevens voor direct marketing in principe tot hetzelfde resultaat moeten leiden: de onmiddellijke stopzetting van gegevensverwerking voor directmarketingdoeleinden en de automatische verwijdering van dergelijke gegevens. II.2. Aangaande de vermeende inbreuken op de AVG II.2.1. de mogelijke schendingen van de artikelen 17 en 21 van de AVG. II.2.1.1. Standpunt van de verweerder 32. De volgende middelen werden enkel ter hoorzitting door verweerder aangevoerd :
  9. a)De verwijdering van de gegevens van de klager verliep in verschillende fasen. Aanvankelijk klaagde de klager over te hoge energiekosten, maar deze klacht evolueerde naar een verzoek tot beëindiging van de klantrelatie en het wissen van gegevens. De voormalige DPO interpreteerde de situatie verkeerd en begreep niet dat dit een zaak voor de AVG was. De voormalige DPO beval vervolgens de Duitse verwerker om de gegevens van de klager te wissen met behulp van 'code 43'. Deze code resulteerde echter niet in de volledige verwijdering van de gegevens. De huidige DPO gaf toe dat het doel van "code 43" was om de verwerking te beperken in plaats van gegevens te wissen, waarmee hij een fout van de vorige DPO erkende. Ondanks de invoering van 'code 43' om de gegevensverwerking te beperken en de stopzetting van commerciële berichten aan de klager, werd de verzending van nieuwsbrieven voortgezet tot december 2022. De verweerder wees erop dat de klager had ingestemd met het ontvangen van deze nieuwsbrieven, die door een apart netwerk werden beheerd. Pas in december 2022 corrigeerde de voormalige DPO de situatie in antwoord op brieven van de ELD, waardoor de gegevens ontoegankelijk werden voor Beslissing ten gronde 87/2024 — 8/57 verweerder, maar ze nog steeds aanwezig en toegankelijk waren voor andere entiteiten, met name voor fiscale controledoeleinden. De huidige DPO betreurde het dat de voormalige DPO de klager niet van deze rectificatie op de hoogte had gesteld. Op de dag van de hoorzitting kon verweerder niet garanderen dat de gegevens daadwerkelijk waren gewist, bij gebreke van een schriftelijke bevestiging van de Duitse verwerker in die zin. De huidige DPO bood aan contact op te nemen met de Duitse verwerker om te controleren of de gegevens van de klager waren verwijderd.
  10. b)Met betrekking tot de vraag van de huidige DPO over de verplichting om de klager te informeren over de maatregelen die zijn genomen naar aanleiding van zijn verzoek om gegevens te wissen, herinnerde de Geschillenkamer aan de bepalingen van artikel 12 van de AVG. In reactie hierop heeft de verweerder tijdens de hoorzitting toegezegd de situatie te corrigeren in overeenstemming met artikel 17 van de AVG en de klager te informeren dat zijn gegevens zijn gewist.
  11. c)Wat betreft de locatie van de gegevens van klager en de identificatie van de verwerkingsverantwoordelijke, voerde verweerder aan dat de ID deze kwesties in een afzonderlijke zaak onderzocht7. Ten slotte verklaart verweerder dat hij volgens de informatie waarover hij beschikt, de "enige" verwerkingsverantwoordelijke is. 33. Op 3 november 2023 verduidelijkte verweerder in het kader van zijn reactie op het procesverbaal van de hoorzitting (hierna: 'reactie op het proces-verbaal') dat de voormalige DPO op 11 april 2023 bij de Duitse verwerker om de activering van "code 43" voor de gegevens van klager had verzocht, een feit dat hij in het kader van de lopende inspectie (zie titel II.1.1) op 18 april 2023 in correspondentie aan de ID heeft vastgelegd.) De voormalige DPO verzuimde echter de klager en de ELD op de hoogte te stellen. II.2.1.2. Standpunt van de Geschillenkamer 34. Artikel 17 van de AVG stelt het recht op wissen vast waarmee betrokkenen kunnen verzoeken om verwijdering van hun persoonsgegevens als aan een van de volgende voorwaarden is voldaan: de gegevens zijn niet langer noodzakelijk voor de doeleinden waarvoor ze zijn verzameld of verwerkt (art. 17.1.
  12. a)van de AVG); de betrokkene trekt de toestemming waarop de verwerking was gebaseerd in en er is geen andere rechtsgrondslag voor de verwerking (art. 17.1.
  13. b)van de AVG); de betrokkene maakt bezwaar tegen de verwerking op grond van art. 21. 1, en er is geen dwingende legitieme reden voor de verwerking (art. 17.1.
  14. c)van de AVG); de gegevens zijn onrechtmatig verwerkt 7 Zie punt 21 van deze beslissing. Beslissing ten gronde 87/2024 — 9/57 (art. 17.1.
  15. d)van de AVG); de gegevens moeten worden gewist om te voldoen aan een wettelijke verplichting (art. 17.1.
  16. e)van de AVG); de gegevens zijn verzameld bij een kind in verband met diensten van de informatiemaatschappij (art. 17.1.
  17. f)van de AVG). Het recht op wissen is echter niet absoluut. Artikel 17.3 van de AVG voorziet in bepaalde uitzonderingen waarin dit recht niet van toepassing is, met name wanneer de verwerking van gegevens noodzakelijk is om de uitoefening van het recht op vrijheid van meningsuiting en informatie te waarborgen (art. 17.3.
  18. a)van de AVG), om te voldoen aan een wettelijke verplichting of om een taak van algemeen belang uit te voeren (of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen) (art. 17.3.
  19. b)van de AVG), om een taak uit te voeren die wordt uitgevoerd in het algemeen belang op het gebied van volksgezondheid (art. 17.3.
  20. c)van de AVG), voor archiefdoeleinden (art. 17.3.
  21. d)van de AVG), of om rechtsvorderingen in te stellen, uit te oefenen of te verdedigen (art. 17.3.
  22. e)van de AVG). 35. Op grond van artikel 19 van de AVG is de verwerkingsverantwoordelijke verplicht om elke ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis te stellen van elke rectificatie of wissing van persoonsgegevens of elke beperking van de verwerking die is uitgevoerd in overeenstemming met artikel 16, 17.1 en 18 van de AVG, tenzij een dergelijke openbaarmaking onmogelijk blijkt of onevenredig veel inspanning zou vergen. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt. 36. Artikel 21 AVG regelt het recht van bezwaar van de betrokkenen. Wanneer persoonsgegevens worden verwerkt ten behoeve van direct marketing 8, heeft de betrokkene "het recht om te allen tijde bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens (...)" (art. 21.2 van de AVG). Wanneer de betrokkene "bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt. "(art. 21.3 AVG). Wanneer een persoon bezwaar maakt directmarketingdoeleinden (bezwaar tegen tegen direct gegevensverwerking marketing), hoeft hij voor geen rechtvaardiging te geven voor zijn bezwaar 9. Bijgevolg moet het bezwaar onmiddellijk leiden tot de stopzetting van alle verwerking van persoonsgegevens voor 8 Bij gebrek aan een wettelijke definitie van direct marketing heeft de GBA het als volgt gedefinieerd, elke communicatie in welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een organisatie of persoon en gericht op de promotie of verkoop van diensten, producten (al dan niet tegen betaling), alsmede merken of ideeën, geadresseerd door een organisatie of persoon die handelt in een commerciële of niet-commerciële context, die rechtstreeks gericht is aan een of meer natuurlijke personen in een privé-of professionele context en die de verwerking van persoonsgegevens met zich meebrengt”. GBA, Aanbeveling nr. 1/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct marketingdoeleinden, blz. 8, beschikbaar op de GBA website. 9 HvJEU, 13 mei 2014, C-131/12 , Google Spain en Google, ECLI:EU:C:2014:317. HvJEU, Manni, C-398/15, 9 maart 2017. CJUE, Google), C507/17, 24 september 2019, ECLI:EU:C:2019:772. GBA, Geschillenkamer, Beslissingen 28/2020 van 29 mei 2020, 32/2020 van 16 juni 2020, 19/2021ₒvan 12 februari 2021,ₒ109/2023 van 9 augustus 2023, 157/2023 van 27 november 2023ₒ", beschikbaar op de website van GBA. Beslissing ten gronde 87/2024 — 10/57 directmarketingdoeleinden voor de betrokkene, zonder dat verder onderzoek nodig is (zie titel II.1.2)10. 37. De artikelen 15 tot en met 22 van de AVG zijn onlosmakelijk verbonden met artikel 12 van de AVG, dat verplichtingen oplegt aan de verwerkingsverantwoordelijke, met name met betrekking tot de transparantie van informatie en communicatie en de procedures voor de uitoefening van de rechten van betrokkenen (art. 17 juncto 12 van de AVG en art. 21.2 juncto 12 van de AVG). De uitoefening van deze rechten, in dit geval het recht op wissen (art. 17 van de AVG) en het recht van de klager om bezwaar te maken tegen direct marketing (art. 21.2 van de AVG), evenals de naleving van deze rechten door de verwerkingsverantwoordelijke, die zijn reactie op de verzoeken van de betrokkenen moet aantonen, moet worden beoordeeld en onderzocht overeenkomstig de bepalingen van artikel 12 van de AVG. 38. Artikel 12 van de AVG legt de verwerkingsverantwoordelijke de verplichting op om passende maatregelen te nemen om op beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze, in duidelijke en eenvoudige bewoordingen, alle informatie11 met betrekking tot de verwerking van gegevens aan de betrokkene mee te delen, met name wanneer wordt gereageerd op de rechten die zijn vastgelegd in de artikelen 15 tot en met 22 van de AVG (art. 12.1 van de AVG). Wanneer een betrokkene een verzoek indient in overeenstemming met de artikelen 15 tot en met 22 van de AVG, is de verwerkingsverantwoordelijke verplicht om binnen een maand te reageren, met de mogelijkheid van een verlenging van twee maanden, waarbij de betrokkene wordt geïnformeerd over de redenen voor de verlenging (art. 12.3 van de AVG). Als er geen reactie komt op het verzoek van de betrokkene, moet de verwerkingsverantwoordelijke de betrokkene onverwijld, en uiterlijk binnen een maand na ontvangst van het verzoek, op de hoogte stellen van de redenen voor het uitblijven van een reactie en van zijn recht om een klacht in te dienen bij een toezichthoudende autoriteit of een rechtsvordering in te stellen (art. 12.4 van de AVG). 39. Concluderend kan het niet voldoen door de verwerkingsverantwoordelijke aan een verzoek op grond van de artikelen 15 tot en met 22 van de AVG, met name het recht op wissen wanneer aan de voorwaarden van artikel 17 van de AVG is voldaan, of het recht om bezwaar te maken wanneer aan de voorwaarden van artikel 21.2 van de AVG is voldaan, niet alleen leiden tot een schending van de artikelen 17 en 21 van de AVG, maar ook van artikel 12 van de AVG wegens het niet voldoen aan de mededelings- en informatieverplichtingen. 10 Zie Aanbeveling 1/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor directmarketingdoeleinden, blz. 53. 11 AVG, artikel 12.1; Deze informatie kan schriftelijk of op een andere manier worden verstrekt, waaronder, indien van toepassing, elektronisch. Beslissing ten gronde 87/2024 — 11/57 40. In het onderhavige geval merkt de Geschillenkamer, zoals vermeld in punt II.1.2. van deze beslissing, op dat de klager zijn verzoek om wissing (volledige verwijdering van zijn gegevens) op 30 juni 2022 heeft ingediend door zijn toestemming in te trekken, overeenkomstig artikel 17.1.b), van de AVG. Bovendien blijkt uit het verzoek van de klager duidelijk dat hij vastbesloten is om alle commerciële betrekkingen met de verweerder te beëindigen. Naast het verzoek om de volledige verwijdering van zijn gegevens (art. 17.1.
  23. b)van de AVG), maakt de klager krachtig bezwaar tegen de verwerking van zijn gegevens voor direct marketingdoeleinden (art. 21.2 van de AVG). Om alle twijfels over de vorderingen van de klager weg te nemen, worden in het op 18 november 2022 ingediende en op 7 december 2022 aan de verweerder meegedeelde verzoek om bemiddeling de eisen van de klager verduidelijkt. Deze eisen hebben zowel betrekking op het wissen van zijn gegevens op grond van artikel 17.1. b), van de AVG als op het bezwaar tegen de verwerking van zijn gegevens op grond van artikel 21, leden 2 en 3, van de AVG, wat kan leiden tot de toepassing van artikel 17.1.b), van de AVG, zoals gevraagd door de klager. 41. Ten eerste stelt de Geschillenkamer In de onderhavige zaak vast op basis van de verklaringen van verweerder ter zitting van 12 oktober 2023, dat wil zeggen meer dan een jaar nadat klager van zijn rechten gebruik heeft gemaakt, vast dat verweerder nog steeds geen concrete stappen heeft ondernomen om te reageren op het verzoek van klager om te worden gewist en bezwaar aan te tekenen. De Geschillenkamer wil erop wijzen dat de verweerder op 11 november 2023 aan klager heeft laten weten dat hem een e-mail was gestuurd met de mededeling dat zijn gegevens waren gewist, zonder daar enig bewijs van te leveren of duidelijk aan te geven of het bezwaarverzoek in behandeling was genomen. De Geschillenkamer besloot deze informatie niet mee te nemen in haar beraadslagingen omdat de debatten al waren afgesloten. 42. Ten tweede merkt de Geschillenkamer op dat de toepassing van 'code 43' door verweerder op 11 april 2023 de toegang tot de gegevens van klager in zijn systeem heeft beperkt, maar niet heeft geleid tot de verwijdering ervan12. Deze maatregel beperkte bepaalde verwerkingen, met name telefoongesprekken, maar stopte niet de verzending van nieuwsbrieven, die doorging tot december 2022. Ten slotte blijft de door de verweerder in een e-mail van 3 november 202313 gedane toezegging, ook na sluiting van de procedure, betreffende de verwijdering van de gegevens van klager, onbevredigend in verhouding tot de verzoeken van klager. Deze maakte uitdrukkelijk bezwaar tegen elke verdere verwerking van zijn gegevens, met name voor directmarketingdoeleinden, en eiste dat zijn gegevens in hun geheel zouden worden gewist. 12 13 E-mail van 03 november 2023 verzonden door verweerder als reactie op het proces-verbaal van de hoorzitting. E-mail van 03 november 2023 verzonden door verweerder als reactie op het proces-verbaal van de hoorzitting. Beslissing ten gronde 87/2024 — 12/57 43. Ten derde constateert de Geschillenkamer een inconsistentie in de chronologie van de gebeurtenissen, zoals gepresenteerd op de hoorzitting van 12 oktober 2023 en in de e-mail naar aanleiding van het proces-verbaal van de hoorzitting. Het lijkt onwaarschijnlijk dat de verwerking van gegevens voor directmarketingdoeleinden in december 2022 eindigde, terwijl verweerder stelt dat de 'code 43', die de beperking van de gegevensverwerking veroorzaakte, pas in april 2023 plaatsvond (zie punt 33). Dit doet veronderstellen dat de gegevens van de klager ten minste tot april 2023 toegankelijk waren en niet tot december 2022. De Geschillenkamer voegt daaraan toe dat klager op 11 januari 2023, dus na december 2022, heeft aangegeven dat hij telefoontjes en e-mails van verweerder bleef ontvangen (zie punt 8). 44. Ten vierde benadrukte de Geschillenkamer dat de voortzetting van de verzending van nieuwsbrieven, die tot ten minste december 2022 en zelfs tot april 2023 doorging, ondanks de verzoeken van klager om verwijdering en het bezwaar op 30 juni 2022, onder het voorwendsel dat er een afzonderlijk systeem bestond voor het beheer van reclamemails, de voortzetting van de verwerking van de gegevens van klager voor directmarketingdoeleinden niet kon rechtvaardigen. 45. Ten vijfde begrijpt de Geschillenkamer dat de verweerder zich impliciet beroept op de uitzondering van artikel 17.3.
  24. b)van de AVG, namelijk het bewaren van de gegevens van de klager in het Duitse IT-systeem om te voldoen aan wettelijke verplichtingen, in dit geval de 'belastingcontrole'14. De Geschillenkamer wijst erop dat het aan verweerder was om een beroep te doen op een van de uitzonderingen van artikel 17.3 van de AVG, dit beroep te motiveren en de klager op de hoogte te stellen van de niet-beëindiging juist vanwege deze uitzondering (artikelen 12.1, 12.3 en 12.4 van de AVG en artikel 17.3 van de AVG), wat hij destijds niet heeft gedaan. De Geschillenkamer oordeelde echter dat deze uitzondering de verdere verwerking van de gegevens van de klager voor directmarketingdoeleinden, hetzij telefonisch hetzij via e-mail, niet kon rechtvaardigen. 46. Uit de bovenstaande informatie blijkt dat de gegevens van de klager ondanks het verzoek om wissen en bezwaar verder werden verwerkt voor directmarketingdoeleinden. Hieruit volgt dat de verweerder niet alleen heeft nagelaten de verwerking van de persoonsgegevens van de klager voor directmarketingdoeleinden te staken, maar ook duidelijk heeft nagelaten de gegevens van de klager zo snel mogelijk te wissen of hem op de hoogte te stellen van het resultaat van zijn verzoeken. 47. Gelet op het voorgaande concludeert de Geschillenkamer dat verweerder de artikelen 17 en 21 van de AVG niet heeft nageleefd, en tevens heeft nagelaten te voldoen aan de in de 14 Zie proces-verbaal van de hoorzitting van 12 oktober 2023, B.2. blz. 6. Beslissing ten gronde 87/2024 — 13/57 artikelen 12.1, 12.3 en 12.4 van de AVG neergelegde verplichtingen om te reageren en onverwijld, uitdrukkelijk en transparant te communiceren. II.2.2. Vermeende schending van artikel 5.1.
  25. a)van de AVG (beginsel van rechtmatigheid, behoorlijkheid en transparantie) II.2.2.1. Standpunt van de verweerder 48. Tijdens de hoorzitting voerde de verweerder aan dat directmarketingactiviteiten en het verzenden van nieuwsbrieven gebaseerd waren op toestemming van de gebruiker, verkregen via een opt-in mechanisme met een gemakkelijke afmeldmogelijkheid. Andere soorten verwerkingen waren voornamelijk gebaseerd op de noodzaak om het contract uit te voeren. II.2.2.2. Standpunt van de Geschillenkamer 49. Het rechtmatigheidsbeginsel is een van de hoofdbeginselen van de AVG en is alleen al een voorwaarde voor de toepassing van de andere beginselen van de AVG in het kader van de verwerking van persoonsgegevens. Persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Om de verwerking van persoonsgegevens als rechtmatig te kunnen beschouwen, moet deze gebaseerd zijn op de toestemming van de betrokkene of op een andere grondslag waarin artikel 6 van de AVG voorziet15. 50. Artikel 6.1. van de AVG somt zes rechtmatigheidsgronden voor een verwerking op: behalve de toestemming (art. 6.1.
  26. a)kan de verwerking van persoonsgegevens noodzakelijk zijn voor de uitvoering van een overeenkomst (art. 6.1.b), om te voldoen aan een wettelijke verplichting (art. 6.1.c), voor het vervullen van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag (art. 6.1.e), voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde (art. 6.1.f), of om de vitale belangen van de betrokkene te beschermen (art. 6.1.d). Bij het ontbreken van een passende rechtsgrondslag is de verwerking van persoonsgegevens strikt verboden. 51. De voortzetting van de verwerking directmarketingdoeleinden, zoals telefonische van persoonsgegevens oproepen of het verzenden voor van nieuwsbrieven, ondanks een verzoek tot wissen zonder dat een van de uitzonderingen van artikel 17.3 van de AVG niet kan worden ingeroepen, of ondanks een verzoek om bezwaar te maken overeenkomstig de artikelen 21.2 en 21.3 van de AVG, kan leiden tot een schending van artikel 6 juncto 5.1.
  27. a)van de AVG wanneer de gegevensverwerking wordt 15 AVG, art. 5.1,
  28. a); art. 6 tot 9 ; overweging 40. Beslissing ten gronde 87/2024 — 14/57 voortgezet zonder rechtmatigheidsgrond. Met andere woorden, het niet voldoen aan verzoeken tot wissen en/of bezwaar kan verder gaan dan een eenvoudige schending van artikel 17 en/of 21 van de AVG. 52. Het beginsel van behoorlijkheid en transparantie in artikel 5.1.
  29. a)van de AVG is niet beperkt tot de eenvoudige informatie- en transparantieverplichtingen die in de artikelen van de AVG worden opgesomd, maar is een algemeen beginsel waarvan de reikwijdte en de filosofie voor alle verwerkingen moeten worden gerespecteerd. Dit beginsel 16, dat met name is vastgelegd in artikel 12 van de AVG 17, moet ervoor zorgen dat betrokkenen op beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze worden geïnformeerd over de verwerking van hun persoonsgegevens. Daarnaast verplicht het de verwerkingsverantwoordelijke om passende maatregelen te nemen om effectief te reageren op verzoeken van betrokkenen op grond van de artikelen 15 tot en met 22 van de AVG. Dit houdt in dat volledige informatie moet worden verstrekt over de verwerking van hun gegevens, in duidelijke en eenvoudige taal en op een beknopte, gemakkelijk toegankelijke en gemakkelijk te begrijpen manier 18. Door volledige transparantie in de verwerking van persoonsgegevens te garanderen, versterkt dit principe het vertrouwen in de gegevensverwerking en garandeert het de eerbiediging van de fundamentele rechten inzake gegevensbescherming. 53. Tot slot is de verwerkingsverantwoordelijke, in overeenstemming met artikel 5.2 van de AVG19, gelezen in samenhang met artikel 24 van de AVG, waarin het verantwoordingsbeginsel (of "accountability") is vastgelegd, verantwoordelijk voor de naleving van de beginselen van de bescherming van persoonsgegevens, in dit geval de beginselen van rechtmatigheid en transparantie. Hij moet passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking van persoonsgegevens voldoet aan de wettelijke verplichtingen die zijn vastgelegd in de AVG; dit betekent dat hij in antwoord op elk verzoek van de toezichthoudende autoriteiten moet kunnen aantonen dat hij hieraan voldoet. 16 Zie EPDB besluit 01/021, waarin staat het volgende : "Het Comité onderstreept op grond van de bovenstaande overwegingen dat het transparantiebeginsel zich niet beperkt tot de verplichtingen uit hoofde van de artikelen 12 tot en met 14 AVG, ook al vormen deze een concretisering van dat beginsel. Het transparantiebeginsel is namelijk een overkoepelend beginsel dat niet alleen andere beginselen versterkt (d.w.z. billijkheid, verantwoordingsplicht), maar waaruit ook tal van andere bepalingen van de AVG voortvloeien. Bovendien bevat artikel 83, lid 5, AVG, zoals reeds opgemerkt, de mogelijkheid om een inbreuk op de transparantieverplichtingen onafhankelijk van de inbreuk op het transparantiebeginsel vast te stellen. In de AVG wordt dus een onderscheid gemaakt tussen de bredere dimensie van het beginsel en de meer specifieke verplichtingen. Met andere woorden, met de transparantieverplichtingen wordt niet de volledige werkingssfeer van het transparantiebeginsel afgebakend". (Vrije vertaling van de Geschillenkamer) EDPB, Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65

(1)(
  1. a)GDPR, 28 juli 2021, §192. 17 Zie punten 38 tot 40. van deze beslissing. 18 De overwegingen 58 en 60 AVG preciseren dat “overeenkomstig de beginselen van behoorlijke en transparante verwerking de betrokkene op de hoogte [moet worden] gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden ervan” en dat “overeenkomstig het transparantiebeginsel informatie die bestemd is voor het publiek of voor de betrokkene beknopt, eenvoudig, toegankelijk en begrijpelijk [moet] zijn (…) 19 Zie Titel II.2.3 in deze beslissing Beslissing ten gronde 87/2024 — 15/57 54. In de onderhavige zaak heeft de Geschillenkamer in de eerste plaats rekening gehouden met de uitleg die verweerder heeft gegeven over zijn directmarketingactiviteiten, waaronder telefoongesprekken en het verzenden van nieuwsbrieven, die waren gebaseerd op toestemming van de klant, krachtens artikel 6.1.
  2. a)van de AVG. Daarnaast merkte de Geschillenkamer op dat de verweerder had aangevoerd dat de klager in eerste instantie toestemming had gegeven door het vakje "toestemming" aan te vinken om reclameboodschappen te ontvangen, en dat de verzending van nieuwsbrieven onder een apart beheersysteem viel. 55. De Geschillenkamer stelde vast dat de klager zijn recht op wissen en bezwaar op 30 juni 2022 had uitgeoefend. Tijdens de hoorzitting bevestigde de verweerder dat de klager tot december 2022 commerciële berichten bleef ontvangen. Paradoxaal genoeg wees verweerder er ook op dat de beperking op gegevensverwerking met 'code 43' pas op 11 april 2023 werd ingesteld, wat erop wijst dat de gegevens van klager, zij het op beperkte wijze, ten minste tot april 2023, en niet tot december 2022, werden verwerkt. Als gevolg daarvan werd de verwerking van de gegevens van de klager voor directmarketingdoeleinden voortgezet zonder rechtmatigheidsgrond, gezien de intrekking van de toestemming van de klager. Aangezien deze toestemming door de klager werd ingetrokken (door zijn recht op wissen en bezwaar uit te oefenen), werd de voortgezette verwerking van zijn gegevens voor directmarketingdoeleinden uitgevoerd zonder enige rechtmatigheidsgrond, waardoor het rechtmatigheidsbeginsel van artikel 5.1.
  3. a)van de AVG werd geschonden. 56. Verder vindt de Geschillenkamer het argument van verweerder dat klager commerciële berichten bleef ontvangen omdat hij aanvankelijk een "toestemmingsvakje" zou hebben aangevinkt, wat zou duiden op permanente toestemming, niet overtuigend. De klager had zijn toestemming duidelijk ingetrokken door gebruik te maken van zijn recht op wissen en bezwaar, en door expliciet te verklaren dat hij de producten van de verweerder niet langer zou kopen. Als gevolg daarvan had verweerder niet langer een rechtsgrondslag om de verwerking van de gegevens voor directmarketingdoeleinden te rechtvaardigen nadat klager zijn recht op bezwaar en op verwijdering van de gegevens had uitgeoefend. Bovendien kan het argument van verweerder dat de verzending van reclame-e-mails gerechtvaardigd was door het bestaan van een afzonderlijk beheerssysteem de Geschillenkamer niet overtuigen, aangezien het aan de verwerkingsverantwoordelijke is om zich zodanig te organiseren dat hij voldoet aan de verplichtingen van de AVG. 57. Ten tweede merkte de Geschillenkamer op dat de verweerder de klager op de datum van de hoorzitting nog steeds niet op de hoogte had gesteld van de maatregelen die waren genomen naar aanleiding van de uitoefening van zijn recht op wissen en bezwaar. Hoewel de verweerder zich er op 3 november 2023 toe heeft verbonden de situatie te regulariseren Beslissing ten gronde 87/2024 — 16/57 overeenkomstig artikel 17 van de AVG, bevestigt deze verklaring bovendien dat de verweerder het transparantiebeginsel van artikel 5.1.a van de AVG heeft geschonden doordat hij zijn informatie- en communicatieverplichtingen, zoals omschreven in artikel 12 van de AVG, niet is nagekomen. Daarnaast wijst de Geschillenkamer erop dat het bezwaar nog niet in behandeling is genomen. 58. Gezien de tijd die is verstreken tussen de uitoefening van de rechten in juni 2022 en de toezegging om klager in november 2023 te informeren, staat vast dat verweerder geen passende stappen heeft ondernomen om alle informatie met betrekking tot de gegevensverwerking mee te delen, waaronder antwoorden op de rechten van wissen en bezwaar, zoals vereist door artikel 12.1 van de AVG. Bovendien heeft verweerder geen informatie verstrekt over de acties die zijn ondernomen naar aanleiding van de verzoeken om wissen en bezwaar binnen de in artikel 12.3. van de AVG voorgeschreven termijn van één maand, noch heeft hij klager enige rechtvaardiging gegeven voor zijn passiviteit, in tegenstelling tot wat wordt vereist door artikel 12.4 van de AVG. 59. Concluderend kan worden gesteld dat verweerder de gegevens van klager is blijven verwerken voor directmarketingdoeleinden, hetzij via telefoonoproepen hetzij via reclamemails, zonder rechtsgrondslag in de zin van artikel 6 van de AVG, gedurende een periode van zes tot tien maanden nadat klager zijn verzoek tot verwijdering en bezwaar had ingediend, en in strijd met het rechtmatigheidsbeginsel. Bovendien heeft verweerder niet geantwoord op het verzoek van klager om wissing en bezwaar, aangezien deze verzoeken meer dan een jaar en vijf maanden onbeantwoord zijn gebleven wat het verzoek om wissing betreft, en nog steeds onbeantwoord zijn gebleven wat het verzoek om bezwaar betreft. 60. In het licht van het bovenstaande concludeert de Geschillenkamer dat verweerder de beginselen van rechtmatigheid en transparantie van artikel 5.1.
  4. a)van de AVG heeft geschonden door niet te voldoen aan de vereisten van de artikelen 6 en 12 van de AVG. II.2.3. Vermeende schending van de artikelen 5.2 en 24 van de AVG (verantwoordingsbeginsel) II.2.3.1. Standpunt van de verweerder 61. De volgende middelen heeft verweerder alleen ter hoorzitting aangevoerd:
  5. a)Wat de voormalige DPO en zijn rol betreft, beschreef verweerder hem als competent op het gebied van communicatie en arbeidsrecht, maar hij merkte tekortkomingen op in zijn beheer van de communicatie met de ID, de ELD en de Geschillenkamer. Deze tekortkomingen zorgden voor problemen en brachten zwakke plekken aan het licht in zijn beheer van de interne communicatie binnen de organisatie van de verweerder , wat uiteindelijk leidde tot zijn vervanging. Beslissing ten gronde 87/2024 — 17/57
  6. b)Wat betreft het verzoek van klager om te worden gewist heeft de voormalige DPO weliswaar interne maatregelen genomen om de verzoeken van klager te behandelen, met name door 'code 43' te gebruiken en, volgens verweerder, door de ID in te lichten in het kader van de inspectie waaraan deze was onderworpen (zie punt II.1.1), maar hij heeft niet gereageerd op de ELD en klager niet ingelicht. De voormalige DPO was van mening dat gegevens die onder de categorie 'code 43' waren geplaatst, leidden tot de wissing van gegevens en niet tot een beperking van gegevens. Verweerder verklaarde ook dat hij de verwijdering van de gegevens van de klager door de Duitse verwerker niet kon verifiëren of bevestigen, aangezien deze laatste geen schriftelijke bevestiging had verstrekt. De verweerder bevestigde dat hij geen controle meer had over deze gegevens. Op 3 november 2023 heeft verweerder in antwoord op het proces-verbaal van de hoorzitting verduidelijkt dat het misverstand met de Duitse verwerker over de categorisatie van gegevens onder 'code 43' het gevolg was van de onjuiste overtuiging van de voormalige DPO en de directie dat deze code leidde tot de verwijdering van persoonsgegevens, terwijl deze code er in feite toe leidde dat deze gegevens niet toegankelijk waren voor de frontdesk van hun systeem. Deze situatie wordt momenteel rechtgezet met de hulp van de nieuwe DPO (huidige DPO).
  7. c)Wat de verwerkingsverantwoordelijkheid tussen de Duitse verwerker en hemzelf betreft, heeft verweerder zijn onzekerheid geuit over de structuur van die verantwoordelijkheid, waarbij hij heeft opgemerkt dat hij geneigd is zichzelf als de enige verwerkingsverantwoordelijke te beschouwen. In antwoord op het PV van de hoorzitting heeft verweerder verduidelijkt dat hij aan de Duitse verwerker is gebonden door een verwerkersovereenkomst (art. 28 AVG).
  8. d)Wat de exclusieve toegang van de voormalige DPO tot de mailbox "privacy@Y.be" betreft, verklaarde verweerder dat dit problemen opleverde, met name tijdens afwezigheid wegens ziekte of verlof, waardoor zijn vermogen om verzoeken efficiënt te behandelen werd aangetast. Hij wees erop dat de voormalige DPO, die drie dagen per week in deeltijd werkte, vaak overwerkt was. De verweerder heeft het einde van het contract van de voormalige DPO na een opzegtermijn aangekondigd en verklaard dat zijn opvolger sinds 11 juli 2023 voltijds werkt, ondersteund door twee andere werknemers, voor het gedeelde beheer van de mailbox met alle e-mails, waaronder die van de DPO. Deze nieuwe organisatie is bedoeld om een groter reactievermogen te garanderen. De verweerder verbond zich ertoe de beslissingen van GBA na te leven en klantgegevens niet onnodig te bewaren. Beslissing ten gronde 87/2024 — 18/57 In antwoord op het proces-verbaal van de hoorzitting bevestigde verweerder opnieuw het risico van niet-verwerkte correspondentie te willen verminderen door administratieve maatregelen te nemen, namelijk door een team van drie personen, waaronder de nieuwe DPO (de huidige DPO), op te richten om de e-mailbox te beheren. II.2.3.2. Standpunt van de Geschillenkamer 62. Met betrekking tot het verantwoordingsbeginsel (art. 5.2 AVG) wijst de Geschillenkamer erop dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet treffen om te waarborgen en te kunnen aantonen dat de verwerking wordt uitgevoerd in overeenstemming met de AVG en andere wetgeving inzake de bescherming van persoonsgegevens (art. 24.1 AVG). Die maatregelen worden geëvalueerd en indien nodig geactualiseerd. Vervolgens bepaalt artikel 24.2 van de AVG : "Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in artikel 24.1, van de AVG genoemde maatregelen, een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd"(de Geschillenkamer onderstreept). 63. Overweging 74 van de AVG voegt daaraan toe: "meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig de [AVG] geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen." 64. Op grond van het verantwoordingsbeginsel is het daarom aan de verwerkingsverantwoordelijke om interne procedures te ontwikkelen die betrokkenen in staat stellen hun rechten effectief uit te oefenen en om de naleving van de regels van de AVG te integreren in zijn verwerking en procedures, bijvoorbeeld door het bestaan en de effectiviteit van procedures voor de behandeling van verzoeken van betrokkenen te garanderen (art. 25 AVG). 65. De maatregelen die worden geïmplementeerd in overeenstemming met het verantwoordingsbeginsel, gelezen in samenhang met het transparantiebeginsel (art. 5.1.
  9. a)van de AVG), zijn bedoeld om betrokkenen in staat te stellen controle uit te oefenen op de verwerking van hun gegevens20. 66. Met betrekking tot de functionaris voor gegevensbescherming (DPO) 21 wijst de Geschillenkamer 20 21 erop dat de Zie overweging 78 van de AVG. Geschillenkamer Beslissing 41/2020 punten 87 en 88. AVG de verantwoordelijkheden van de Beslissing ten gronde 87/2024 — 19/57 verwerkingsverantwoordelijke duidelijk omschrijft, met name in artikel 38.2 van de AVG. Dit artikel preciseert het volgende "de verwerkingsverantwoordelijke en de verwerker ondersteunen de functionaris voor gegevensbescherming bij de vervulling van de in artikel 39 bedoelde taken door hem toegang te verschaffen tot persoonsgegevens en verwerkingsactiviteiten en door hem de benodigde middelen ter beschikking te stellen voor het vervullen van deze taken en het in stand houden van zijn deskundigheid" (de Geschillenkamer onderstreept). 67. In dit verband is de Geschillenkamer van mening dat met name de volgende aspecten in aanmerking moeten worden genomen22 : - De deelname van de DPO of, indien van toepassing, zijn team, in alle aangelegenheden met betrekking tot gegevensbescherming. Dit omvat het informeren en raadplegen van de DPO zodra een ontwerp voor gegevensverwerking wordt overwogen, waardoor naleving van de AVG wordt bevorderd en een aanpak van gegevensbescherming van bij het ontwerpgn' wordt aangemoedigd. De DPO moet vanzelfsprekend een centrale contactpersoon binnen de organisatie worden, bijvoorbeeld door deel te nemen aan werkgroepen die zich bezighouden met gegevensverwerkingsactiviteiten binnen het bedrijf; - Erkenning en versterking van de functie van de DPO door het hogere kader (bijvoorbeeld op directieniveau); - Het is essentieel dat de DPO voldoende tijd krijgt om zijn taken effectief uit te voeren. Dit aspect is vooral belangrijk als de DPO zijn functie op deeltijdse basis uitvoert, hetzij intern of extern aan de organisatie. Het gebrek aan tijd dat de functionaris voor gegevensbescherming krijgt om zijn taken uit te voeren, kan leiden tot prioriteitsconflicten en zijn vermogen om zijn taken uit te voeren in gevaar brengen. Om deze situatie te verhelpen, beveelt de WP29 aan om samen met de DPO de geschatte tijd te bepalen die nodig is om zijn taken uit te voeren (de behoefte is groter bij het aanvaarden van de functie). Het kan nuttig zijn om een werkplan op te stellen met prioriteiten voor de taken van de DPO, zodat hij voldoende tijd heeft om zich volledig van zijn verantwoordelijkheden te kwijten. Daarnaast is het essentieel dat de toewijzing van middelen voor de DPO in verhouding staat tot de omvang, complexiteit, structuur en risico's van de gegevensverwerkingsactiviteiten. Hoe complexer of gevoeliger de verwerkingen, hoe meer middelen de DPO krijgt toegewezen; - Officiële bekendmaking van de benoeming van de DPO aan al het personeel om ervoor te zorgen dat zijn of haar rol binnen de organisatie algemeen bekend is; 22 WP29 "Richtlijnen voor functionarissen voor gegevensbescherming (DPO"), WP 243 rev.01, 5 april 2017, blz.. 16. Beslissing ten gronde 87/2024 — 20/57 - Passende ondersteuning op het gebied van financiële middelen (waaronder een budget voor bewustmakingsactiviteiten of de werving van een tijdelijk of vast team), infrastructuur (gebouwen, faciliteiten, apparatuur) en personeel, indien van toepassing; - Standaard toegang tot juridische documentatie met betrekking tot de verwerking van persoonsgegevens waarbij de organisatie betrokken is met derden, in het bijzonder partners en verwerkers; - Toegang tot interne communicatiemiddelen bij het uitvoeren van haar taken om het bewustzijn te vergroten en opleidingen te geven over de vereisten van de AVG, inclusief het vergroten van het bewustzijn van goede praktijken en het beheren van incidenten zoals frauduleuze e-mails of datalekken; - Toegang tot andere afdelingen zoals personeelszaken, juridische zaken, IT, beveiliging, etc., zodat de DPO ondersteuning, input en essentiële informatie van deze andere afdelingen kan ontvangen. 23 ; - Voortgezette opleiding om de vakkennis van de DPO up-to-date te houden; - Al naargelang de omvang en de structuur van het organisme kan het nodig blijken een team te vormen rond de functionaris. In dergelijke gevallen moeten de interne structuur van het team en de taken en verantwoordelijkheden van elk lid duidelijk worden vastgesteld. Wanneer de functie van DPO door een externe dienstverlener wordt bekleed, kan op dezelfde manier een team van personen die voor die entiteit werken feitelijk alle taken van de functionaris voor gegevensbescherming als team uitvoeren, onder de verantwoordelijkheid van een aangestelde hoofdcontactpersoon van de klant”. 68. Uiteindelijk moet de DPO-functie effectief worden uitgeoefend om effectieve gegevensbeschermingspraktijken te garanderen die voldoen aan de AVG. De verwerkingsverantwoordelijke is wettelijk verplicht om de structuren en maatregelen op te zetten die nodig zijn om het werk van de DPO te vergemakkelijken en de bescherming van persoonsgegevens te garanderen. Dit betekent dat de DPO moet kunnen beschikken over voldoende middelen, afhankelijk van de aard van de gegevensverwerking en de bijbehorende risico's, en dat de tijd en toegang beschikbaar moet zijn die nodig zijn om de rol binnen de organisatie te vergemakkelijken en te ondersteunen. 69. Op grond van de feitelijke elementen in het dossier stelt de Geschillenkamer de volgende elementen vast: 23 Bergt, in Kühling, Buchner, DS-GVO BDSG, Article 38 GDPR, margin number 20 (C.H. Beck 2020, 3rd Edition). Beslissing ten gronde 87/2024 — 21/57
  10. a)Met betrekking tot het verzoek voor wissing en bezwaar, ingediend op 30 juni 2022 : i. De verweerder beperkte de verwerking van de gegevens met behulp van 'code 43', waardoor de gegevens ontoegankelijk werden vanaf de frontdesk van hun systeem. Deze maatregel beantwoordt echter niet aan de oorspronkelijke verzoeken van de klager, die vroeg om zijn gegevens volledig te wissen en bezwaar maakte tegen elke verdere verwerking voor directmarketingdoeleinden, wat wijst op een duidelijke tekortkoming in de bestaande technische en organisatorische maatregelen. ii. De persoonsgegevens van de klager werden in elk geval tot de datum van sluiting van de procedure nog steeds bewaard door de Duitse verwerker van de verweerder, ondanks zijn verzoek tot wissen en bezwaar. Het onvermogen om de daadwerkelijke wissing van dergelijke gegevens onomstotelijk te verifiëren of te bevestigen, doet vragen rijzen over de doeltreffendheid van de interne procedures die momenteel van kracht zijn, zowel met betrekking tot de wissing van gegevens als tot de coördinatie tussen de verschillende entiteiten van de verweerder om te voldoen aan de AVG.
  11. b)Met betrekking tot de antwoorden op de verzoeken van de klager tot wissen en bezwaar : i. Tot op de datum van sluiting van de procedure had verweerder nog steeds niet gereageerd op de verzoeken van klager om wissing en bezwaar, waaruit blijkt dat hij ernstig heeft verzuimd passende technische en organisatorische maatregelen te nemen om de eerbiediging van de rechten van betrokkenen te waarborgen in overeenstemming met de AVG. ii. Het rechtvaardigen van de ontvangst van nieuwsbrieven op basis van de toestemming van de klager, zelfs wanneer deze zijn recht op wissen en bezwaar heeft uitgeoefend, onthult een tekortkoming in de maatregelen om transparantie, respect voor toestemming en wissen en bezwaar van gegevens te waarborgen, ook in afzonderlijke entiteiten binnen het netwerk van verweerder, en is in strijd met de vereisten van de AVG.
  12. c)Wat de DPO en de nieuwe maatregelen van verweerder betreft 24, i. De verweerder erkende dat de voormalige DPO deeltijds werkte en overbelast was, waardoor hij verschillende brieven niet goed kon beantwoorden. Dit is zorgwekkend, aangezien de DPO een essentiële rol 24 Zie ook punten 64 tot en met 70. Beslissing ten gronde 87/2024 — 22/57 speelt bij het waarborgen van de naleving van de AVG. In overeenstemming met de AVG moet de verwerkingsverantwoordelijke de DPO alle noodzakelijke middelen ter beschikking stellen om hem in staat te stellen zijn taken en verplichtingen adequaat uit te voeren in overeenstemming met artikel 38 van de AVG (zie punten 66 tot en met 68). Het feit dat de voormalige DPO deeltijds werkte en overbelast was, wijst erop dat er geen passende organisatorische maatregelen zijn genomen om naleving van de AVG te waarborgen. ii. De Geschillenkamer merkt op dat het besluit van verweerder om een nieuwe voltijdse DPO in dienst te nemen, werd genomen na de inspectie door de ID (zie Titel II.1.1). Deze corrigerende maatregelen naar aanleiding van het onderzoek van de ID (zie titel II.1.1) wijzen op een schending van het verantwoordingsbeginsel dat voortvloeit uit artikel 5,.2 juncto 24 van de AVG. Dergelijke maatregelen hadden al moeten zijn genomen voordat de GBA ingreep om te waarborgen dat de AVG voortdurend wordt nageleefd. iii. Ondanks de communicatieproblemen van de voormalige DPO, het uitblijven van een reactie op ELD-verzoeken en het onderzoek van de ID (zie titel II.1.1), heeft verweerder niet voor een meer voorzichtige aanpak gekozen door passende stappen te ondernemen om zijn processen te verbeteren en de naleving van de AVG te waarborgen, zowel voor vroegere als toekomstige verzoeken van betrokkenen. Het zou bijvoorbeeld een goed idee zijn geweest om de nieuwe DPO, die op 11 juli 2023 is aangenomen en wordt bijgestaan door twee beheerders, te vragen om alle e-mails te raadplegen die nog in de mailbox "privacy@Y.be" staan, om eventuele onopgeloste verzoeken af te handelen. Zich verschuilen achter een vermeend gebrek aan kennis van de inhoud van de eerdere e-mails en de voormalige DPO de schuld geven, ontslaat verweerder geenszins van aansprakelijkheid, vooral omdat hij volgens de verklaringen van verweerder voorwerp was van een onderzoek door de ID en dus op de hoogte was van de problemen van de voormalige DPO. Hoewel verweerder bepaalde stappen heeft ondernomen om de situatie te verhelpen, waaronder het aannemen van een nieuwe voltijdse DPO en het versterken van het team, blijven deze maatregelen in de ogen van de Geschillenkamer ontoereikend. Op grond van het verantwoordingsbeginsel had verweerder, gelet op de omstreden context en de noodzaak om aan de bepalingen van de AVG te voldoen, proactief stappen moeten ondernemen om zijn processen te verbeteren en de naleving van de AVG te waarborgen. Beslissing ten gronde 87/2024 — 23/57 70. Daarnaast kan het ontbreken van technische of organisatorische maatregelen - zoals het ontbreken van maatregelen om het onnodig bewaren van gegevens te beperken of onbekendheid met de codes die worden gebruikt in verzoeken om gegevens te wissen of bezwaar te maken - de vertrouwelijkheid en veiligheid van de persoonsgegevens van betrokkenen in gevaar brengen. Bijgevolg vestigt de Geschillenkamer de aandacht van verweerder op de noodzaak om het in artikel 5.1.f van de AVG, gelezen in samenhang met artikel 32 van de AVG, neergelegde beginsel van veiligheid en vertrouwelijkheid in acht te nemen. Ten slotte moedigt de Geschillenkamer de verweerder ten zeerste aan om zich te blijven inspannen om maatregelen te treffen om de functie van de DPO doeltreffend te ondersteunen. 71. Gelet op het voorgaande concludeert de Geschillenkamer dat verweerder de artikelen 5.2 en 24 van de AVG niet heeft nageleefd. II.2.4. Vermeende schending van artikel 31 van de AVG (medewerking met de toezichthoudende autoriteit II.2.4.1. Standpunt van de verweerder 72. Tijdens de hoorzitting voerde de verweerder verschillende argumentne aan:
  13. a)De problemen met de GBA begonnen onder het beheer van de voormalige DPO. Noch de huidige DPO, noch de directie werden op de hoogte gesteld van de verzoeken van de GBA (zie Titel II.2.3).
  14. b)De huidige DPO ontdekte de correspondentie van de Geschillenkamer pas twee weken voor de hoorzitting en alleen de voormalige DPO was op de hoogte van de correspondentie van de GBA.
  15. c)De verweerder wees erop dat de voormalige DPO de informatie, waaronder de uitnodiging tot sluiting en de door de ELD verzonden bemiddelingsmails, niet intern had doorgegeven, waardoor een passende reactie onmogelijk was.
  16. d)De voormalige DPO had de brieven van de GBA of van klager niet naar behoren verwerkt en had deze informatie niet intern gedeeld vanwege zijn werkoverlast (zie Titel II.2.3).
  17. e)Ondanks maatregelen om de verwerking van de gegevens van de klager te beperken, werd er geen contact opgenomen met de klager of de GBA en bleven de e-mails van de GBA onverwerkt in de mailbox "privacy@Y.be". 73. In antwoord op de motivering stelde verweerder dat de voormalige DPO niet had gereageerd op de mededelingen van GBA vanwege zijn overbelasting van het werk van december 2022 tot maart 2023, een motivering die afkomstig was van de voormalige DPO Beslissing ten gronde 87/2024 — 24/57 zelf, en niet van verweerder. Bovendien zou de voormalige DPO hebben nagelaten het management op de hoogte te stellen van deze werkdruk. Ditzelfde argument van nietreageren werd ook aangevoerd om het uitblijven van reacties op berichten van de ID in deze periode te rechtvaardigen. II.2.4.2. Standpunt van de Geschillenkamer 74. Artikel 31 van de AVG stelt dat de verwerkingsverantwoordelijke de verwerker en, in voorkomend geval, hun vertegenwoordigers, desgevraagd samenwerken met de toezichthoudende autoriteit bij het vervullen van haar taken. Deze samenwerking is van cruciaal belang om de toezichthoudende autoriteit in staat te stellen haar plichten en taken op het gebied van gegevensbescherming effectief uit te voeren. In dit verband moet artikel 31 van de AVG worden gelezen in combinatie met de artikelen 57 en 58 van de AVG 25, waarin de taken en onderzoeksbevoegdheden van de toezichthoudende autoriteit worden beschreven. 75. De algemene plicht tot samenwerking uit artikel 31 van de AVG wordt versterkt door artikel 83.4.
  18. a)van de AVG, waarin deze samenwerking wordt beschreven als een "verplichtingen van de verwerkingsverantwoordelijke en de verwerker". Het niet naleven van deze verplichting tot samenwerking is op zichzelf ook een schending van de AVG, zoals uiteengezet in artikel 83 van de AVG: " De Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 10 000 000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is:
  19. a)de verplichtingen van de verwerkingsverantwoordelijke en de verwerker overeenkomstig de artikelen 8, 11, 25 tot en met 39, en 42 en 43; [...]". 76. Artikel 83 van de AVG bepaalt ook de criteria die worden gebruikt om te beslissen of een geldboete wordt opgelegd en de hoogte van de boete. Het is veelzeggend dat de mate van medewerking expliciet wordt genoemd als een van de elf criteria die van invloed zijn op de vaststelling van deze sancties (art. 83, lid 2, AVG). 77. Overweging 82 van de AVG versterkt ook deze verplichting tot samenwerking door met name het bijhouden van registers van de verwerkingsactiviteiten voor te schrijven, evenals de verplichting om deze registers op verzoek aan de toezichthoudende autoriteit ter beschikking te stellen. Het doel van deze overweging is om de toezichthoudende autoriteit 25 Artikel 57 van de AVG beschrijft de uitgebreide taken die aan de toezichthoudende autoriteiten zijn toegewezen, terwijl artikel 58 van de AVG de uitgebreide onderzoeksbevoegdheden specificeert die krachtens de verordening aan hen zijn toegekend. Beslissing ten gronde 87/2024 — 25/57 in staat te stellen verwerkingen te controleren en te monitoren en haar taken uit te voeren in overeenstemming met artikel 57 van de AVG. 78. De Geschillenkamer wijst erop dat zowel verwerkingsverantwoordelijken als verwerkers rechtstreeks verantwoording verschuldigd zijn aan de toezichthoudende autoriteiten krachtens hun verplichtingen om op verzoek passende documenten bij te houden en te verstrekken, om mee te werken aan onderzoeken en om te voldoen aan administratieve bevelen. Meer in het bijzonder houdt de algemene plicht tot samenwerking 26 in dat de verwerkingsverantwoordelijke en de verwerker :
  20. a)Reageren op verzoeken van de toezichthoudende autoriteit: Wanneer de toezichthoudende autoriteit, zoals de GBA, informatie, gegevens of antwoorden vraagt met betrekking tot de verwerking van persoonsgegevens, moeten de verwerkingsverantwoordelijke en de verwerker deze informatie volledig en tijdig verstrekken;
  21. b)Actief samenwerken : De verwerkingsverantwoordelijke en de verwerker moeten nauw samenwerken met de toezichthoudende autoriteit om haar te helpen haar taken uit te voeren, met name door informatie te verstrekken over de gegevensverwerkingspraktijken en stappen te ondernemen om inbreuken op de AVG te verhelpen;
  22. c)Voldoen aan de instructies van de toezichthoudende autoriteit: Als de toezichthoudende autoriteit specifieke instructies geeft voor de naleving van de AVG, moeten de verwerkingsverantwoordelijke en de verwerker deze op de juiste manier opvolgen. Het is belangrijk op te merken dat deze lijst niet bedoeld is om volledig te zijn. 79. Kortom, het fundamentele doel van deze algemene plicht tot samenwerking die aan elke verwerkingsverantwoordelijke en verwerker wordt opgelegd, is te zorgen voor een doeltreffend toezicht en een nauwgezette naleving van de regels inzake gegevensbescherming. Verwerkingsverantwoordelijken en verwerkers moeten actief samenwerken en volledig samenwerken met de toezichthoudende autoriteit om naleving van de bepalingen van de AVG te waarborgen en de rechten van betrokkenen met betrekking tot persoonsgegevens te beschermen. Deze verplichting, in combinatie met het verantwoordingsbeginsel van artikel 5.2 van de AVG, versterkt de rol van de toezichthoudende autoriteit bij de uitoefening van haar bevoegdheden om de effectieve toepassing van de regels inzake gegevensbescherming te waarborgen. 26 EDPB, Richtsnoeren 07/2020 over de begrippen 'verwerkingsverantwoordelijke' en 'verwerker' in de AVG, versie 2.0, aangepast op 7 juli 2021, punt 9. Beslissing ten gronde 87/2024 — 26/57 80. Niet-naleving van deze verplichting kan leiden tot afzonderlijke administratieve geldboetes in overeenstemming met artikel 83.4.
  23. a)van de AVG. Ten slotte kan een schending van deze verplichting tot samenwerking ook worden beschouwd als een schending van het verantwoordingsbeginsel (art. 5.2 AVG). 81. In deze zaak merkte de Geschillenkamer op dat de ELD de verweerder had benaderd met het oog op bemiddeling. Meer in het bijzonder heeft de ELD twee verzoeken van 7 december 2022 en 17 januari 2023 verzonden, waarop verweerder niet heeft geantwoord. Bovendien nam de ELD het verzoek van de klager op in het verzoek om bemiddeling, waardoor verweerder werd herinnerd aan zijn plicht om het recht op wissen van de klager te respecteren. Ondanks deze stappen moest de ELD echter op 20 februari 2023 kennisgeving doen van het mislukken van de bemiddeling, omdat verweerder niet reageerde, zowel op de bemiddeling als op het verzoek van klager (zie de punten 4 tot en met 11). 82. Met betrekking tot de e-mails en brieven van de ELD die aan verweerder zijn gestuurd, merkt de Geschillenkamer op dat er geen technische en organisatorische maatregelen zijn die verweerder in staat zouden stellen om een overzicht te hebben van de AVGgerelateerde kwesties die door de voormalige DPO zijn behandeld en/of om de correcte verwerking te controleren van verzoeken die naar de voormalige DPO zijn gestuurd, hetgeen de nalatigheid van verweerder benadrukt (zie Titel II.2.3). 83. Enerzijds merkt de Geschillenkamer op dat deze nalatigheid voornamelijk lijkt voort te vloeien uit verwarring als gevolg van het feit dat verweerder was onderworpen aan een inspectie door de ID (zie Titel II.1.1), die geheim blijft overeenkomstig artikel 63.3 van de WOG. In dit verband benadrukt de Geschillenkamer dat de verweerder verplicht is om met alle diensten van de GBA samen te werken. Het niet reageren op een brief van een van de diensten van de GBA, in dit geval een uitnodiging om mee te werken aan bemiddeling door de ELD, kan worden geïnterpreteerd als een weigering om mee te werken en mogelijk worden beschouwd als een schending van artikel 31 van de AVG. 84. Anderzijds merkt de Geschillenkamer op dat verweerder zijn verantwoordelijkheid probeert te ontlopen door de nalatigheid om niet te reageren op mededelingen van de ELD, de ID, de Geschillenkamer en de klager toe te schrijven aan zijn voormalige DPO. Verweerder stelt dat hij niet op de hoogte was van de buitensporige werklast van laatstgenoemde, die zijn vermogen om gunstig te reageren op de verzoeken van GBA en de klager zou hebben belemmerd. De AVG bevat een aantal artikelen waarin de verplichtingen van een verwerkingsverantwoordelijke of verwerker worden uiteengezet, waaronder de artikelen 5, 6, 9, 25, 32, 33, 37 en 38 van de AVG. Op grond van het verantwoordingsbeginsel (zie Titel II.2.3) moet de verwerkingsverantwoordelijke aantonen dat hij de bepalingen van de Beslissing ten gronde 87/2024 — 27/57 AVG naleeft door passende technische en organisatorische maatregelen te nemen om de rechten en vrijheden van natuurlijke personen te beschermen. Als de verwerkingsverantwoordelijke een DPO aanstelt voor zijn juridische afdeling of een algemeen e-mailadres gebruikt zoals "privacy@Y.be" om te reageren op verzoeken van betrokkenen, is het de verantwoordelijkheid van de verwerkingsverantwoordelijke om ervoor te zorgen dat e-mails die naar dit adres worden gestuurd regelmatig worden geraadpleegd en verwerkt, zelfs als een persoon die op de betreffende afdeling heeft gewerkt en/of de DPO ontslag neemt of als de werklast van de DPO buitensporig wordt. Wat dit laatste punt betreft, wijst de Geschillenkamer erop dat het aan de verwerkingsverantwoordelijke is om te voldoen aan de bepalingen van artikel 38 van de AVG. 85. Gelet op de bijzondere context van de huidige inspectie (zie Titel II.1.1) en de werkdruk waarmee de voormalige DPO werd geconfronteerd, stelt de Geschillenkamer vast dat verweerder de behandeling van de aan de voormalige DPO gerichte verzoeken niet naar behoren heeft gecontroleerd. Hoewel er stappen waren ondernomen, zoals uitbreiding van het personeelsbestand en vervanging van de voormalige DPO, leken deze niet volledig effectief te zijn, met name met betrekking tot het onderzoeken van alle eerdere GBAverzoeken, waaronder die van klager, die onbeantwoord bleven, evenals mogelijk andere eerdere verzoeken. Om deze situatie te verhelpen, had verweerder kunnen overwegen aanvullende maatregelen te nemen, zoals een opfriscursus met het nieuwe gegevensbeschermingsteam, waarbij de nadruk werd gelegd op de noodzaak om de inhoud van bovengenoemd e-mailadres te bekijken, teneinde eventuele tekortkomingen van de voormalige DPO te corrigeren en een passend antwoord op alle verzoeken van betrokkenen te waarborgen. In elk geval is naleving van de AVG de verantwoordelijkheid van de verwerkingsverantwoordelijke en niet de bevoegdheid en het takenpakket van een DPO. 86. Wat het niet indienen van conclusies betreft, is de Geschillenkamer van mening dat de verweerder vrij is om te kiezen of hij zich wil verdedigen, zijn argumenten naar voren wil brengen en zijn standpunt op een formele en gestructureerde manier wil ondersteunen. Zonder deze conclusies zou de Geschillenkamer gedwongen kunnen worden om bij verstek uitspraak te doen. In dit geval kreeg de verweerder de gelegenheid om zijn argumenten mondeling toe te lichten tijdens een hoorzitting. 87. Gelet op het voorgaande heeft verweerder tijdens de bemiddelingsprocedure niet volledig meegewerkt met de GBA, in het bijzonder met de ELD. De Geschillenkamer heeft echter niet kunnen vaststellen of dit gebrek aan reactie het gevolg was van verwarring als gevolg van de lopende inspectie (zie Titel II.1.1), dan wel het gevolg was van opzet of grove Beslissing ten gronde 87/2024 — 28/57 nalatigheid bij het niet verlenen van medewerking, hetgeen tot de conclusie leidt dat er geen sprake is van een inbreuk op artikel 31 van de AVG. III. Over de corrigerende maatregelen en straffen III.1. Corrigerende maatregelen en sancties 88. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 89. In bovengenoemd artikel 100 wordt de lijst van sancties van artikel 58, lid 2, van de AVG gespecificeerd. Beslissing ten gronde 87/2024 — 29/57 90. Wat betreft de administratieve geldboete die kan worden opgelegd overeenkomstig de artikelen 83 van de AVG en de artikelen 100, 13°, en 101 van de WOG, bepaalt artikel 83 van de AVG: "1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn. 2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder
  24. a)tot en met
  25. h)en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:
  26. a)de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
  27. b)de opzettelijke of nalatige aard van de inbreuk;
  28. c)de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
  29. d)de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;
  30. e)eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
  31. f)de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
  32. g)de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
  33. h)de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
  34. i)de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
  35. j)het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en Beslissing ten gronde 87/2024 — 30/57
  36. k)elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien." III.2. 2.2 Vastgestelde inbreuken 91. De Geschillenkamer oordeelde dat er in deze zaak sprake was van ernstige schendingen van de grondrechten van de betrokkenen (zie Titel II.2). Meer in het bijzonder stelde de Geschillenkamer schendingen vast van de hierna volgende bepalingen van de AVG, die alle kunnen worden toegeschreven aan het unieke gedrag van de verweerder 27:
  37. a)Schendingen van de artikelen 17 en 21 van de AVG (zie Titels II.1.2 en II.2.1) De verweerder heeft de artikelen 17 en 21 van de AVG geschonden door niet binnen de gestelde termijn te reageren op een verzoek om persoonsgegevens te wissen en bezwaar te maken tegen de verwerking van dergelijke gegevens voor directmarketingdoeleinden28 meer dan een jaar nadat de klager zijn rechten had uitgeoefend. Opgemerkt moet worden dat deze gegevens ten tijde van de hoorzitting nog steeds op de servers van verweerder stonden, met inbegrip van de gegevens die voor directmarketingdoeleinden werden verwerkt.
  38. b)Schending van artikel artikel 5.1.
  39. a)van de AVG (zie Titel II.2.2) De verweerder heeft de klager niet geïnformeerd over de maatregelen die zijn genomen in antwoord op zijn verzoeken om wissen en bezwaar, zoals vereist door zijn informatie- en communicatieverplichtingen als bedoeld in artikel 12 van de AVG, wat in strijd is met het transparantiebeginsel van artikel 5.1.
  40. a)van de AVG 29. Bovendien vormt de voortgezette verwerking van gegevens voor directmarketingdoeleinden zonder passende rechtsgrondslag, zoals vereist door de AVG, een inbreuk op het rechtmatigheidsbeginsel van artikel 5.1.
  41. a)van de AVG. In dit geval beriep de verweerder zich op toestemming als rechtsgrondslag. Zodra deze toestemming echter door de klager is ingetrokken (door zijn recht op bezwaar 27 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf. 28 Zie punten 5 en 40 in deze beslissing. 29 Werkgroep 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260Rev260, blz. 260, punten 1, 7 en 54; Deze richtlijnen van de artikel 29 werkgroep (G29) bieden praktische richtsnoeren en hulp bij de interpretatie van de nieuwe transparantieverplichting die van toepassing is op de verwerking van persoonsgegevens onder de Algemene Verordening Gegevensbescherming (hierna de "AVG"). Transparantie is een algemene verplichting in de zin van de AVG die van toepassing is op drie centrale gebieden: 1) het verstrekken van informatie aan betrokkenen over de eerlijke verwerking van hun gegevens; 2) hoe verwerkingsverantwoordelijken communiceren met betrokkenen over hun rechten onder de AVG; en 3) hoe verwerkingsverantwoordelijken het voor betrokkenen gemakkelijker maken om hun rechten uit te oefenen. Deze richtsnoeren beschrijven de algemene beginselen met betrekking tot de uitoefening van de rechten van betrokkenen in plaats van in te gaan op de specifieke details van elk van deze rechten van betrokkenen onder de AVG. Met andere woorden, ze bieden een leidraad voor de onderliggende concepten en beginselen die moeten worden nageleefd bij het uitoefenen van de rechten van de betrokkenen, in plaats van gedetailleerde instructies te geven over hoe elk specifiek recht op een praktische manier moet worden uitgeoefend. Beslissing ten gronde 87/2024 — 31/57 en op wissing uit te oefenen), is de verdere verwerking van zijn of haar gegevens voor directmarketingdoeleinden onwettig, en dus in strijd is met het in artikel 5.1.
  42. a)van de AVG bekrachtigde rechtmatigheidsbeginsel.
  43. c)Schending van de artikelen 5.2 juncto 24 van de AVG (zie de Titels II.2.3 en II.2.4) Voor zover verweerder niet binnen de voorgeschreven termijnen heeft gereageerd op de verzoeken om persoonsgegevens te wissen en om bezwaar te maken tegen de verwerking van dergelijke gegevens voor directmarketingdoeleinden, heeft dit geleid tot de voortzetting van de verwerking van de persoonsgegevens van klager zonder dat de beginselen inzake gegevensbescherming van artikel 5.1 van de AVG werden nageleefd (zie hierboven). Dit verzuim benadrukt het slechte beheer van verzoeken van betrokkenen, met name met betrekking tot het recht van de klager op wissen en bezwaar. Bovendien wordt deze tekortkoming in het beheer van de verzoeken van de betrokkenen versterkt door de ontoereikendheid van de door verweerder genomen maatregelen, zoals het gebruik van 'code 43' om de verwerking van gegevens te beperken, die ontoereikend werden geacht om te reageren op de oorspronkelijke verzoeken van klager. Deze situatie benadrukt ook een gebrek aan beheersing van de codes die worden gebruikt om te reageren op verzoeken van de betrokken personen. Bovendien wijzen het voortbestaan van de gegevens op de servers van verweerder en de problemen met de DPO erop dat de technische en organisatorische maatregelen die nodig zijn om aan de AVG te voldoen, niet ten uitvoer zijn gelegd. Dit onthult een lacune in de technische en organisatorische procedures. Verweerder heeft derhalve artikel 5.2. juncto 24 van de AVG geschonden. III.3. Corrigerende Maatregelen en sancties opgelegd door de Geschillenkamer 92. Als onafhankelijke administratieve autoriteit heeft de Geschillenkamer de exclusieve bevoegdheid om de gepaste corrigerende maatregelen en sancties te bepalen in overeenstemming met de relevante bepalingen van de AVG en de WOG. Deze bevoegdheid vloeit specifiek voort uit de artikelen 58 en 83 van de AVG, zoals bevestigd door de rechtspraak van het Marktenhof in zijn arresten van 7 juli 2021, 6 september 2023 en 20 december 202330, waarin de omvang van de discretionaire bevoegdheid van de Geschillenkamer met betrekking tot de keuze en de reikwijdte van sancties duidelijk naar voren kwam. 93. Daartoe zal de Geschillenkamer rekening houden met alle relevante omstandigheden van de zaak, met inbegrip van - binnen de hieronder in Titel III.3.2 vastgestelde grenzen - de 30 Marktenhof, 2021/KB/320, p. 37-47; 2020/AR/1160, blz. 34; 2023/AR/817, blz. 57, 61 en 62. Beslissing ten gronde 87/2024 — 32/57 reactie van verweerder van 5 april 2024 op de voorgestelde sancties die hem zijn meegedeeld door middel van het sanctieformulier van 15 maart 2024 31. De Geschillenkamer wijst er echter op dat het sanctieformulier bedoeld is om de vermeende overtreder, in dit geval de verweerder, in staat te stellen zich te verdedigen tegen het bedrag van de voorgestelde geldboete voordat deze wordt opgelegd en daadwerkelijk ten uitvoer wordt gelegd. Deze verweerprocedure, voorzien in het sanctieformulier over het bedrag van de voorgestelde geldboete, leidt niet tot nieuwe debatten over de bevindingen die al zijn vastgesteld door de Geschillenkamer, aangezien deze gesloten zijn. Bovendien vormt de brief met het sanctieformulier geen beslissing waartegen beroep kan worden aangetekend bij het Marktenhof krachtens artikel 108 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit. 94. In overeenstemming met deze uitleg nodigt de Geschillenkamer verweerder uit om afdeling "Titel II.1.1" van deze beslissing te raadplegen voor meer gedetailleerde uitleg en herhaalt dat zij het verzoek afwijst om het dossier (...) samen te voegen met het huidige dossier waarop deze beslissing betrekking heeft. Evenzo verwerpt de Geschillenkamer de overwegingen in de punten 2.2.1 tot en met 2.2.4 van het antwoord van verweerder op het op 5 april ingediende sanctieformulier, met het betoog dat de procedure is beëindigd en dat de voorgenomen en gelaste corrigerende maatregelen in concreto in overeenstemming zijn. Met deze overwegingen zal echter rekening worden gehouden bij de berekening van de geldboete, aangezien het sanctieformulier bedoeld is om de verweerder in staat te stellen het bedrag van de voorgestelde geldboete te betwisten. III.3.1. Corrigerende maatregelen 95. In antwoord op het sanctieformulier stelt verweerder dat hij de gegevens heeft gewist en de betrokken ontvangers, waaronder de Duitse verwerker, op de hoogte heeft gebracht; hij stelt ook dat hij verwerkingsactiviteiten opzet in overeenstemming met de bepalingen van de AVG. Zij verzoekt daarom de uitgebrachte waarschuwing in te trekken. De Geschillenkamer wijst verweerder er echter op dat deze kennisgevingen zijn ontvangen op 11 november 202432 of 5 april 2024, na sluiting van de procedure. Bijgevolg kan de Geschillenkamer de juistheid van de door verweerder aangevoerde argumenten niet controleren en ziet zij zich genoodzaakt deze argumenten te verwerpen, aangezien de procedure is gesloten. 96. De Geschillenkamer neemt de volgende corrigerende maatregelen: 31 32 Sanctieformulier van 15 maart 2024 ; antwoord van verweerder op sanctieformulier van 5 april 2024. Sanctieformulier van 15 maart 2024 ; antwoord van verweerder op sanctieformulier van 5 april 2024. Beslissing ten gronde 87/2024 — 33/57
  44. a)Overeenkomstig artikel 58.2.
  45. c)van de AVG en artikel 100, § 1, 6° van de WOG, verweerder gelasten om, wegens schending van de artikelen 17 en 21 van de WOG, binnen 30 dagen na kennisgeving van deze beslissing te voldoen aan de verzoeken tot wissing en bezwaar van klager.
  46. b)Overeenkomstig artikel 58.2.
  47. g)van de AVG en artikel 100, §1, 10° van de WOG, de verweerder te bevelen de gegevens te wissen en de ontvangers van de gegevens in kennis te stellen, overeenkomstig artikel 19 van de AVG.
  48. c)Overeenkomstig artikel 58.2.
  49. d)van de WOG en artikel 100, § 1, 9° van de WOG, verweerder bevelen om, wegens de schending van artikel 5.1
  50. a)alsook artikel 5.2 juncto 24 van de AVG, de verwerkingen in overeenstemming te brengen met de bepalingen van de AVG.
  51. d)In overeenstemming met artikel 58.2.
  52. a)van de AVG en artikel 100, § 1, 5° van de WOG, een waarschuwing te geven aan verweerder, wegens de schending van de artikelen 17, 21, 5.1. a), 5.2 juncto 24 van de AVG, gericht op het verbeteren van het beheer van de toekomstige verwerking van verzoeken van betrokkenen die zijn gedaan op grond van de artikelen 15 tot en met 22 van de AVG. III.3.2. Administratieve boeten 97. Artikel 83 van de AVG voorziet in de bevoegdheid van toezichthouders om boetes op te leggen. Deze bevoegdheid wordt uitgelegd in de EDPB-richtsnoeren33. 98. Overeenkomstig overweging 148 van de AVG 34 kunnen naast of in plaats van passende maatregelen in geval van een ernstige inbreuk sancties worden opgelegd, waaronder administratieve geldboetes, zelfs in het geval van een eerste vaststelling van een inbreuk 35. 33 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1,punten 15, 20, 69, 84, 144. Zie ook het arrest van 7 december 2023, SCHUFA Holding C-26/22 en C-64/22, ECLI:EU:C:2023:958), de conclusie van advocaat-generaal Pikamae in zaak TR (C-768/21, EU:C:2024:291), evenals "Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten ten behoeve van de [AVG]" van de Groep gegevensbescherming artikel 29, aangenomen op 3 oktober 2017, blz. 5 (hierna de "Richtsnoeren inzake de toepassing en vaststelling van administratieve geldboeten voor de toepassing van de [AVG]"). 34 Overweging 148 AVG bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling” (de Geschillenkamer onderstreept). 35 HvJEU 2023, 5 december 2023, C-807/21, Deutsche Wohnen (ECLI:EU:C:2023:950), punt 38ₒ:« […]. de in de AVG neergelegde beginselen, verboden en verplichtingen in het bijzonder gericht zijn tot de „verwerkingsverantwoordelijken”, die —ₒzoals in overweging 74 van de AVG wordt beklemtoondₒ— verantwoordelijk zijn voor elke door of namens hen uitgevoerde verwerking van persoonsgegevens en die daarom niet alleen passende en doeltreffende maatregelen moeten treffen, maar Beslissing ten gronde 87/2024 — 34/57 Het feit dat dit een eerste vaststelling van een inbreuk is, belet de Geschillenkamer dus niet om een administratieve geldboete op te leggen, in overeenstemming met artikel 58.2.
  53. i)van de AVG. De administratieve geldboete is niet bedoeld om een einde te maken aan inbreuken36, maar om ervoor te zorgen dat de regels van de AVG strikt worden nageleefd. 99. De AVG vereist dat elke toezichthoudende autoriteit ervoor zorgt dat de opgelegde administratieve geldboetes in elk individueel geval doeltreffend, evenredig en afschrikkend zijn (art. 83.1 van de AVG). Bovendien moet de toezichthoudende autoriteit bij het bepalen van het bedrag van de geldboete in elk afzonderlijk geval rekening houden met een aantal specifieke factoren, zoals "de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade" (art. 83.2. .
  54. a)van de AVG) en de opzettelijke of nalatige aard van de schending (art. 83.2. .
  55. b)van de AVG) en de categorieën persoonsgegevens waarop de schending betrekking heeft (art. art. 83.2.
  56. g)van de AVG). Dienovereenkomstig bepaalt artikel 83.2 dat een autoriteit bij de beslissing of zij een administratieve geldboete oplegt en bij de beslissing over de hoogte van de administratieve geldboete, rekening moet houden met alle factoren die zijn opgenomen in artikel 83.2.
  57. a)tot en met k), zonder het wettelijk maximumbedrag dat is opgenomen in de artikelen 83.4 tot en met 83.6 van de AVG te overschrijden.37 III.3.2.1. Redenen voor het opleggen van een geldboete 100. In de Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten voor de toepassing van Verordening (EU) 2016/679 38 wordt benadrukt dat, om een geharmoniseerde aanpak van sancties te waarborgen, de toezichthoudende autoriteiten moeten beoordelen of het passend is een boete op te leggen op basis van een reeks criteria die zijn gespecificeerd in artikel 83.2 van de AVG. In de richtsnoeren staat dat administratieve geldboetes "corrigerende maatregelen" zijn die tot doel kunnen hebben "de naleving van de regels te herstellen of onwettig gedrag te bestraffen (of beide)". 101. Zoals het HvJ-EU benadrukte in zijn arrest in zaak C-311/18 (Facebook Ierland en Schrems), "is de keuze van het passende en noodzakelijke middel een zaak van de toezichthoudende tevens moeten kunnen aantonen dat hun verwerkingsactiviteiten in overeenstemming zijn met de AVG, wat onder meer inhoudt dat de door hen getroffen maatregelen doeltreffend zijn om die overeenstemming te waarborgen. Wanneer een in artikel 83, leden 4 tot en met 6, van deze verordening bedoelde inbreuk is begaan, vormt deze verantwoordelijkheid de grondslag om overeenkomstig dat artikel 83 een administratieve geldboete op te leggen aan de verwerkingsverantwoordelijke”. 36 Daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, §1, 5° en 9° van de WOG. 37 In twee arresten van 5 december 2023 beantwoordt het HvJ-EU deze vragen door de voorwaarden te verduidelijken waaronder nationale toezichthoudende autoriteiten een administratieve geldboete kunnen opleggen aan een of meer verwerkingsverantwoordelijken : Deutsche Wohnen, C-807/21, ECLI:EU:C:2023:950, en Nacionalinis visuomenės sveikatos centras, C-683/21, ECLI:EU:C:2023:949. 38 WP29 Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van Verordening (EU) 2016/679 (WP253, 3 oktober 2017), (hierna "richtsnoeren WP253), blz. 6. Beslissing ten gronde 87/2024 — 35/57 autoriteit", die deze keuze moet maken met inachtneming van alle omstandigheden van het specifieke geval, wat de Geschillenkamer doet in haar gehele uitwerking in titel III.3 van deze beslissing. 102. In het arrest Deutsche Wohnen oordeelde het HvJ-EU als volgt: "Het bestaan van een sanctieregeling die het mogelijk maakt om een administratieve geldboete op grond van artikel 83 AVG op te leggen wanneer de specifieke omstandigheden van het concrete geval dit rechtvaardigen, zet verwerkingsverantwoordelijken en verwerkers ertoe aan om die verordening na te leven. Door hun afschrikkende werking dragen administratieve geldboeten bij tot de versterking van de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, zodat zij een sleutelelement vormen om de eerbiediging van de rechten van die personen te waarborgen, overeenkomstig de met de AVG nagestreefde doelstelling om natuurlijke personen een hoog niveau van bescherming te bieden in verband met de verwerking van persoonsgegevens".39 103. In hetzelfde arrest oordeelde HvJ-EU dat "op grond van artikel 83 AVG geen administratieve geldboete wegens een in de leden 4 tot en met 6 van deze verordening bedoelde inbreuk kan worden opgelegd indien er niet is aangetoond dat de verwerkingsverantwoordelijke deze inbreuk opzettelijk of uit nalatigheid heeft begaan, en dat het voor de oplegging van een dergelijke geldboete een voorwaarde is dat de inbreuk in kwestie verwijtbaar is begaan".40 104. In zijn conclusie in de zaak Land Hessen legt advocaat-generaal Pikamae uit dat de AVG toezichthoudende autoriteiten toestaat om geldboetes op te leggen die zeer hoog kunnen zijn en die een effectief onderdeel vormen van hun arsenaal om naleving van de verordening af te dwingen, naast de andere corrigerende maatregelen waarin artikel 58.2 van de AVG voorziet. Op deze manier heeft de toezichthoudende autoriteit enige manoeuvreerruimte en is zij vrij om uit deze maatregelen te kiezen om de door haar vastgestelde schending te corrigeren. 41 39 HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen (ECLI:EU:C:2023:950), punt 73. Paragraaf 75 van het arrest. 41 Conclusie van advocaat-generaal Pikamäe in de zaak Land Hessen, C-768/21, ECLI:EU:C:2024:291. De advocaat-generaal benadrukt dat wanneer een toezichthoudende autoriteit tijdens het onderzoek van een klacht kennis krijgt van een schending van persoonsgegevens, zij verplicht is in te grijpen om het legaliteitsbeginsel in acht te nemen en passende corrigerende maatregelen vast te stellen om de schending ongedaan te maken. Deze verplichting is in overeenstemming met artikel 57.1
  58. a)van de AVG, dat de autoriteit verantwoordelijk maakt voor het toezicht op de toepassing van de verordening en het waarborgen van de naleving ervan. Het negeren van een vastgestelde inbreuk zou onverenigbaar zijn met dit mandaat. Ook wordt erop gewezen dat de toezichthoudende autoriteit handelt in het belang van de persoon of entiteit wiens rechten zijn geschonden (§41). Om schendingen effectief aan te pakken, voorziet artikel 58.2 van de AVG in een " catalogus van corrigerende maatregelen die de autoriteit moet gebruiken om een situatie weer in overeenstemming te brengen met het recht van de Unie, ongeacht de ernst van de schending (§42). De advocaat-generaal wijst erop dat artikel 58.2 van de AVG moet worden uitgelegd in het licht van overweging 129 van die verordening, waarin staat dat "Elke maatregel dient met name passend, noodzakelijk en evenredig te zijn met het oog op naleving van deze verordening en rekening houdend met de omstandigheden van elk individueel geval". Met andere woorden, de bevoegdheid van de toezichthoudende autoriteit om corrigerende maatregelen te nemen is onderworpen aan de voorwaarde dat de maatregel "passend" is, d.w.z. dat de maatregel een situatie moet kunnen herstellen die in overeenstemming is met het recht van de Unie (§45). De advocaat-generaal wijst er 40 Beslissing ten gronde 87/2024 — 36/57 105. Hoewel de Geschillenkamer niet kon vaststellen dat de inbreuken meerdere van de betrokken personen betroffen, benadrukte zij dat de nalatigheid van verweerder het opleggen van een geldboete rechtvaardigde. 106. Overeenkomstig de verplichting van artikel 83.2 van de AVG heeft de Geschillenkamer alle factoren van artikel 83.2.
  59. a)tot en met k), onderzocht om zowel de geldboete als het bedrag ervan te rechtvaardigen. Dit gedetailleerde onderzoek wordt gepresenteerd in Titel III.3.2.2 van dit besluit. Voor de duidelijkheid en leesbaarheid verwijst de Geschillenkamer de verweerder naar deze Titel, met de vermelding dat de resultaten van dit onderzoek niet alleen het bedrag van de geldboete rechtvaardigen, maar ook de beslissing om de verweerder een geldboete op te leggen. De Geschillenkamer vat hierna de redenen voor haar beslissing om een geldboete op te leggen samen en verwijst verweerder naar de Titels II.2 en III.3.2.2 van deze beslissing.
  60. a)Aard, ernst en duur van de schending (art. 83.2.
  61. a)van de AVG): De zaak die aan de Geschillenkamer is voorgelegd betreft een langdurige schending van de essentiële bepalingen van de AVG, die van invloed is op de fundamentele rechten van de klager op het gebied van gegevensbescherming. i. Meer dan een jaar nadat de klager zijn rechten had uitgeoefend, was er nog steeds geen gehoor gegeven aan het verzoek tot wissen en het bezwaar, waardoor de artikelen 17 en 21 van de AVG werden geschonden. ii. Omdat de klager niet op deze verzoeken reageerde, verwerkte de verweerder de gegevens van de klager om gedurende een periode van ten minste zes maanden reclamemails te versturen. iii. Ondanks het feit dat de verweerder geen conclusies heeft ingediend, heeft de Geschillenkamer de verweerder opgeroepen voor een hoorzitting, waarop hij zijn aanwezigheid heeft bevestigd. De verweerder was op de hoogte van de zaak en kon niet onwetend zijn geweest van de verzoeken van de klager, die werden herhaald in de door de Geschillenkamer verzonden uitnodiging voor de hoorzitting. Zodra de verweerder de dagvaarding had ontvangen, had hij proactief moeten handelen door zijn emailbox met alle uitwisselingen te raadplegen, de status van de verzoeken te controleren en erop te reageren. De Geschillenkamer wijst erop dat de verweerder ter zitting heeft verklaard dat hij toegang had tot het emailaccount van de voormalige DPO, dat sindsdien door de nieuwe DPO wordt beheerd, en dat hij alle door de GBA verzonden e-mails in zijn bezit had. Op de dag van de hoorzitting had de verweerder echter nog steeds niet ook op dat artikel 58.2 van de AVG slechts bepaalt dat elke toezichthoudende autoriteit "bevoegd is" om alle opgesomde corrigerende maatregelen vast te stellen. Beslissing ten gronde 87/2024 — 37/57 gereageerd op de verzoeken van de klager en twijfelde hij zelfs aan de noodzaak om te reageren, waarbij hij uiteindelijk beloofde dit zo snel mogelijk te doen. Deze aanpak wordt door de Geschillenkamer geïnterpreteerd als een bewijs van flagrante nalatigheid, in strijd met de artikelen 17 en 21 van de AVG. Dankzij deze dagvaarding had de verweerder extra tijd om te reageren op de verzoeken van de klager en om te proberen aan te tonen, zelfs te laat, dat hij voldeed aan de bepalingen van de AVG.
  62. b)Nalatigheid of opzettelijke aard van de schending (art. 83.2.
  63. b)van de AVG): er zijn verschillende elementen die aantonen dat de verweerder duidelijk nalatig is geweest bij het beheren van de verzoeken van de betrokkenen. Deze nalatigheid wordt verergerd door de langdurige niet-inwilliging van de verzoeken van klager om gegevens te wissen en bezwaar aan te tekenen, het ongepaste gebruik van 'code 43' om de gegevensverwerking te beperken en de langdurige voortzetting van de verwerking van de gegevens van klager voor directmarketingdoeleinden, zelfs na zijn verzoeken om gegevens te wissen en bezwaar aan te tekenen. Ten tijde van de hoorzitting had de verweerder nog steeds geen passende maatregelen genomen om de situatie te verhelpen, wat wijst op de ernst en het voortduren van de schending. Deze duidelijke nalatigheid komt voort uit ontoereikende interne procedures en onwetendheid over de verplichtingen van de AVG, met name door de voormalige DPO de schuld te geven.
  64. c)Mate van verantwoordelijkheid van de verweerder met het oog op de technische en organisatorische maatregelen die zijn geïmplementeerd in overeenstemming met artikel 25 (art. 83.2.
  65. d)van de AVG) : de verweerder is volledig verantwoordelijk voor het beheer van de verzoeken van betrokkenen, met inbegrip van de verzoeken van de klager tot wissen en bezwaar. i. De verweerder geeft de schuld aan de voormalige DPO, wat geenszins de langdurige niet-naleving van een verzoek om wissen en bezwaar rechtvaardigt, noch de niet-naleving van de bepalingen van de AVG meer in het algemeen. Deze houding doet ernstige vragen rijzen over het beheer van de verantwoordelijkheden en het interne bestuur van de verweerder. ii. De Geschillenkamer wijst erop dat een verwerkingsverantwoordelijke zich niet aan zijn verplichtingen kan onttrekken door zich te beroepen op de verantwoordelijkheid van de DPO om schendingen van de AVG te rechtvaardigen. Zelfs indien de Geschillenkamer het betoog van verweerder zou volgen, wijst zij erop dat verweerder tweemaal op de situatie is gewezen: ten eerste door een onderzoek van de ID (in verband met een andere zaak), en ten tweede door de uitnodiging voor de Beslissing ten gronde 87/2024 — 38/57 hoorzitting van de Geschillenkamer. In een dergelijke context doet het blijven beweren dat de DPO verantwoordelijk is, ernstige twijfels rijzen over het beheer door de verweerder van zijn verplichtingen krachtens de AVG en roept het twijfel op over zijn vermogen om aan die verplichtingen te voldoen. iii. Door 'code 43' te gebruiken, gaf verweerder blijk van een gebrek aan beheersing van zijn eigen codes en nomenclaturen, wat leidde tot een beperking van de verwerking in plaats van passend te reageren op de verzoeken van klager tot wissen en bezwaar. Zo'n gebrek aan controle is zorgwekkend. Bovendien was verweerder niet in staat om de relatie tussen hem en de Duitse verwerker vast te stellen alvorens te concluderen dat er sprake was van een verwerkersovereenkomst. Deze verwarring over de rol van de verwerker en het onvermogen om te bepalen of gegevens zijn gewist, doet twijfels rijzen over het beheer van toekomstige verzoeken van betrokkenen en de naleving van de artikelen 15 tot en met 22 van de AVG.
  66. d)Andere verzwarende en verzachtende omstandigheden (art. 83.2.
  67. k)van de AVG): ten tijde van de hoorzitting had de verweerder nog steeds niet gereageerd op de verzoeken van de klager, ondanks de verplichting om binnen een maand te antwoorden. Voor het overige, in het bijzonder de categorieën persoonsgegevens waarop de schending betrekking heeft (art. 83.2.
  68. g)van de AVG) of de maatregelen die zijn genomen om de schade van klager te beperken (art. 83.2.
  69. c)van de AVG), verwijst de Geschillenkamer verweerder naar de Titels II.2 en III.3.2.2 van deze beslissing, alsmede naar de samenvatting in afdeling III.3.2.7. Alle in artikel 83.2.
  70. a)tot en met k), genoemde factoren werden onderzocht en het resultaat van dit onderzoek bleek in het onderhavige geval van toepassing te zijn, om het opleggen van de geldboete en het bedrag ervan te rechtvaardigen. 107. De verweerder heeft zich aldus schuldig gemaakt aan gedrag dat aanleiding heeft gegeven tot verschillende schendingen van de bepalingen van de AVG (art. 83.3 van de AVG), waarbij deze schendingen specifiek worden genoemd in artikel 83.5 van de AVG 42 : Het gedurende een aanzienlijke periode niet inwilligen van de verzoeken van de klager tot wissen en bezwaar, resulterend in de voortzetting van de verwerking van zijn persoonsgegevens voor directmarketingdoeleinden, zelfs na zijn verzoeken tot wissen en bezwaar ; en het benadrukken van het gebrek aan waarborgen om de naleving van de fundamentele beginselen van de AVG te waarborgen. 42 HvJEU Arrest van 5 december 2023, Deutsche Wohnen, C-807/21, ECLI:EU:C:2023:950, blz. 61 tot en met 79. Beslissing ten gronde 87/2024 — 39/57 108. Deze factoren rechtvaardigen ten volle het opleggen van een administratieve geldboete om ervoor te zorgen dat de rechten van de betrokkenen worden gerespecteerd en om het afschrikkende effect van de sancties waarin de AVG voorziet, te versterken. III.3.2.2. Uitgangsbedrag voor berekening 109. Bij het bepalen van het bedrag van de geldboete in de onderhavige zaak wijst de Geschillenkamer erop dat zij rekening houdt met de richtsnoeren van de EDPB voor de berekening van administratieve geldboeten43. 110. Om in ieder geval een doeltreffende, evenredige en afschrikkende geldboete op te leggen, wordt van de toezichthoudende autoriteiten, waarvan de Geschillenkamer deel uitmaakt, verwacht dat zij de administratieve geldboetes aanpassen en daarbij binnen de bandbreedte blijven die in de EDPB-richtsnoeren is vastgesteld, tot het wettelijk maximumbedrag. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van de geldboete, afhankelijk van de omstandigheden van de zaak. III.3.2.2.1. Classificatie van schendingen op grond van artikel 83.4 en 83.5 van de AVG 111. De AVG maakt onderscheid tussen twee categorieën schendingen : de schendingen die strafbaar zijn volgens artikel 83.4 van de AVG enerzijds en de schendingen die strafbaar zijn volgens artikel 83.5 en 83.6 van de AVG anderzijds. Op de eerste categorie schendingen staat een maximale geldboete van EUR 10 miljoen of 2% van de jaarlijkse omzet van het bedrijf, afhankelijk van welk bedrag hoger is. De tweede categorie kan leiden tot een geldboete van maximaal 20 miljoen euro of 4% van de jaarlijkse omzet van het bedrijf, afhankelijk van wat het hoogste is. 112. In het onderhavige geval en op grond van de in Titel III.2 van deze beslissing genoemde schendingen oordeelt de Geschillenkamer dat de hoogste geldboete van toepassing is overeenkomstig artikel 83.5 van de AVG. In het geval van een schending van de grondbeginselen van de verwerking op grond van artikel 5 van de AVG en van de rechten van betrokkenen op grond van de artikelen 17 en 21 van de AVG, kan de Geschillenkamer een administratieve geldboete opleggen van maximaal EUR 20.000.000 of, in het geval van een bedrijf, maximaal 4% van de totale wereldwijde jaaromzet voor het voorgaande boekjaar, afhankelijk van welk bedrag hoger is, zoals bepaald in artikel 83.5.
  71. a)en
  72. b)van de AVG. 43 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), met name punten 49 en 50. Beslissing ten gronde 87/2024 — 40/57 III.3.2.2.2. Ernst van de schending in deze zaak 113. Aard, ernst en duur van de schending (art. 83.2.
  73. a)van de AVG) - De aan de Geschillenkamer voorgelegde zaak betreft een langdurige schending van de essentiële bepalingen van de AVG, die tot doel hebben de grondrechten van natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens te beschermen. De AVG biedt een solide kader voor de verantwoordelijkheid van verwerkingsverantwoordelijken, met name in hoofdstuk III, dat gewijd is aan de rechten van betrokkenen. Deze rechten, die zijn vastgelegd in de artikelen 15 tot en met 22, geven personen directe controle over hun persoonsgegevens en garanderen zo een doeltreffende bescherming van hun privacy. Schendingen van de artikelen 17 en 21 van de AVG zijn bijzonder ernstig omdat ze de fundamentele rechten van personen op de bescherming van hun persoonsgegevens aantasten. 114. Ondanks de door de klager uitgeoefende rechten, die uitdrukkelijk verzocht om de verwijdering van zijn persoonsgegevens en bezwaar maakte tegen de verwerking voor directmarketingdoeleinden, heeft verweerder gedurende meer dan een jaar geen gevolg gegeven aan deze verzoeken, waardoor hij zijn in de AVG vastgelegde verplichtingen niet is nagekomen. Dit gedrag resulteerde in de voortdurende verwerking van de gegevens van de klager voor direct-marketingdoeleinden, via telefoongesprekken of reclamemails, gedurende een periode van zes tot tien maanden, zelfs na zijn verzoeken om wissen en bezwaar, waardoor de beginselen van artikel 5.1.
  74. a)van de AVG werden geschonden. 115. In reactie op het sanctieformulier, en dus na sluiting van de procedure, wees verweerder erop dat klager "artikel 21 van de AVG niet expliciet had genoemd in zijn verzoek". Op dit punt verwijst de Geschillenkamer enerzijds verweerder naar punt 34 van haar huidige beslissing en voegt zij anderzijds toe dat het buitensporig zou zijn om van een betrokkene te verlangen dat hij de artikelen van de AVG uitdrukkelijk vermeldt, aangezien dit het voor personen die niet vertrouwd zijn met juridische terminologie moeilijker zou kunnen maken om hun rechten uit te oefenen. Het belangrijkste is dat het verzoek op een duidelijke en begrijpelijke manier wordt geformuleerd, die een verwerkingsverantwoordelijke, of zijn DPO, in geval van twijfel moet kunnen verduidelijken, en het verzoek dus in overeenstemming met de bepalingen van de AVG moet verwerken. Vervolgens wijst verweerder erop dat wanneer eenmaal aan het verzoek om wissing op grond van artikel 17(a), (
  75. b)en (
  76. c)van de AVG is voldaan, er geen aanvullende verplichting is om de betrokkene in kennis te stellen van het latere gebruik van de gegevens voor direct marketingdoeleinden. Helaas reageerde verweerder, zoals de Geschillenkamer opmerkt, traag op het verzoek van klager om de gegevens te wissen, waardoor de gegevens nog geruime tijd voor direct-marketingdoeleinden konden worden verwerkt, in weerwil van zijn verzoek om bezwaar te maken. Beslissing ten gronde 87/2024 — 41/57 Zelfs als we de redenering van de verweerder volgen, volgens welke de klager alleen een verzoek tot wissen heeft gedaan zonder expliciet artikel 21 van de AVG te noemen, betreffende het recht om bezwaar te maken tegen de verwerking van gegevens voor directmarketingdoeleinden, wijst de Geschillenkamer erop dat het recht op wissen meer dan een jaar lang is genegeerd, wat heeft geleid tot een voortdurende schending van de rechten van de klager. Dit is van cruciaal belang, want zelfs zonder een expliciete verwijzing naar artikel 21 had de verwerking van gegevens voor directmarketingdoeleinden - net als voor andere doeleinden - moeten worden stopgezet zodra het verzoek om wissing was ontvangen. Bijgevolg maakt de voortgezette verwerking van de gegevens van d klager voor direct-marketingdoeleinden - zelfs na de argumenten van de verweerder dat deze periode slechts 2 weken bedroeg (zie punt 118) - inbreuk op de rechten van klager. Voor het overige verwijst de Geschillenkamer de verweerder naar punt 36 van deze beslissing. 116. De Geschillenkamer wijst erop dat direct marketing van cruciaal belang is voor de kernactiviteit van de verweerder, namelijk de verkoop van zijn producten op nationale schaal. De verwerking van gegevens voor directmarketingdoeleinden is daarom een essentieel onderdeel van het bedrijfsmodel, dat rechtstreeks van invloed is op de klantenrelaties en dus op de verkoop. Het niet respecteren van de rechten die zijn vastgelegd in de AVG, zoals het recht op wissen en het recht op bezwaar, kan nadelige gevolgen hebben voor de privacy van betrokkenen. Dit betekent blootstelling aan doelgerichte en opdringerige reclame, maar ook verstoring van hun dagelijks leven door ongewenste telefoontjes of e-mails. 117. Uit de hoorzitting bleek dat het gebruik van onjuiste codes systematisch was en niet beperkt leek te zijn tot de klager. Het aantal mensen van wie de gegevens werden verwerkt in schending van de bovengenoemde bepalingen (zie Titel II.2) blijft echter onbekend. Als gevolg hiervan kan de Geschillenkamer het exacte aantal betrokkenen niet vaststellen, wat het systemische karakter van de bovengenoemde schendingen had kunnen bevestigen en de ernst ervan had kunnen vergroten. De Geschillenkamer is dus beperkt tot het onderzoeken van de zaak van de klager, de enige persoon van wie is vastgesteld dat hij wordt getroffen door de schending van de bepalingen in kwestie. In antwoord op het sanctieformulier bevestigt de verweerder dat de schending slechts één betrokken persoon betrof en beperkt was tot één grondgebied, in dit geval België. 118. Met betrekking tot de duur van de schending (zie Titel II en punt 61 van deze beslissing) merkt de Geschillenkamer op dat de schending gedurende een aanzienlijke periode heeft voortgeduurd, hetgeen de ernst van de schending verhoogt. In antwoord op het sanctieformulier benadrukte verweerder dat de gevolgen voor de betrokkene in deze periode zeer beperkt waren, aangezien de klager slechts enkele reclameboodschappen per e-mail en een beperkt aantal telefonische contactpogingen Beslissing ten gronde 87/2024 — 42/57 heeft ontvangen, namelijk "+/- 5 gedurende een zeer beperkte periode van maximaal 2 weken (24.11.2022 - 7.12.2022)"44. De Geschillenkamer verwijst verweerder naar de punten 8, 21, 30, 31, 33 en 42 van deze beslissing en wijst erop dat verweerder slechts op 3 november heeft toegezegd te zullen reageren op de verzoeken van klager van 30 juni 2022. Deze periode van stilzwijgen is ontegenzeggelijk lang en voldoet niet aan de termijn van één maand die is vastgesteld in artikel 12 van de AVG. Tot slot merkt de Geschillenkamer op dat de verweerder 'code 43' om de gegevens van klager te wissen pas op 11 april 2023 heeft toegepast (zie punt 33). Dit wijst erop dat de gegevens van de klager niet werden gewist, maar toegankelijk bleven en werden verwerkt, zij het op beperkte wijze, ten minste tot april 2023, en niet tot december 2022 (zie de punten 32, 33, 40, 43 en 42). In deze context blijft de vraag naar de duur van de schending feitelijk objectief, waardoor de Geschillenkamer kan concluderen dat de periode van schending aanzienlijk is. 119. Nalatigheid of opzettelijke aard van de schending (art. 83.2.
  77. b)van de AVG) - Een aantal factoren wijst op duidelijke nalatigheid van de verweerder bij het beheren van de verzoeken van de betrokkenen. Enerzijds blijkt uit het langdurige verzuim om gehoor te geven aan de verzoeken van de klager om verwijdering en bezwaar, met name door niet binnen de voorgeschreven termijnen te antwoorden, en het oneigenlijke gebruik van 'code 43', dat tot een beperking van de verwerking leidde, niet alleen dat de interne procedures ongeschikt zijn, maar ook dat er sprake is van onwetendheid over de rechten die zijn vastgelegd in de artikelen 15 tot en met 22 van de AVG en over de verplichtingen die op de verwerkingsverantwoordelijke rusten. 120. Deze nalatigheid wordt nog verergerd door de voortdurende verwerking van de gegevens van de klager voor directmarketingdoeleinden, zelfs na zijn verzoeken om wissing en bezwaar. Ten tijde van de hoorzitting had verweerder nog steeds geen passende maatregelen genomen om de situatie te verhelpen en te reageren op het verzoek van klager om verwijdering en bezwaar, waaruit de ernstige en aanhoudende aard van de schending blijkt. 121. Alles bij elkaar illustreren deze elementen grove nalatigheid bij het beheer van de verzoeken van de klager, wat erop wijst dat de schending van de artikelen 17, 21, 5.1.
  78. a)en 5.2 juncto 24 van de AVG inderdaad het gevolg is van nalatigheid van de kant van de verweerder. 122. In antwoord op het sanctieformulier benadrukte de verweerder dat hij niet nalatig was geweest omdat hij vertrouwen had gehad in zijn DPO, die hem niet op de hoogte had gesteld van zijn capaciteitsproblemen. Aangezien bovendien alleen de DPO toegang had tot de e-mailbox en de verweerder niet de ontvanger was van de oorspronkelijke correspondentie die per e-mail aan de voormalige DPO was gezonden, is hij van mening dat 44 Reactie van de verweerder op het sanctieformulier d.d. 5 november 2024, Blz.7. Beslissing ten gronde 87/2024 — 43/57 hem geen nalatigheid kan worden verweten. De Geschillenkamer herinnert de verweerder er echter aan dat hij een aangetekende brief van 17 januari 2023 heeft ontvangen (zie punt 9). Vervolgens verwees de Geschillenkamer de verweerder naar de punten 54 tot en met 57 van deze beslissing, alvorens daaraan toe te voegen dat verweerder, overeenkomstig artikel 38.
  79. b)van de AVG, dat bepaalt "de functionaris voor gegevensbescherming brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker", het probleem of de problemen had kunnen identificeren en oplossen in plaats van blind vertrouwen te stellen in de DPO. Bijgevolg kan de Geschillenkamer het om voormelde redenen niet eens zijn met de door verweerder aangevoerde argumenten (Titel II.I.3, met name de punten 55 en 57.
  80. c)van deze beslissing). De Geschillenkamer bevestigt dat grove nalatigheid in het beheer van de verzoeken van klager is vastgesteld, wat erop wijst dat de schending van de artikelen 17, 21, 5.1.
  81. a)en 5.2 juncto 24 van de AVG inderdaad voortvloeit uit de nalatigheid van verweerder. 123. Categorieën persoonsgegevens waarop de schending betrekking heeft (artikel 83.2.
  82. g)van de AVG). De gegevens in kwestie betreffen de contactgegevens van de klager, waaronder naam, voornaam, postadres, telefoonnummer en e-mailadres. Hoewel deze informatie niet wordt beschouwd als "gevoelige gegevens" in de zin van artikel 9 van de AVG, maakt het wel mogelijk om een specifieke persoon te identificeren of contact met hem op te nemen. 124. Classificatie van de ernst van de schending en vaststelling van het passende uitgangsbedra

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.