Beslissing ten gronde nr. 95/2023

1/9 Geschillenkamer Beslissing ten gronde 95/2023 van 6 juli 2023 Dossiernummer : DOS-2021-06714 Betreft: klacht over een weigering tot inschrijving voor een vrijetijdsactiviteit wegens het niet meedelen van een vaccinatiestatus (COVID-19) De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Romain Robert , leden ; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: mevrouw X, hierna "de klager"; De verweerder: de vzw Y, hierna "de verweerder". Beslissing ten gronde 95/2023 – 2/9 I.

1. Feiten en procedure Op 7 oktober 2021 dient de klager bij de Gegevensbeschermingsautoriteit (GBA) een klacht in tegen de verweerder. De verweerder is een vereniging die danslessen organiseert.
2. Het voorwerp van de klacht is de weigering van de verweerder om de klager opnieuw als lid voor het jaar 2021-2022 in te schrijven, omdat hij weigert mee te delen of hij tegen het COVID-19-virus gevaccineerd is of niet. Meer in het algemeen werpt de klacht de vraag op op welke grond de verweerder gemachtigd zou zijn geweest om deze informatie op te vragen.
3. Uit de stukken ter ondersteuning van de klacht blijkt dat de verweerder de leden van de vereniging in augustus 2021 meedeelde dat de lessen zouden worden hervat, na de gedwongen onderbreking ervan tijdens de gezondheidscrisis in verband met de pandemie van het COVID-19-virus. Hij informeerde hen ook dat de Association Interfédérale du Sport Francophone (AISF) erop stond dat leerkrachten, monitoren en alle leden gevaccineerd werden. De verweerder schreef: "Hier zijn de adviezen die de AISF ons heeft toegestuurd. We hopen dat jullie ze gunstig zullen ontvangen, zodat we het volgende seizoen in alle sereniteit kunnen hervatten en sommige van onze leden gerust kunnen stellen. Alle leden van het comité zijn al gevaccineerd."
4. De klager antwoordt op deze e-mail dat hij de wet nauwgezet zal naleven, maar dat geen enkele op dat moment bekende bepaling ertoe verplicht een bewijs van vaccinatie te leveren om deel te nemen aan danslessen zoals die door de verweerder werden gegeven.
5. De klager verklaart dat hij op 23 september 2021 naar de gebouwen van de verweerder is gegaan om zich opnieuw in te schrijven voor de genoemde lessen. De klager geeft aan dat de manager van de verweerder hem bij deze gelegenheid mondeling vroeg of hij al dan niet tegen COVID-19 was ingeënt. De klager verklaart te hebben geweigerd die informatie te verstrekken. Hij voegt eraan toe dat naar aanleiding van deze weigering de verweerder hem niet opnieuw wilde inschrijven.
6. In oktober en november 2021 worden brieven uitgewisseld tussen de door de klager geraadpleegde raadsman en de verweerder over de genoemde weigering tot inschrijving, de betaling van het lidgeld en mededelingen over de activiteiten van de verweerder waarvan de klager niet op de hoogte zou zijn gebracht. Uit deze correspondentie blijkt duidelijk dat de klager in fine aan de lessen kon deelnemen, waarbij de verweerder ontkent dat hij ooit van plan was geweest de toegang tot zijn lessen afhankelijk te stellen van de vaccinatie van zijn leden (waaronder de klager) tegen het COVID-19-virus, noch te eisen dat hij in kennis werd Beslissing ten gronde 95/2023 – 3/9 gesteld van hun vaccinatiestatus. De verweerder beweert dat hij die informatie niet heeft gevraagd toen de klager op 23 september 2021 langskwam (punt 5). Hij voegt eraan toe dat hij zijn leden hooguit aanbevelingen heeft gestuurd die gericht zijn op het behoud van ieders gezondheid.
7. Op 1 maart 2022 wordt de klacht door de Eerstelijnsdienst (ELD) van de GBA ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG, en wordt de klacht op grond van artikel 62, § 1, van de WOG overgemaakt aan de Geschillenkamer.
8. Op 30 maart 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde.
9. Op dezelfde datum worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen.
10. Op basis van de in de klacht uiteengezette feiten verzoekt de Geschillenkamer de verweerder zijn argumenten aan te voeren met betrekking tot de mogelijke schendingen die uit de gemelde feiten naar voren zijn gekomen, in het bijzonder met betrekking tot de rechtmatigheidsgrond waarop hij de verwerking van de vaccinatiestatus van de klager meende te kunnen baseren (artikel 9 juncto artikel 6 van de AVG). De Geschillenkamer verzoekt de partijen ook om te verduidelijken welke persoonsgegevens bij de inschrijving worden gevraagd en welke informatie aan de betrokkenen wordt verstrekt over de verwerking van hun inschrijvingsgegevens op grond van de artikelen 12 tot en met 14 van de AVG. De stukken van het dossier worden samen met deze brief naar de partijen gestuurd.
11. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 12 mei 2022, deze voor de conclusie van repliek van de klager op 3 juni 2022 en deze voor de conclusie van repliek van de verweerder op 27 juni
13. Op 14 april 2022 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. De argumentatie van de verweerder is gebaseerd op de antwoorden die hij de raadsman van de klager heeft gegeven (punt 6). Hij ontkent dat hij de klager heeft gevraagd of hij al dan niet was gevaccineerd en dat hij ten minste in eerste instantie heeft geweigerd hem in te schrijven op grond van diens weigering om hem een antwoord te geven in verband met zijn vaccinatie.
14. Op 30 mei 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Laatstgenoemde houdt vol dat die informatie hem wel degelijk is gevraagd en betreurt de leugenachtige houding van de verweerder. Beslissing ten gronde 95/2023 – 4/9
15. Op 23 juni 2022 ontvangt de Geschillenkamer de conclusie van repliek en de syntheseconclusie van de verweerder die dezelfde verdediging bevatten als deze welke in de punten 6 en 12 hierboven is uiteengezet. II. Motivering
16. De GBA is in België de autoriteit die verantwoordelijk is voor de controle op de naleving van de AVG in de zin van artikel 8 van het Handvest van de grondrechten van de Europese Unie (EU), artikel 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU) en artikel 51 van de AVG.
17. In dit verband volgt uit artikel 4 van het WOG en de memorie van toelichting daarbij dat de GBA "bevoegd is om de taken en opdrachten uit te voeren met betrekking tot het toezicht op de naleving van de grondbeginselen van de bescherming van persoonsgegevens zoals vastgelegd in Verordening 2016/
18. (… )”
20. Artikel 77 van de AVG bepaalt: “Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.”
21. Voordat zij ingaat op de gegrondheid van de klacht, wenst de Geschillenkamer het volgende te verduidelijken met betrekking tot haar bevoegdheid (punten 19-22).
22. De Geschillenkamer stelt vast dat uit de klacht duidelijk blijkt dat de klager zijn vaccinatiestatus niet aan de verweerder heeft meegedeeld en dat de verweerder dit hem betreffende persoonsgegeven dus niet heeft verwerkt.
23. Dit gebrek aan verwerking ontneemt de klager echter niet het recht om een klacht in te dienen, een recht dat hem wordt verleend door het bovengenoemde artikel 77 van de AVG (punt 17), aangevuld met betrekking tot zijn recht om een klacht in te dienen bij de GBA door de artikelen 56 en volgende van de WOG.
24. In dit verband herinnert de Geschillenkamer eraan dat in een arrest van 7 oktober 2021 het Hof van Cassatie het volgende heeft uitgesproken: «
25. Uit alle bovenstaande wettelijke bepalingen blijkt ontegensprekelijk dat een betrokkene het recht heeft om een klacht in te dienen bij de Gegevensbeschermingsautoriteit tegen een verwerkingspraktijk die volgens hem inbreuk maakt op zijn rechten krachtens de AVG (...). Dit is ook het geval wanneer de persoonsgegevens van de betrokkene zelf niet zijn verwerkt, maar deze laatste het 1 Voorbereidend werk: te voltooien. Beslissing ten gronde 95/2023 – 5/9 voordeel of de dienst niet heeft verkregen omdat hij, juist wegens het bestaan van de praktijk die vermoedelijk een inbreuk vormt, heeft geweigerd in de verwerking toe te stemmen." 2 De overweging van het Hof van Cassatie is precies die welke in de onderhavige zaak aan de kaak wordt gesteld.
26. De Geschillenkamer heeft ook een aantal keren geoordeeld dat een persoon, zelfs als er geen daadwerkelijke verwerking van zijn gegevens plaatsvindt, onder bepaalde voorwaarden kan worden erkend als iemand die belang heeft bij het ageren, en dat zijn klacht bijgevolg ontvankelijk kan worden verklaard
27. De Geschillenkamer is van oordeel dat de klager in het onderhavige geval voldoende belang had om te ageren, aangezien hij rechtstreeks werd geraakt door het verzoek dat de verweerder zou hebben gedaan, en dat de verstrekking van de gevraagde informatie - die bovendien zowel in de algemene zin als in de zin van de regelgeving inzake gegevensbescherming (zie hieronder) gevoelig is – mogelijk voorwaarden kon stellen aan zijn toegang tot een activiteit die in principe voor iedereen toegankelijk is, weliswaar met gebruikmaking van een aantal gegevens voor het ledenbeheer, maar die, zonder COVID-19-pandemie, voor het overige vrij toegankelijk is zonder inmenging van vaccinatiestatus. Het loutere feit dat de klager geen informatie heeft verstrekt over zijn vaccinatiestatus (punt 5) en geen betrokkene is in de zin van artikel 4, lid 1, van de AVG is dan ook niet bepalend voor deze beslissing van de Geschillenkamer om de klacht te seponeren (zie hieronder), en vormt in het onderhavige geval geen technische reden om de zaak te seponeren (niet-ontvankelijkheid).
28. Ten gronde wijst de Geschillenkamer erop - zonder dat dit een corrigerende maatregel of sanctie in de zin van artikel 100.1 van de WOG vormt - dat elke verwerking van persoonsgegevens overeenkomstig het in artikel 5, lid 1, punt a), van de AVG neergelegde rechtmatigheidsbeginsel moet zijn gebaseerd op een van de in artikel 6, lid 1, van de AVG neergelegde rechtmatigheidsgronden. Wanneer de verwerkingsverantwoordelijke gegevens verwerkt die onder de "bijzondere categorieën van gegevens" vallen, moet hij bovendien voldoen aan de voorwaarden van artikel 9, gelezen in samenhang met artikel 6 van de AVG (en in het licht van overweging 51). Deze rechtmatigheidsgrond moet zowel bestaan als door de verwerkingsverantwoordelijke worden geïdentificeerd voordat de verwerking wordt uitgevoerd.
29. Artikel 9 van de AVG (bijzondere categorieën van gegevens) voorziet in zijn lid 1, in een verbod op de verwerking van zogenaamde "gevoelige gegevens" in de volgende bewoordingen: "Verwerking van persoonsgegevens waaruit ras of etnische afkomst, 2 Onderstreept door de Geschillenkamer. Zie in dit verband beslissing 126/2021 van de Geschillenkamer https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-126-2021.pdf 3 Zie in dit verband de volgende beslissingen van de Geschillenkamer: 30/2020, 80/2020 en 117/
30. Beslissing ten gronde 95/2023 – 6/9 politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden."4 Artikel 9, lid 2, bepaalt een aantal gevallen waarin dit verbod, in combinatie met artikel 6 van de AVG, kan worden opgeheven.
31. Voordat kan worden vastgesteld dat een rechtmatigheidsgrond al dan niet ontbreekt, zoals de klager aan de kaak stelt, is het dus van essentieel belang om de verwerkte gegevens - of waarvan de verwerking wordt overwogen - te kwalificeren om te bepalen of enkel de naleving van artikel 6 van de AVG moet worden gecontroleerd, dan wel of, in aanwezigheid van gegevens die onder artikel 9, lid 1, van de AVG vallen (d.w.z. gegevens die als "gevoelig" worden gekwalificeerd), de naleving van artikel 9, lid 2, gelezen in combinatie met artikel 6 van de AVG, moet worden nagegaan
33. Wat betreft de kwalificatie van de vaccinatiestatus wijst de Geschillenkamer erop dat uit overweging 35 van de AVG, waarin artikel 4, lid 15, wordt toegelicht, bijkt dat persoonsgegevens over gezondheid alle gegevens omvatten die betrekking hebben op de gezondheidstoestand van een betrokkene en die informatie geven over zijn gezondheidstoestand in het verleden, het heden en de toekomst. Het begrip "gegevens over gezondheid" moet ruim worden geïnterpreteerd. Het omvat niet alleen de huidige gezondheidstoestand van de betrokkene, maar ook de mogelijke evolutie van zijn gezondheid in de toekomst.
34. In beslissing 143/20216, genomen ten tijde van de feiten die aan de kaak worden gesteld in de klacht die tot deze beslissing heeft geleid, heeft de Geschillenkamer geconcludeerd dat de vaccinatiestatus een gegeven over gezondheid vormt in de zin van artikel 9, lid 1, van de AVG. De Geschillenkamer benadrukt er dat het besmettingsgevaar ingevolgde COVID-19 bijzonder hoog is en dat personen die niet gevaccineerd zijn een beduidend risico lopen om in de toekomst te worden besmet met mogelijk een ernstig ziekteverloop tot gevolg. Dit verklaart volgens de Geschillenkamer ook dat de vaccinatiestatus van de betrokkene in diens medisch dossier wordt opgenomen. Met andere woorden, het begrip gezondheidsgegevens kan niet worden gereduceerd tot het feit van ziek zijn of niet. Het 4 De Geschillenkamer onderstreept. 5 Zie in dit verband de ontwikkelingen van de Geschillenkamer in haar beslissing https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-49-2023.pdf. 6 https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-143-2021.pdf. 49/2023: Beslissing ten gronde 95/2023 – 7/9 staat voor de Geschillenkamer vast dat de vaccinatiestatus van een persoon onmiskenbaar een gezondheidsgegeven vormt in de zin van artikel 9, lid 1, van de AVG.
35. Tot slot wijst de Geschillenkamer er ook op dat wanneer persoonsgegevens rechtstreeks bij de betrokkene worden verzameld, zoals in dit geval, de verwerkingsverantwoordelijke verplicht is de betrokkene de informatie te verstrekken die is opgesomd in artikel 13, leden 1 en 2, van de AVG, tenzij en voor zover de betrokkene al over die informatie beschikt (artikel 13, lid 4, van de AVG). Deze informatie kan bijvoorbeeld worden vermeld op het inschrijvingsformulier. III. Wat betreft de corrigerende maatregelen en sancties
36. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. Beslissing ten gronde 95/2023 – 8/9
37. Bij een seponering moet de Geschillenkamer haar beslissing stapsgewijs motiveren en7: - een technisch sepot uitspreken indien het dossier geen of onvoldoende elementen bevat die tot een sanctie kunnen leiden of er een technische belemmering is waardoor geen beslissing kan worden genomen; - of een beleidssepot uitspreken indien, ondanks de aanwezigheid van elementen die tot een sanctie kunnen leiden, verder onderzoek van het dossier haar niet opportuun lijkt in het licht van de prioriteiten van de GBA, zoals uiteengezet en geïllustreerd in het Sepotbeleid van de Geschillenkamer
39. Indien er meerdere gronden zijn voor het sepot (respectievelijk beleidssepot) dienen de sepotgronden in volgorde van technisch en/of belangrijkheid te worden behandeld
41. In dit geval besluit de Geschillenkamer om de zaak te seponeren om de technische reden dat de verweerder niet in strijd heeft gehandeld met de AVG of de wetten met het toezicht op de naleving waarvan zij is belast.
42. De partijen verschillen van mening over de vraag of deze informatie over de vaccinatiestatus (die een persoonsgegeven vormt in de zin van artikel 4, lid 1, van de AVG en ook een gevoelig gegeven is in de zin van artikel 9, lid 1) al dan niet is opgevraagd. De Geschillenkamer kan zich niet uitspreken over de vraag of dit al dan niet het geval was, aangezien deze woorden mondeling zijn uitgewisseld. In tegenstelling tot andere zaken waarin de Geschillenkamer een of andere schending heeft vastgesteld, zelfs als er geen sprake was van verwerking, beschikt de Geschillenkamer in deze zaak niet over bewijs dat deze informatie daadwerkelijk is opgevraagd (maar niet verzameld), bijvoorbeeld via een formulier dat gegevens opvraagt die in strijd zijn met het beginsel van minimale gegevensverwerking, of via een in te vullen document dat geen informatie verschaft die wordt vereist door de artikelen 13 of 14 van de AVG.
43. Bijgevolg seponeert de Geschillenkamer de klacht om technische redenen, op grond van artikel 100, § 1, 1°, van de WOG. IV. Publicatie van de beslissing 7 Marktenhof (hof van beroep te Brussel). 2 september 2020, 2020/KB/329, p.
44. 8 https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. 9 Sepotbeleid van de Geschillenkamer, 18/06/2021, punt 3 ("In welke gevallen zal mijn klacht waarschijnlijk worden geseponeerd door de Geschillenkamer?"), beschikbaar op https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. Beslissing ten gronde 95/2023 – 9/9
45. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing op de website van de Gegevensbeschermingsautoriteit gepubliceerd. Het is evenwel niet nodig dat daarvoor de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging: - de klacht te seponeren op grond van artikel 100, § 1, 1°, van de WOG. Tegen deze beslissing kan op grond van artikel 108, § 1, van de WOG, beroep worden aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten
46. Het interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend overeenkomstig artikel 1034 quinquies van het Ger.W.11 of via het informatiesysteem e-Deposit van het Ministerie van Justitie (artikel 32 ter van het Ger.W.). (get.) Hielke HIJMANS Voorzitter van de Geschillenkamer 10 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 11 Het verzoekschrift, met de bijlage, wordt in evenveel exemplaren als er partijen zijn, per aangetekende brief aan de griffier van de rechtbank toegezonden of bij de griffie neergelegd.