Hof van beroep Brussel - 2023/AR/817 - p. 2
Xxx xxx xxxxxx Xxxxxxx - 0000/XX/000 - p. 2
Y, ingeschreven in de Kruispuntbank voor Ondernemingen onder het nummer [...] met
maatschappelijke zetel te [adres],
Verzoekende partij, hierna ook "Verzoekster' of "Y",
vertegenwoordigd door meester XXXXXXX Xxxxxxxx, XXXXXXXX Xxxxx en XXX XXXX advocaten
kantoorhoudende te [adres]
TEGEN
DE GEGEVENSBESCHERMINGSAUTORITEIT. ingeschreven in de Kruîspuntbank voor Ondernemingen onder het nummer 0694.679.950, met maatschappelijke zetel te 0000 XXXXXXX, Drukpersstraat 35,
Verwerende partij, hierna ook "GBA"
vertegenwoordigd door meester XXXXX Xxxx en XXXX Xx., advocaten kantoorhoudende te
[adres]
***
Gelet op de procedurestukken
• de beslissing nr. 57/2023 van 17 mei 2023 van de GBA (hierna de "Bestreden Beslissing"};
• het verzoekschrift van 16 juni 2023, waarmee Y beroep aantekent tegen de
Bestreden Beslissing;
• de conclusies zoals neergelegd door partijen ;
• de door partijen neergelegde stukkenbundels;
Gehoord de advocaten van partijen ter openbare terechtzitting van 22 november 2023 waarna de
zaak in beraad werd genomen voor uitspraak op 20 december 2023.
rPAGE □1-□□□□3635310-0002-0□41-02-□1-;-J
L _J
kennis te nemen van het administratief dossier, alsook van de dienen.
om hun conclusies in te
8. Op 30 januari 2023 werden de partijen gehoord door de Geschillenkamer. Het proces-verbaal van de hoorzitting werd aan de ter zitting verschenen partijen voorgelegd en deze partijen maakten hierover geen opmerkingen over aan de Geschillenkamer.
9. Op 5 april 2023 laat de Gegevensbeschermingsautoriteit Verzoekster uiteindelijk weten over te gaan tot het opleggen van een administratieve geldboete van 70.000 EUR. Verzoekster gaf hierop opmerkingen op 25 mei 2023.
10. Per e-mail van 16 mei 2023 werd een beslissing overgemaakt aan de partijen. Deze beslissing betrof evenwel een materiële vergissing waarop op 17 mei 2023 een correcte versie van de beslissing aan de partijen werd overgemaakt. Op 17 mei 2023 neemt de Geschillenkamer van de GBA de Bestreden Beslissing waarbij zij Verzoekster veroordeelt tot een berisping en een administratieve geldboete van 40.000,00 EUR en zij gelast aan Verzoekster om het recht op inzage toe te kennen aan de klager. Voor het overige wordt de klacht geseponeerd.
Tussen partijen bestaat geen betwisting dat het verhaal van Xxxxxxxxxxx wel degelijk betrekking heeft op de (correcte versie van de) beslissing zoals verstuurd per 17 mei 2023.
ll. Per verzoekschrift d.d. 16 juni 2023 stelt Verzoekster een verhaal in bij het Marktenhof tegen de beslissing van 17 mei 2023.
ll. Voorwerp van de vorderingen
Het verhaal van Y strekt ertoe
Het beroep ontvankelijk en gegrond te verklaren; En bijgevolg
In hoofdorde,
- te zeggen voor recht dat de klacht van betrokkene dd. 7 april 2023 bij de Gegevensbeschermingsautoriteit ten aanzien van Y ongegrond was, en bijgevolg de klacht te seponeren,
- de beslissing 57/2023 van de Gegevensbeschermingsautoriteit van 17 mei 2023 nietig te verklaren
1 PAGE □1-□□□□3635310-□□□4-□□41-□2-□1-�
L
- de Gegevensbeschermingsautoriteit te veroordelen tot de terugbetaling van de door
Y betaalde administratieve geldboete van 40.000,00 EUR. In ondergeschikte orde,
- indien uw Hof van oordeel is dat de klacht van betrokkene dd. 7 april 2022 bij de GBA ten aanzien van Y een inbreuk op het gegevensbeschermingsrecht in hoofde van betrokkene uitmaakt, een berisping te formuleren en geen geldboete.
In elk geval,
- de Gegevensbeschermingsautoriteit te veroordelen tot betaling van de gerechtskosten, met inbegrip van de rechtsplegingsvergoeding ten belope van 1.440,00 EUR
Per conclusie d.d. 15 november 2023 vraagt de GBA het Marktenhof :
De vordering van verzoeker ongegrond te verklaren;
Hoe dan ook, verzoeker te veroordelen tot de kosten van het geding, met inbegrip van het geïndexeerde basisbedrag van de rechtsplegingsvergoeding, begroot op 1.680 euro.
111. Middelen aangevoerd door de partijen
Y laat de volgende grieven gelden. Het Marktenhof wijst erop dat de nummering van de grieven verschilt in het door Verzoekster neergelegd verzoekschrift en in de door Verzoekster neergelegde conclusies en het Marktenhof geeft de nummering weer zoals die voorkomt in de conclusies van Verzoekster:
EERSTE GRIEF: Geen schending van het recht op inzage {artikel 15 AVG}.
TWEEDE GRIEF: Y is niet tekortgeschoten in haar verplichting om het recht op inzage te faciliteren (artikel 12, lid 2 AVG).
DERDE GRIEF: Y beschikt wel over de nodige technische en organisatorische Maatregelen.
VIERDE GRIEF: Y is niet tekortgeschoten in haar verplichting om betrokkenen transparant te informeren (artikel 5, lid 1, a), artikel 12, lid 1 en lid 2, artikel 13, lid 1, c) en lid 2 a) van de AVG).
r PAGE □1-00003635310-□□□5-□041-□2-□1-
L
VIJFDE GRIEF: Het ontbreken van een objectief en transparant kader voor de strafoplegging is in strijd met het beginsel nullum crimen sine lege dat is verankerd in artikel 49 van het Handvest van de grondrechten van de Europese Unie, artikel 7 van het Europees Verdrag voor de Rechten van de Mens ("EVRM") en artikel 12 van de Grondwet.
ZESDE GRIEF: Het ontbreken van een objectief en transparant kader voor de strafoplegging is in strijd met het beginsel nu/la poena sine lege, dat is verankerd in artikel 49 van het Handvest van de grondrechten van de Europese Unie, artikel 7 EVRM en artikel 14 van
de Grondwet.
ZEVENDE GRIEF: De bestreden beslissing is niet in overeenstemming met het beginsel van evenredigheid en individualisering van de straf, bij de keuze van de sanctie en, in het oneindig verre subsidiair, bij de keuze van het bedrag van de geldboete.
ACHTSTE GRIEF: Het niet geven van adequate en voldoende formele en materiële motivatie voor de beslissing.
De GBA formuleert de volgende verweermiddelen
EERSTE VERWEERMIDDEL: De bestreden beslissing stelt aangaande het recht van xxxxxx zowel een inbreuk vast op artikel 15 AVG als op artikel 12, lid 2 AVG - De bestreden beslissing stelt correct vast dat de weigering van Y om een kopie van de opgenomen telefoongesprekken over te maken aan de klager het recht op inzage van de klager xxxxxxx - De bestreden beslissing stelt correct vast dat Y zich niet geldig kon beroepen op de door haar opgeworpen uitzonderingsgronden - De bestreden beslissing is ter zake correct en afdoende verantwoord naar recht (verweer tegen de eerste t.e.m. derde grief van verzoeker).
EERSTE ONDERDEEL : De bestreden beslissing stelt onmiskenbaar een schending vast van artikel 15 AVG alsook van artikel 12, lid 2 AVG.
TWEEDE ONDERDEEL : De bestreden beslissing stelt terecht vast dat Y artikel 15, lid 3 en lid 4 AVG heeft geschonden.
DERDE ONDERDEEL : De bestreden beslissing stelt terecht vast dat Y artikel 12, lid 2 AVG heeft geschonden.
VIERDE ONDERDEEL : De vaststelling van de schending van het inzagerecht is correct en afdoende verantwoord naar recht.
IPAGE □1-□□□0363531□-□□□6-□□41-□2-□1-
L _J
TWEEDE VERWEERMIDDEL: De bestreden beslissing vermocht, (mede) nadrukkelijk verwijzend naar bepaalde andere onderdelen van de bestreden beslissing, vast te stellen dat Y tekort was geschoten in diens verantwoordingsplicht - De bestreden beslissing is niet inconsistent waar zij vaststelt dat er voor het overige onvoldoende elementen voorhanden zijn om te besluiten tot een inbreuk van de verantwoordingsplicht voor wat betreft de naleving van artikel 5, lid 1, b) tot en met f) AVG De verwerkingsverantwoordelijke moet in het kader van concrete verwerkingen steeds kunnen aantonen dat de bepalingen van de verordening werden nageleefd en dat de rechten van de betrokkene(n) werden gerespecteerd De loutere partijverklaringen vanwege Y kunnen niet weerleggen dat de bestreden beslissing ter zake behoorlijk in feite en naar recht verantwoord is (verweer tegen de vierde grief van Y).
DERDE VERWEERMIDDEL: De bestreden beslissing stelt terecht een inbreuk vast op de transparantieplicht - De Geschillenkamer constateert correct dat het op grond van de privacyverklaring van Y niet duidelijk is voor de betrokkene welke gegevens voor welk doeleinde worden verwerkt en op basis van welke rechtsgrond dit gebeurt - De Geschillenkamer observeert daarnaast terecht dat de privacyverklaring niet duidelijk melding maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel van de criteria ter bepaling hiervan (verweer tegen de vijfde grief van Y).
VIERDE VERWEERMIDDEL: De opgelegde boete is in overeenstemming met het wettigheidsbeginsel en is evenredig - de keuze voor een geldboete en de hoogte van deze boete worden geschraagd door in feite en in rechte draagkrachtige motieven (verweer tegen de zesde tot en met de negende grief van Y).
EERSTE ONDERDEEL : De berisping en de verplichting om zich met de AVG in regel te stellen hebben geen strafrechtelijk karakter.
TWEEDE ONDERDEEL : De inhoud van de verplichting om inzage te verlenen is voldoende duidelijk en nauwkeurig omschreven in de AVG - de AVG voldoet aan het legaliteitsbeginsel in strafzaken.
DERDE ONDERDEEL: De geldboete voor de miskenning van de verplichting om inzage te verlenen is voldoende voorzienbaar artikel 83 AVG voldoet aan het wettigheidsbeginsel in strafzaken.
VIERDE ONDERDEEL: De opgelegde geldboete is evenredig.
1 PAGE 01-□□□□363531□-□□□7-0041-02-01-;i
L
15. Hoewel het contact tussen Verzoekster en klager dus louter plaatsvond in het kader van de professionele activiteit van de klager, overweegt het Marktenhof dat er wel degelijk sprake is van een verwerking van persoonsgegevens van de klager waarop de AVG van toepassing is.
16. Er is evenzeer sprake van een verwerking door Verzoekster van gelijkaardige persoonsgegevens (alleszins de stem en soms ook de naam) in hoofde van de medewerkers van Verzoekster die aan de bewuste telefoongesprekken deelnemen.
17. Het organiseren en bijhouden van dergelijke telefoongesprekken maakt inherent deel uit van het bedrijfsmodel van Verzoekster en de Geschillenkamer oordeelt in de Bestreden Beslissing dat Verzoekster aantoonde dat ze noodzakelijk zijn voor de uitvoering van de overeenkomsten gesloten tussen Verzoekster en klager en dat ze ook de garantie zouden kunnen zijn van de kwaliteit van deze overeenkomsten (Bestreden Beslissing randnummer 28). Hierover is er geen betwisting (meer) tussen partijen.
EERSTE GRIEF Y : Geen schending van het recht op inzage (artikel 15 juncto artikel 12, lid 2 AVG).
Eerste verweermiddel GBA.
Verzoekster had gegronde redenen om de klager geen kopie te geven van de eigenlijke opnames
Er zou een inbreuk kunnen plaatsvinden op de bescherming van de persoonsgegevens van de medewerkers indien een kopie van de opnames zou zijn gegeven. Waar de GBA de bewijslast bij Verzoekster legt tot het aantonen van een bepaalde mate van xxxxx in de schending van de rechten van de werknemers, faalt haar redenering naar recht. Een potentieel risico van hergebruik van dezelfde gegevens volstaat. Verzoekster kon de kopie weigeren gezien zij een objectieve en rechtmatige reden had, m.n. het risico op belaging van de medewerkers door ontevreden klanten en het feit dat het verzoek kaderde in een geschil reeds bestaand tussen de partijen;
Het versturen van de opname zelf betreft een vorm van gegevensverwerking waarvoor de verantwoordelijkheid bij Verzoekster ligt;
De klager wenste de opname(s) te gebruiken als bewijs in een civielrechtelijk geschil of procedure;
De uitoefening van het recht tot inzage is ongegrond en betreft een manifeste vorm van rechtsmisbruik. Het zou bovendien afbreuk doen aan de rechten van verdediging van Verzoekster. Elke verzoek om inzage moet worden beoordeeld in het kader van het transparantiedoel van de AVG en een misbruik van dit recht kan leiden tot de weigering van de verstrekking tot inzage, hetgeen in casu gebeurde. Verzoekster wenst te wijzen op het belang
1 PAGE 01-□□□□3635310-0014-□□41-□2-01-4
L
van de hangende prejudiciële vraag omtrent het recht tot inzage en de verhouding met rechtsmisbruik is van belang (C-672/22);
Op basis van de opnames zou het mogelijk zijn om de knowhow en zakengeheimen van Verzoekster af te leiden.
Samenvatting verweermiddel GBA
De Geschillenkamer heeft een correcte afweging gemaakt tussen het recht van de klager om een kopie te verkrijgen van de betrokken telefoonopnames en 'de rechten en vrijheden van anderen'. De richtsnoeren geven uitdrukkelijk het voorbeeld van een telefonisch verkoopgesprek waarin beperkte persoonsgegevens van een medewerker van de verkopende onderneming voorkomen en hoe hiermee om te gaan. De Geschillenkamer heeft ook geenszins de bewijslast richting Verzoekster geschoven, maar controleerde eenvoudigweg de correcte toepassing door Verzoekster van artikel
15.4 AVG. In ieder geval volstaat een loutere bewering of bezorgdheid om een mogelijke impact op de rechten van de betrokken medewerkers niet om het verstrekken van een kopie te weigeren. Wat dit betreft, kan verwezen worden naar het recent FT arrest van het Hof van Justitie (C-307/22). In dit arrest is het Hof glashelder: men moet een verzoek om xxxxxx niet motiveren.
Wat betreft het argument dat het versturen van de opnames zelf een vorm van gegevensverwerking betreft waarvoor Xxxxxxxxxxx verantwoordelijk is, moet worden benadrukt dat deze overdracht een dwingende wettelijke verplichting betreft (art. 15.3 AVG). Er kon hoe dan ook een transcript worden verstuurd met de weglating van directe identificatiegegevens van de medewerkers. Xxxxxxxxxxx ging evenwel niet in op deze redelijk aanvaardbare tussenoplossing. In ieder geval zou ook de klager als verwerkingsverantwoordelijke gebonden zijn aan de verplichtingen van de AVG.
Ook heeft de Geschillenkamer er wel degelijk uitdrukkelijk rekening mee gehouden dat Y tijdig heeft gereageerd en het verzoek van de klager niet zonder meer heeft genegeerd. Dit leidde ertoe dat de Geschillenkamer geen inbreuk weerhield op artikel 12, lid 3, AVG en artikel 12, lid 4, AVG (transparantieplicht). Ook bij de beoordeling van de inbreuk op artikel 15 AVG houdt de beslissing er terdege rekening mee dat Verzoekster de betrokkene een alternatief had aangeboden. Xxxxxxx valt niet in te zien hoe een eenmalige luisterbeurt meer 'informatief' zou kunnen zijn dan het verstrekken van een kopie, die steeds opnieuw kan worden geraadpleegd en dus ook beter kan worden gecontroleerd.
De uiteenzetting inzake het gebruik van de kopie in een civielrechtelijk geschil of procedure snijdt geen hout. Verzoekster beschikt over het origineel van de opname alsook de versie die zou worden overgemaakt.
Verder is aan de voorwaarden van rechtsmisbruik niet voldaan en valt niet in te zien hoe de uitoefening van het recht om een kopie te ontvangen afbreuk zou doen aan de rechten van verdediging van Verzoekster. Het redelijk karakter van de uitoefening van het inzagerecht volgt in elk
rPAGE 01-00003635310-0015-0041-□ 2-□1-�
L
geval uit het feit dat de klager zich ermee kon verzoenen om louter een transcript te ontvangen met de weglating van de directe identificatiegegevens van de medewerkers.
Tot slot, wat betreft de stelling m.b.t. het zakengeheim geeft de AVG geen definitie en valt de informatie geenszins onder de definitie van het bedrijfsgeheim conform artikel 1.17/1 WER.
Beoordeling door het Marktenhof
18. Artikel 12 en 15 AVG vormen als het ware elkaars "spiegelbeeld".
Krachtens artikel 12 AVG "neemt [de verwerkingsverantwoordelijke} passende maatregelen opdat de betrokkene de[... ] informatie en de[ ...] communicatie [in kwestie] [...] ontvangt", en "faciliteert [de verwerkingsverantwoordelijke] de uitoefening van de rechten van de betrokkene". De bepalingen van artikel 12 betreffen in feite met name de wijze waarop en de termijn waarbinnen de verwerkingsverantwoordelijke, onder meer, inzagerecht dient te verlenen.
De enige uitzonderingen op de verplichting voor de verwerkingsverantwoordelijke om onverwijld gevolg te geven aan een inzageverzoek, bestaan wanneer hij: i) bij gerede twijfel over de identiteit van de betrokkene om aanvullende informatie vraagt; en ii) een redelijke vergoeding aanrekent of iii) weigert gevolg te geven aan een verzoek dat kennelijk ongegrond of buitensporig is.
Artikel 15 AVG is ook in zeer ruime bewoordingen geformuleerd, waarbij aan de betrokkene uitgebreide vormen van inzage worden verleend: om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om gedetailleerde informatie in dat verband te ontvangen; en om een kopie te verkrijgen van de persoonsgegevens die worden verwerkt.
19. Het begrip "kopie" in artikel 15, leden 3 en 4, AVG kan opgevat worden als een getrouwe reproductie in begrijpelijke vorm van de door de betrokkene gevraagde persoonsgegevens, in een gematerialiseerde en duurzame vorm, die de betrokkene in staat stelt het recht van inzage van de hem betreffende persoonsgegevens op een effectieve manier uit te oefenen, met volledige kennis van alle persoonsgegevens die worden verwerkt. De exacte vorm van de kopie wordt per geval bepaald op basis van de bijzonderheden ervan en met name van de aard van de persoonsgegevens waarvan om inzage wordt verzocht en van hetgeen de betrokkene nodig heeft.
20. Het Marktenhof overweegt dat de Bestreden Beslissing Verzoekster terecht bestempelt als een verwerkingsverantwoordelijke in de zin van artikel 4, 7} AVG. Bijgevolg dient Verzoekster de bovenvermelde rechten conform artikel 15 (juncto artikel 12} AVG te waarborgen.
r PAGE 01-□□□□3635310-0016-0041-□2-□1-i:-i
L _J
21. Het Marktenhof overweegt verder dat er in de Bestreden Beslissing geen sprake is van 'vaagheid' omtrent de hogervermelde bepalingen van de AVG met betrekking waartoe er door de Geschillenkamer een inbreuk op het recht van inzage wordt vastgesteld.
Omtrent de door de Geschillenkamer in het kader van de Bestreden Beslissing onderzochte uitzonderingsgronden
22. Uit de stukken van het dossier blijkt dat de klager zelf tot viermaal toe Xxxxxxxxxxx vraagt om xxxxxx / een kopie te verkrijgen van de telefoongesprekken.5 Naderhand wordt deze vraag nogmaals gesteld door diens raadsman.
Verzoekster bood de klager (enkel) de mogelijkheid aan om de telefoonopnames te komen beluisteren op het hoofdkantoor in Brussel, maar weigerde deze telefoonopnames elektronisch aan hem door te sturen. Verzoekster doet voor de Geschillenkamer een vijftal redenen gelden waarom zij de klager de telefoongesprekken niet (volledig) zou kunnen overmaken en de Geschillenkamer onderzoekt en bespreekt elk van die redenen in de Bestreden Beslissing.
23. Als eerste reden beroept Xxxxxxxxxxx zich op de bescherming van de persoonsgegevens van haar medewerkers. Het is in dit kader dat Xxxxxxxxxxx de klager heeft aangeboden om de opnames te komen beluisteren in haar hoofdkantoor. De klager heeft deze mogelijkheid geweigerd, maar kon wel akkoord gaan om een transcript te ontvangen met weglating van de directe identificatiegegevens van de medewerkers van Verzoekster, mits de nodige waarborgen inzake de correctheid hiervan. De Bestreden Beslissing stelt terecht dat er {ten onrechte) geen manier gevonden werd tussen de partijen om de conflicterende rechten te verzoenen.
De Geschillenkamer stelt verder terecht in randnummer 57 van de Bestreden Beslissing dat Verzoekster naliet om een echte belangenafweging te maken zoals vereist door Artikel 15 lid 4 AVG. Het volstaat niet in abstracto te verwijzen naar de rechten en vrijheden van haar eigen medewerkers. In de mate dat Xxxxxxxxxxx in het kader van een reële belangenafweging (conform de richtsnoeren van de EDPB zoals aangehaald in de Bestreden Beslissing, Richtsnoeren vastgesteld op 28 januari 2022 en op de website van de EDPB gepubliceerd) tot de bevinding zou komen dat enkel de stem van de medewerker in het betrokken gegevensbestand zou vervat zitten en dat er geen risico op identificatie van de betrokken medewerker zou bestaan, dan diende zij mogelijk het ganse bestand aan de klager te bezorgen met inbegrip van die delen van het gesprek die betrekking hebben op de stem van de medewerker van Verzoekster. Indien er toch een risico op identificatie van een medewerker van Xxxxxxxxxxx zou bestaan, dan had Verzoekster alleszins gevolg kunnen geven aan het voorstel van de klager om een transcript over te maken met weglating van de directe identificatiegegevens van de medewerkers van Verzoekster. Voor een gespecialiseerd bedrijf als Verzoekster kon dit geen bijzondere technische uitdaging vormen.
5 Stuk 1 Verzoekster.
IPAGE 01- □0□03635310-0017-□041- □ 2- □1-�
L _J
24. Vervolgens stelt Xxxxxxxxxxx - voor het eerst voor het Marktenhof {dit nieuwe argument werd niet aangehaald door Verzoekster in de procedure voor de Geschillenkamer) - dat het versturen van de opname zelf een vorm van gegevensverwerking betrof, waarvoor zij de verantwoordelijkheid diende te nemen. Verzoekster gaat daarbij volledig voorbij aan het feit dat Artikel 15 lid 3 AVG een dwingende wettelijke verplichting inhoudt voor het overmaken van een kopie van de opname (zijnde het gegevensbestand) aan de klager.
25. Wat betreft het risico van het gebruik van de telefoongesprekken in een civielrechtelijke geschil of procedure en de repercussies daarvan op de rechten van verdediging van Verzoekster, kan deze laatste evenmin worden gevolgd. Het volstaat te verwijzen naar de recente rechtspraak van het Hof van Justitie. In de zaak C-307/22 FT t DW stelde het Hof van Justitie dat artikel 15, lid 3, AVG aldus moeten worden uitgelegd dat de verwerkingsverantwoordelijke verplicht is om de betrokkene een kopie van diens persoonsgegevens te verstrekken, zelfs wanneer de betrokkene de kopie niet opvraagt voor de in overweging 63 van de AVG genoemde doeleinden, maar voor een ander doel, dat geen verband houdt met gegevensbescherming. Aan de uitoefening door de betrokkene van zijn recht van xxxxxx uit hoofde van artikel 15 AVG wordt er immers geen uitdrukkelijke voorwaarde of grens gesteld. Bijgevolg diende de klager zijn inzageverzoek niet te motiveren en kon Verzoekster het inzageverzoek niet weigeren omdat het verzoek mogelijk een ander doel (gebruik in een civielrechtelijk geschil) diende. Hoe dan ook beschikt Xxxxxxxxxxx steeds zelf over de originele opnames van de telefoongesprekken en stellen partijen op de zitting van 22 november 2023 dat er tot dan geen sprake is van een gerechtelijke procedure. Het Marktenhof ziet dan ook niet in hoe er een afbreuk zou kunnen worden gedaan aan de rechten van verdediging van Verzoekster.
26. Ook het vermeend rechtsmisbruik in hoofde van de klager houdt geen stand. Dit blijkt al duidelijk uit de houding van de klager zelf.6 Die stelde uitdrukkelijk te kunnen instemmen met een versie van de telefoongesprekken waarbij de directe identificatiegegevens van de medewerkers weggelaten zouden worden of een uitgeschreven versie van de gesprekken waarbij de directe identificatiegegevens van de medewerkers weggelaten zouden worden mits deze tekst door een objectieve partij gecontroleerd zouden worden of door het laten horen van de gesprekken na het ontvangen van de geschreven tekst.7
De Bestreden Beslissing weerlegt in randnummers 64 en volgende de aantijging van rechtsmisbruik in hoofde van klager in duidelijke bewoordingen. Anders dan wat Verzoekster voorhoudt, kan niet worden hardgemaakt dat de klager misbruik zou gemaakt hebben van zijn inzagerecht laat staan dat er sprake zou zijn van 'rechtsmisbruik'. De Geschillenkamer stelt in de Bestreden Beslissing vast dat het wezenlijke doel van de betrokken handelingen er niet in bestaat een ongerechtvaardigd voordeel te verkrijgen: de uitoefening van (“…”)het recht op inzage is immers de enige wijze voor de klager om inzage te krijgen in welke persoonsgegevens Verzoekster verwerkt en op welke wijze deze verwerking desgevallend gebeurt. Aangezien de contacten telefonisch verlopen, heeft de
klager zelf
6 Dit blijkt bij voorbeeld tevens uit stuk 41 GBA.
7 Bestreden Beslissing, randnr. 56.
1 PAGE □1-□□□□363531□-0018-0041-□ 2-□1-i:-i
L
geen schriftelijke neerslag van de verwerking van zijn gegevens. Een inzageverzoek kan derhalve zelfs niet geweigerd worden indien de betrokkene de intentie zou hebben om de persoonsgegevens te gebruiken om klacht in te dienen tegen Verzoekster.
27. Tot slot, wat betreft de bescherming van de knowhow en zakengeheimen, blijkt geenszins uit het dossier dat de geviseerde telefoongesprekken 'knowhow' of 'zakengeheimen' zouden bevatten. Verzoekster maakt ook voor het Marktenhof niet hard waarom de desbetreffende telefoongesprekken knowhow of zakengeheimen in de zin van overweging 63 AVG, of bedrijfsgeheimen in de zin van artikel 1.17/1 WER, zouden bevatten. De Bestreden Beslissing stelt terecht in randnummer 62 het volgende:
"De Geschillenkamer begrijpt uit de conclusies van de verweerster dat in de opnames besproken wordt hoe de website gebouwd zou worden. Hierbij zouden vragen gesteld zijn uit dewelke de knowhow en de productieprocessen van de verweerster zouden kunnen worden afgeleid. Het overmaken van een kopie van deze gesprekken zou dus een schending van het bedrijfsgeheim van de verweerster uitmaken, zo stelt de verweerster. De Geschillenkamer merkt echter op dat deze informatie niet voldoet aan de hierboven vermelde definitie van een bedrijfsgeheim. Volgens de eerste voorwaarde van de voormelde definitie is een bedrijfsgeheim geheim in die zin dat zij, in haar geheel, dan wel in de juiste samenstelling en ordening van haar bestanddelen, niet algemeen bekend is, of gemakkelijk toegankelijk is voor personen binnen de kringen die zich gewoonlijk bezighouden met de desbetreffende soort informatie. De Geschillenkamer merkt op dat deze informatie niet beperkt toegankelijk is. Deze informatie wordt immers meegedeeld in standaardgesprekken met alle klanten, waarbij het voor concurrenten ook mogelijk is om zich voor te doen als klant en zo de benodigde informatie te verkrijgen. Bovendien is deze informatie ook niet beschermd door middel van een geheimhoudingsovereenkomst. Dit zou dus betekenen dat de klanten de zogezegde zakengeheimen van verweerster zouden kunnen en mogen doorgeven naar derden. De informaUe wordt immers al gegeven tijdens de gesprekken zelf zonder dat er op dat moment is overeengekomen om deze geheim te houden. Bovendien dient de informatie nog in de juiste samenstelling of ordening van haar bestanddelen geplaatst worden opdat zij relevant zou kunnen zijn om de knowhow te achterhalen."
28. De Bestreden Beslissing blijkt op het vlak van de erin vastgestelde inbreuk op artikel 15 juncto 12 lid 2 AVG toereikend te zijn gemotiveerd : ze is gerechtvaardigd door 1) feitelijke en 2) juridische motieven die 3) de Bestreden Beslissing naar redelijkheid dragen.
29. Het Marktenhof overweegt zelf verder (in het kader van haar volle rechtsmacht) op basis van de hierboven geciteerde rechtspraak dat het geen twijfel lijdt dat de klager volgens de regels van de AVG in beginsel het recht heeft om kosteloos van de Verzoekster een eerste kopie te verkrijgen van zijn gegevens die worden verwerkt. Dat volgt uitdrukkelijk uit artikel 12, lid 5, AVG, dat bepaalt dat het verstrekken van informatie krachtens, onder meer, artikel 15 ervan "kosteloos geschied[t]".
r PAGE □1-0□□0363531□-□□19-□□41-□2-□1-i7"7
L _J
Bijgevolg schendt Xxxxxxxxxxx het inzagerecht zoals verduidelijkt in de recente rechtspraak van het Hof van Justitie waar zij, zonder meer, stelt dat de klager de opnames kan komen beluisteren in haar hoofdkantoor aangezien dit inhoudt dat de klager dan per definitie kosten (minstens die van verplaatsing en van de tijd die ermee gepaard gaat) dient te maken.
30. De eerste grief van Xxxxxxxxxxx is ongegrond.
TWEEDE GRIEF Y : Y is niet tekortgeschoten in haar verplichting om het recht op inzage te faciliteren (artikel 12, lid 2 AVG).
Eerste verweermiddel GBA.
De beslissing van de GBA is gesteund op een onwettige interpretatie en werd niet afdoende gemotiveerd waardoor Xxxxxxxxxxx zich niet naar behoren kan verdedigen. De interpretatie is onwettig, omdat het niet duidelijk is waarin de schending van de plicht om te faciliteren bestaat en wat er juist van verwerkingsverantwoordelijken wordt verwacht. Van de vage 'faciliteringsplicht' kan geenszins een specifieke verplichting worden afgeleid om de situatie van een bepaalde betrokkene te vergemakkelijken. Het betreft louter een verplichting om technische en organisatorische maatregelen te nemen om de uitoefening van de rechten onder de AVG te vergemakkelijken, waaraan in casu is voldaan. De faciliteringsplicht omvat (slechts) een middelenverbintenis en de GBA toont niet aan dat er onvoldoende inspanningen werden geleverd door Verzoekster om de uitoefening van het recht te faciliteren of dat de alternatieve aanpak niet volstond. In elk geval is de modaliteit in overeenstemming met de richtsnoeren van de EDBP.
De GBA laat ook na om in concreto rekening te houden met de door Verzoekster aangehaalde belangen. Verder is het niet duidelijk of de beslissing een overtreding vaststelt van artikel 15 AVG of eerder van artikel 15 AVG juncto artikel 12.2 AVG. Ook is de interpretatie van de GBA niet conform de ratio legis van artikel 12.2 en overweging 59 AVG waar er automatisch een schending wordt gezien van artikel 15.3, 15.4 én 12.2 AVG door het weigeren om een kopie te geven enerzijds en het feit dat men de klager alleen de opnames wilde laten beluisteren op het hoofdkantoor anderzijds. Verzoekster kan onmogelijk de specifieke redenen identificeren die geleid hebben tot de beslissing. De Bestreden Beslissing is aldus niet afdoende gemotiveerd.
Gezien de beslissing gesteund is op een onwettige interpretatie en behept is met een motiveringsgebrek, moet ze worden nietig verklaard.
Samenvatting verweermiddel GBA
Uit de bewoordingen van de bestreden beslissing blijkt dat de GeschiHenkamer eenvoudigweg een schending vaststelt van zowel artikel 15 AVG ais van artikel 12, lîd 2 AVG. Er is dus geen sprake van enige vaagheid en bovendien is een het volstrekt logisch dat de Bestreden Beslissing een inbreuk
1 PAGE □1-□□□0363531□-□□2□-□□41-□2-□1-;i
L _J
Hof van beroep Brussel 2023/AR/817- p. 22
• Ingevolge artikel 59 AVG vereist de term 'faciliteren' een proactieve aanpak van de verwerkingsverantwoordelijke om 'alle nodige maatregelen' te nemen om de uitoefening van rechten onder de AVG te vergemakkelijken;
• Het gaat hier dus om een middelenverbintenis;
• De modaliteit die Verzoekster voorstelt (het komen luisteren naar de opname op het hoofdkantoor} volstaat.
De Bestreden Beslissing stelt terecht in randnummer 45 en volgende dat Artikel 12 van de AVG de wijze betreft waarop de betrokkenen hun rechten kunnen uitoefenen en bepaalt dat de verwerkingsverantwoordelijke de uitoefening van die rechten door de betrokkene moet faciliteren (artikel 12, lid 2 van de AVG). In onderhavige zaak heeft de Geschillenkamer in de Bestreden Beslissing geoordeeld (randnummer 70) dat de verweerster geen correct en rechtmatig gevolg gegeven heeft aan de uitoefening van het recht op inzage van de klager, hetgeen een inbreuk uitmaakt op artikel 12, lid 2 en op artikel 15 van de AVG.
32. In de Bestreden Beslissing wordt artikel 12.2 AVG niet louter op zichzelf beoordeeld zoals de Verzoekster ten onrechte tracht voor te houden. De Geschillenkamer stelt vast dat de klager geen kopie kreeg van de verwerkte persoonsgegevens (betreffende zijn persoon) en dat Verzoekster de uitoefening van de rechten van de klager niet voldoende heeft gefaciliteerd door enkel voor te stellen dat de klager zou komen luisteren naar de opname op het hoofdkantoor.
Het Marktenhof heeft hiervoor al aangegeven dat het spiegelbeeldbepalingen betreft. Het betreft dus geen vage bepalingen of middelverbintenissen. De GBA stelt terecht in conclusies dat de ratio legis van faciliteringsverplichting er net in bestaat te vermijden dat verwerkingsverantwoordelijken zoals Verzoekster de rechten van betrokkenen niet eng of legalistisch zouden invullen. De faciliteringsplicht betekent dat de verwerkingsverantwoordelijke de uitoefening van het inzagerecht niet mag bemoeilijken maar net dient te vereenvoudigen.
33. Het Marktenhof heeft hiervoor al geoordeeld dat de modaliteit die Verzoekster uiteindelijk aan de klager voorstelt (het komen luisteren vanuit Pittem naar de opname op het hoofdkantoor van Verzoekster te Drogenbos) in het licht van de recente rechtspraak van het Hof van Justitie (kosteloos karakter van de eerste inzage} niet volstaat.
Aangaande de vermeende schending van de motiveringsverplichting
34. In het tweede onderdeel van haar tweede grief, stelt Xxxxxxxxxxx dat de Bestreden Beslissing niet afdoende gemotiveerd is.
Het Marktenhof waakt hoe dan ook zowel over de formele als de materiële motiveringsplicht. De artikelen 2 en 3 van de wet van 29 juli 1991 betreffende de uitdrukkelijke motivering van de bestuurshandelingen verplichten de administratieve overheid in de akte de juridische en feitelijke
1 PAGE □1- □000363531□-□□22- □041-02-□1-�
L _J
overwegingen op te nemen die aan de beslissing ten grondslag liggen, en dat op 'afdoende' wijze. Het afdoend karakter van de motivering betekent dat de motivering pertinent moet zijn, dit wil zeggen dat ze duidelijk met de beslissing te maken moet hebben, en dat ze draagkrachtig moet zijn, dit wil zeggen dat de aangehaalde redenen moeten volstaan om de beslissing te dragen.
35. In tegenstelling tot wat Verzoekster aanhaalt, overweegt het Marktenhof dat de Bestreden Beslissing afdoende is gemotiveerd. Uit de Beslissing blijkt klaar en duidelijk dat de GBA met de belangen van Verzoekster, die volgens haar zwaarder zouden doorwegen dan het recht van inzage van de klager, rekening heeft gehouden. De Bestreden Beslissing behandelt deze belangen uitdrukkelijk en uitvoerig in de randnummers 51 tot en met 68.
In de mate dat Xxxxxxxxxxx vervolgens poneert dat uit de Bestreden Beslissing niet duidelijk blijkt welke schendingen zij juist vaststelt, kan zij niet worden gevolgd. Het Marktenhof citeert uit de Bestreden Beslissing: (EIGEN NADRUK)
71. Gelet op het bovenstaande oordeelt de Geschillenkamer dat de verweerster geen correct en rechtmatig gevolg gegeven heeft aan de uitoefening van het recht op inzage van de klager, hetgeen een inbreuk uitmaakt op artikel 12, lid 2 en op artikel 15 van de AVG.
36. Er bestaat geen onduidelijkheid over het feit dat de Bestreden Beslissing krachtens deze paragraaf een schending vaststelt van zowel artikel 12, tweede lid AVG als artikel 15 AVG. De Bestreden Beslissing bespreekt in de randnummers 44 tot en met 51 duidelijk de omvang van de artikelen en sluit af met een beoordeling in concreto.
37. Ook wat betreft de 'automatische schending' van artikel 12, tweede lid AVG, ingevolge het onrechtmatig weigeren door een verwerkingsverantwoordelijke van het recht van de betrokkene op een kosteloze eerste kopie, is er geen onduidelijkheid. Zoals het Marktenhof zelf eerder uiteenzette, weigerde Xxxxxxxxxxx onrechtmatig de klager de gevraagde (kosteloze eerste) kopie te verstrekken. Uit het feit dat dergelijke weigering onrechtmatig was, volgt dat Verzoekster de uitoefening van de rechten van de klager in wezen verhinderde, hetgeen onmiskenbaar ook de faciliteringsverplichting ondermijnt.
38 . Het Marktenhof overweegt dat de Bestreden Beslissing niet gebaseerd is op een onwettige interpretatie van de AVG en aangaande de weerhouden inbreuk afdoende is gemotiveerd.
De tweede grief van Xxxxxxxxxxx is derhalve ongegrond.
DERDE GRIEF Y : Y beschikt wel over de nodige technische en organisatorische Maatregelen.
Eerste en tweede verweermiddel GBA.
r PAGE 01-0□□□3635310-0023-0041- □2-□1-iTl
L ..J
Samenvatting grief Y
De loutere verwijzing naar de inbreuken die eerder door de GBA zijn vastgesteld, leidt op zichzelf niet tot de conclusie dat er andere overtredingen zijn begaan. De GBA motiveert haar beslissing niet. De GBA toont ook niet aan dat Verzoekster onvoldoende inspanning leverde om het beoogde resultaat te bereiken. Het is bovendien verbazingwekkend dat de GBA stelt dat de Inspectiedienst aanvullend onderzoek had moeten doen, maar dit niet zelf doet. De GBA baseert zich bijgevolg op een onjuiste interpretatie.
Verder betreft de verantwoordingsplicht een middelenverbintenis en kan in ieder geval niet redelijkerwijze worden betwist dat Verzoekster robuuste en adequate interne procedures, beleidsmaatregelen en regels heeft ingevoerd om persoonsgegevens te beschermen, noch dat zij te goeder trouw heeft getracht de AVG na te leven.
Samenvatting verweermiddel GBA
Doordat de Geschillenkamer nadrukkelijk naar de onderdelen 11.2.4 en 11.3.4 van de Bestreden Beslissing verwijst, waarin zij een schending vaststelt van de bepalingen van de AVG betreffende het inzagerecht en de transparantieplicht, kon zij in de passage van 11.4.4, onder verwijzing naar de voornoemde delen en de daarin vastgestelde inbreuken, genoegzaam constateren dat Verzoekster niet kon aantonen dat zij de nodige maatregel had genomen om te voldoen aan de verplichtingen van de AVG inzake het inzagerecht en de transparantieplicht en dat er derhalve automatisch (eveneens) sprake was van een schending van de verantwoordingsplicht. De Beslissing is weliswaar bondig, maar klaarblijkelijk afdoende.
Bovenstaande redenering is niet inconsistent met het gegeven dat de Geschillenkamer oordeelde dat er geen afdoende reden voorhanden was om eveneens een schending op de verantwoordingsplicht vast te stellen voor wat betreft artikel 5, eerste lid, b) t.e.m. f) AVG. Voor een vaststelling van een schending van de verantwoordingsplicht inzake het naleven van het inzagerecht en de transparantieplicht waren er immers wél voldoende elementen voorhanden.
Verder is de verantwoordingsplicht niet slechts een middelenverbintenis voor Verzoekster. Verzoekster verwart zodoende de globale, proactieve, verplichting van artikel 25.1 AVG met de concrete, reactieve, verplichting van artikel 24.1 en 25.1, in fine AVG. l.h.k.v. deze laatste verplichting moet een verwerkingsverantwoordelijke steeds zelf kunnen aantonen de AVG te hebben nageleefd en dat de rechten van de betrokkene(n) werden gerespecteerd. Het te goeder trouw zijn maakt niet dat er ten onrechte een inbreuk op de verantwoordingsplicht zou zijn vastgesteld..
Beoordeling door het Xxxxxxxxxx
00. De Bestreden Beslissing stelt onder meer het volgende : (EIGEN NADRUK)
1 PAGE 01-00003635310-□□24-0041-□2-□1-�
L
Xxx xxx xxxxxx Xxxxxxx - 0000/XX/000 p. 25
93. De Geschillenkamer heeft in deel 11.2.4 vastgesteld dat er sprake was van een inbreuk van de verplichting inzake het faciliteren van het verzoek tot inzage van de betrokkene ingevolge artikel 12, lid 2 j° artikel 00 XXX. Xx Xxxxxxxxxxxxxxx heeft in deel 11.3.4 geoordeeld dat er eveneens sprake was van een inbreuk op de transparantieverplichtingen zoals begrepen in artikel 12, lid 1 en artikel 13, lid 1, c) en lid 2 a) AVG voor wat betreft de begrijpelijke taal en de vermelding van de bewaartermijnen in de privacyverklaring.
94. De Geschillenkamer stelt dan ook vast dat de verweerder niet kon aantonen dat hij de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan deze verplichtingen. Bijgevolg besluit de Geschillenkamer dat er sprake was van een inbreuk op de artikelen 5, lid 2, 24, lid 1 en 25 lid 1 AVG voor wat betreft de verplichtingen voortvloeiend uit artikel 12, lid 2 i° artikel 15 AVG enerzijds en artikel 12, lid 1 en artikel 13, lid 1, c) en lid 2 a) A VG anderzijds.
95. Voor wat betreft de verantwoordingsplicht in het kader van de naleving van de grondbeginselen van de AVG zoals begrepen in artikel 5, lid 1, b} t.e.m. f) AVG, stelt de Geschillenkamer vast dat er onvoldoende elementen zijn om tot een schending hiervan te oordelen.
40. Zoals terecht gesteld in de Bestreden Beslissing, dient iedere verwerkingsverantwoordelijke krachtens artikel 5, tweede lid juncto artikel 24, eerste lid AVG de beginselen inzake de bescherming van persoonsgegevens zoals vervat in artikel 5, eerste lid AVG na te leven én deze naleving te kunnen aantonen. Vervolgens dient krachtens een lezing van artikel 24 en 25 AVG de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen [te treffen] om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met [de AVG] wordt uitgevoerd en waarbij deze zijn opgesteld met als doel de gegevensbeschermingsbeginselen op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van [de AVG] en ter bescherming van de rechten van de betrokkenen.
De Bestreden Beslissing stelt in het geciteerde onderdeel twee zaken vast : (i) een inbreuk op de verantwoordingsplicht voor wat betreft de verplichtingen m.b.t. het inzagerecht en (ii) een inbreuk op de verantwoordingsplicht voor wat betreft de verplichting tot transparantie.
41. Xxxxxxxxxxx stelt dat de Bestreden Beslissing niet consistent zou zijn en niet afdoende gemotiveerd zou zijn aangezien de Geschillenkamer de Inspectiedienst zou verwijten geen aanvullende informatie te hebben gevraagd omtrent het aspect van de verantwoordingsplicht m.b.t. artikel 5, eerste lid, b) tot en met f) AVG en alsnog overgaat tot het vaststellen van een schending van artikel 5, tweede lid j0 art. 24, eerste lid en artikel 25, eerste lid AVG.
Voorgaande stelling kan niet worden gevolgd. De Bestreden Xxxxxxxxxx stelt in de geciteerde paragraaf slechts vast dat er voor een beoordeling van de verantwoordingsplicht in het kader van
r PAGE □1-□0003b35310-□025-0041-□2-□1-;i
L _J
Hof van beroep Xxxxxxx 0000/XX/000 - p. 27
Verzoekster als verwerkingsverantwoordelijke moet met andere woorden, in het kader van concrete verwerkingen, wel degelijk steeds zelf kunnen aantonen dat de bepalingen van de AVG werden nageleefd en dat de rechten van de betrokkene(n} werden gerespecteerd. Indien de verwerkingsverantwoordelijke daartoe in gebreke blijft - zoals in casu - dan is er (ook) sprake van een schending van de verantwoordingsplicht.
45. De stelling van Xxxxxxxxxxx dat zij 'te goeder trouw' in de mening verkeerde "dot zij had voldaan aan haar verplichtingen onder de AVG", betreft een loutere bewering, en weerlegt geenszins het gegeven - zoals hierboven toegelicht - dat de Bestreden Beslissing ook op dit punt afdoende in feite en naar recht werd verantwoord.
De derde grief van Xxxxxxxxxxx is ongegrond.
VIERDE GRIEF Y : Y is niet tekortgeschoten in haar verplichting om betrokkenen transparant te informeren (artikel 5, lid 1, a), artikel 12, lid 1 en lid 2, artikel 13, lid 1, c) en lid 2 a) van de AVG).
Derde verweermiddel GBA.
M.b.t. het vermeend gebrek aan duidelijke informatieverstrekking aan de betrokkene, inzonderheid de bewaartermijn, was het voor de betrokkene wel degelijk duidelijk welke gegevenscategorieën zouden worden gebruikt voor welbepaalde doelen en dat het aan de GBA is om aan te tonen dat de door Verzoekster gekozen methode ontoereikend is. De opvatting van de GBA dat bv. kruisverwijzingen moeten worden gebruikt bij het verstrekken van informatie en dat een eenvoudige opsomming met titels ontoereikend is, vindt geen steun in wettelijke bepalingen, noch in de richtsnoeren van de EDPB.
De GBA is ook tegenstrijdig gezien zij enerzijds stelt dat er onvoldoende gedetailleerd melding wordt gemaakt van de rechtsgrond(en), de doeleinden en de gebruikte persoonsgegevens en anderzijds stelt dat de privacyverklaring deze elementen wel vermeldt, maar de manier waarop niet begrijpelijk, noch transparant is. Verder houdt de GBA onterecht geen rekening met het feit dat de betrokkene wordt geacht de wet te kennen en dus ook de wettelijke bewaartermijnen waarnaar Verzoekster verwijst in diens privacyverklaring. In ieder geval heeft de betrokkene louter theoretische schade geleden als gevolg van het vermeende gebrek aan informatie.
Samenvatting verweermiddel GBA
In de privacyverklaring van Verzoekster zijn de onderlinge samenhang / finaliteit van de gegevens niet toegelicht, noch bevatten de artikelen heldere (kruis}verwijzingen waaruit deze samenhang zou blijken. Ook is het aantal verwerkte categorieën geenszins zodanig beperkt dat het evident is voor welke doeleinden de gegevens worden verwerkt, wordt er slechts op een algemene manier
1 PAGE □1-0□□□3635310-□□27-0041-□2-01-;i
L _J
Hof van beroep Brussel -2023/AR/817 p. 28
verwezen naar 'art. 6 van de GDPR' en worden de opgegeven hoofddoeleinden ingevuld a.d.h.v. een niet-limitatieve lijst van doeleinden waarbij geen verband kan worden gelegd met de categorieën van persoonsgegevens. Het is daarom niet duidelijk voor de betrokkene welke gegevens voor welke doeleinden worden verwerkt en op basis van welke rechtsgrond. Het argument dat eenieder wordt geacht de wet te kennen, kan niet worden aanvaard gezien de betrokkene niet zelf kan beoordelen wat de bewaringstermijn is voor specifieke gegevens/doeleinden. Hetzelfde geldt m.b.t. de schade : het al dan niet vaststaan van schade geldt niet als een wettige reden om af te zien van de vaststelling van een inbreuk.
Beoordeling door het Xxxxxxxxxx
00. Wat juist onder de notie 'transparantie' dient te worden verstaan, wordt niet nader gedefinieerd in de AVG. Overweging 39 van de AVG is informatief ten aanzien van de betekenis en de gevolgen van het transparantiebeginsel in het kader van gegevensverwerking. De vereiste dat de verstrekking van informatie aan en de communicatie met betrokkenen "in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm" moet geschieden betekent dat verwerkingsverantwoordelijken de informatie/communicatie op een efficiënte en bondige wijze moeten weergeven. Deze informatie moet duidelijk worden onderscheiden van andere, niet privacygerelateerde informatie, zoals contractbepalingen of algemene gebruiksvoorwaarden. In een onlinecontext zal het gebruik van een gelaagde privacyverklaring/mededeling een betrokkene de mogelijkheid bieden om direct naar het specifieke onderdeel van de privacyverklaring/mededeling dat ze willen lezen te navigeren, in plaats van door grote lappen tekst te moeten scrollen op zoek naar specifieke onderwerpen.
47. De Geschillenkamer stelt in randnr 78-79 (van deel 11.3.4} van de Bestreden Beslissing het volgende vast, inzake de informatie die in de privacyverklaring van Verzoekster wordt verstrekt betreffende de rechtsgrond(en), de doeleinden van de verwerking en de persoonsgegevens die verwerkt worden (eigen onderlijning):
"78. De Geschillenkamer wijst erop dat de klager werd geinformeerd over de litigieuze venverking via de door hem ondertekende overeenkomsten en via de privacyverklaring. De Geschillenkamer stelt hierbij echter vast dat niet alle essentiële informatie meegedeeld werd
79. Vooreerst stelt de Geschillenkamer in dit verband vast dat de privacyverklaring niet op voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond(en), de doeleinden van de verwerking en de persoonsgegevens die gebruikt werden, zoals vereist door artikel 13, lid 1 en 2 AVG. De Geschillenkamer stelt vast dat de privacyverklaring wel deze elementen vermeldt, maar dat de wiize waarop niet begriipe/iik en transparant is voor de betrokkenen. aangezien niet duideliik is voor de betrokkene welke gegevens voor welk doeleinde worden venverkt en op basis van ·welke rechtsgrond dit gebeurt. Idealiter voorziet de venverkingsverantwoordeftjke een oplijsting van de verschillende doeleinden waarvoor hij persoonsgegevens verwerkt, met telkens de aanduiding welke (categorieën van)
rPAGE 01-00□□363531□-□□28-0041-02-□1-;i
L _J
Xxx xxx xxxxxx Xxxxxxx - 0000/XX/000 - p. 29
persoonsgegevens hiervoor 'Worden verwerkt, via H'elke bron zij werden verkregen, voor hoelang zij worden bewaard en met welke (categorieën van) ontvangers ze (kunnen) worden gedeeld."
48. De GBA stelt volgens het Marktenhof terecht dat de geviseerde privacyverklaring op dit punt niet voldoet (stuk 9 van de GBA):10
In de privacyverklaring worden de categorieën van de persoonsgegevens die worden verwerkt (in artikel 6), de verwerkingsdoeleinden (in artikel 5) en de rechtsgronden voor de verwerking (in artikel 4) elk in aparte artikelen opgesomd, doch de onderlinge samenhang en/of finaliteit van deze gegevens wordt niet toegelicht, noch bevatten de artikelen heldere (kruîs}verwijzingen waaruit deze onderlinge samenhang en/of finaliteit kan worden afgeleid;
Het aantal categorieën van persoonsgegevens dat wordt verwerkt, is bovendien geenszins zodanig 'beperkt' dat het per categorie van verwerkte persoonsgegevens voor de betrokkene 'evident' zou zijn voor welke doeleinden deze gegevens worden verwerkt, noch worden de categorieën van persoonsgegevens in het betrokken artikel (artikel 6) duidelijk gelinkt aan de corresponderende doeleinden waarvoor ze worden verwerkt. Tevens worden verschillende opgegeven categorieën van persoonsgegevens verder uitgewerkt aan de hand van een niet limitatieve lijst van voorbeelden:
"Art 6.a Algemeen[...] Teneinde de in artikel 5 van deze privacyverklaring vernoemde doelstellingen te bereiken, zal de verwerking van uw persoonsgegevens het volgende omvatten:
Gegevens betreffende uw identiteit (naam, voornaam, adres, btw-nummer, ondernemingsnummer, enz.);
Gegevens betreffende uw persoonlijk statuut (telefoonnummer, persoonlijk e mailadres.,.);
Financiële gegevens {bankrekeningnummer, factureringsdetails, ...);
Gegevens betreffende de uitvoering van het contract over de dienstverlening (voorwerp van het contract, facturatieadres, professionele gegevens.. .);
- Gegevens betreffende het gebruik van elektronische uitrustingen, zoals computers (paswoord, log data, elektronische identificatiegegevens, factureringsdetails,...);
10 Privacyverklaring Y (stuk 13 GBA); Tevens in dezelfde zin: de privacyverklaring van de bedrijfsonderdelen '(“…”)' (stuk 11 GBA) en '(“…”)' (stuk 13 GBA) van Y.
rPAGE 01-□0003635310-0029-□□41-02-□1-;-i
L _J
Hof van beroep Xxxxxxx 0000/XX/000 - p. 30
- Gegevens betreffende telefoonopnames (interview voor het vragen om inlichtingen... );
van de
Gegevens betreffende het einde van het dienstverleningscontract {reden voor de breuk, einddatum van het contract, maandelijkse aflossingen, schadevergoedingen...);
Y kan ook van de klant 11pr·wpr,a;,n indien hij hiermee instemt, bijvoorbeeld op het internet. De klant kan zijn toestemming hierover op elk moment intrekken en dan wordt de foto verwijderd;
Op Facebook getuigenissen van onze klanten die tevreden zijn over onze diensten;
Referenties op de Y website en op sociale netwerken (internetsite, informatie over het bedrijf)."
Bij de opgave van de rechtsgrond op basis waarvan de persoonsgegevens worden verwerkt, wordt in de privacyverklaring louter op een algemene wijze verwezen naar 11art. 6 van de GDPR", zonder een heldere verwijzing naar relevante onderdelen van artikel 6 AVG :
"Art. 4 Wettelijke basis voor de verwerking van de gegevens
Y mag uw gegevens van persoonlijke aard enkel gebruiken voor doeleinden die gewettigd en noodzakelijk zijn (art. 6 van de GOPR):
Voor de uitvoering en de naleving van de overeenkomst die is gesloten tussen de professional en Y;
Met het oog op de goede werking van de onderneming;
Om te beantwoorden aan haar wettelijke verplichtingen zoals aan de onderneming zijn opgelegd in het kader van een commerciële relatie (onder andere in verband met kwesties zoals fiscale zaken, boekhouding, contractuele verantwoordelijkheid, enz.)"
En bij de weergave van de verwerkingsdoeleinden, tenslotte, worden de opgegeven hoofddoeleinden ingevuld aan de hand van een niet-limitatieve lijst van doeleinden, waarbij evenmin een verband wordt gelegd met de categorieën van persoonsgegevens die voor deze doeleinden worden verwerkt (eigen onderlijning):
"Art. 5 De doeleinden van de gegevensverwerking
r PAGE □1-□00□363531□-0030-0041-02-01-'7
L
Xxx xxx xxxxxx Xxxxxxx - 0000/XX/000 - p. 31
Y verwerkt uw gegevens van persoonlijke aard, al dan niet in elektronische vorm, voor gewettigde doeleinden in het kader van de contractuele relatie, de business en de veiligheid/beveiliging.
Deze doeleinden zijn meer bepaald, maar niet enkel maar, de volgende:
Verzoeken om informatie, offertes en prospectie: Het eerste doel van deze verzameling van gegevens is om ons in staat te stellen te voldoen aan uw verzoeken om informatie over onze producten en diensten (vraag naar een catalogus, prijsaanvraag, aanvraag van een bestek, vraag naar algemene informatie).
Communicatie met klanten in het kader van de uitvoering van het contract: Wij kunnen uw gegevens gebruiken om met u te communiceren en wij beschouwen deze communicatie als een wezenlijk onderdeel van onze dienstverlening. Wij zullen eventueel uw e-mailadres en uw postadres gebruiken om u op de hoogte te brengen van nieuwigheden, promotieaanbiedingen en gelegenheidsaanbiedingen van derden die u vermoedelijk kunnen interesseren. Als u liever niet deze aanbiedingen wil ontvangen, dan kunt u zich altijd uitschrijven door te klikken op de link "Uitschrijven" die onderaan de pagina van elke e-mail staat.
De verlening van diensten zoals:
• De realisatie van een bedrijfsvideo in twee formaten {90 sec - 30 sec);
11 De vertoning van bedrijfsvideo's van 90 sec op sites waar video's worden gedeeld (YouTube, Viméo, Dailymotion);
11 De vertoning van video's van 30 sec op ons beeldschermennetwerk (Totems);
• En de creatie van Facebook-campagnes met vertoning van de video van 30 sec;
• Creatie van websites op het internet
11 Creatie van showcasesites (etaiage websites)
• Creatie van e-commerce sites
11 Creatie van responsieve sites
111 Creatie van mobiele sites
r PAGE
11 Webdesign
□1-□□□03635310-□□31-□□41-□2-□1-�
Hof van beroep Brussel 2023/AR/817- p. 32
111 CMS
Il Digitale communicatie
.. Redactiewerk en copywriting
,. Fotoreportage
,. Bizbook - Telefoonboek
Il Campagne Adwords
Il Natuurlijke referencering
Il Newsletter
Il Batibouw +
Il Batibouw + premium
Il Opleidingen
• Office 365
Il Maintenance
Il Helpdesk
• Google Analytics"
De Geschillenkamer was dus gewettigd om in de Bestreden Beslissing (randnr.79} vast te stellen dat, uitgaande van privacyverklaring van Verzoekster, het "niet duidelijk is voor betrokkene welke gegevens voor welk doeleinde worden verwerkt en op basis van welke rechtsgrond dit gebeurt."
49. Verder is het allerminst correct - zoals Verzoekster voorhoudt - dat de informatieverplichting slechts een 'middelenverbintenis' zou inhouden, louter omdat artikel 12, lid 2 niet specifiek bepaalt op welke wijze de betrokken informatie moet worden verstrekt. Verzoekster verwart zodoende de wijze waarop de betrokken informatie moet worden meegedeeld, met inhoud van de informatie die moet worden meegedeeld. Deze inhoud wordt met name specifiek voorgeschreven in (onder meer) artikel 13, lid 1 en lid 2 AVG, waarin (o.a.) wordt bepaald dat "de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens [... ] de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking" moet meedelen (art. 13, lid 1, c). Het gaat dus om een concreet te vervullen verplichting, en niet louter om een inspanningsverbintenis.
- ten dat
Terzake beriep Verzoekster zich privacyverklaring om aan te tonen
aanzien van klager en de GBA - zich beweerdelijk gekweten
op haar rustende
1 PAGE □1-□□0□3635310-0032-□□41-□2-□
L
Hof van beroep Xxxxxxx 0000/XX/000 p. 33
transparantieverplichtingen. De Geschillenkamer vermocht derhalve in het kader van controle van deze privacyverklaring vast te stellen dat dit document meer) niet voldeed aan de voorwaarden van artikel 13, lid 1, c) AVG.
50. De Geschillenkamer verduidelijkt in randnummer 79 van de Bestreden Beslissing waarom volgens haar "de privacyverklaring niet op voldoende gedetailleerde melding maakt van de precieze rechtsgrond(en), de doeleinden van de verwerking en de persoonsgegevens die gebruikt werden", met name (zoals wordt verduidelijkt in de tweede zin van het randnummer) omdat "de wijze waarop [deze elementen worden vermeld] niet begrijpelijk en transparant is voor de betrokkenen, aangezien niet duidelijk is voor de betrokkene welke gegevens voor welk doeleinde worden verwerkt en op basis van welke rechtsgrond dit gebeurt."
De Geschillenkamer stelt vast in randnr. 80 (van deel 11.3.4) van de Bestreden Beslissing:
"80. Ten tweede stelt de Geschillenkamer vast dat de privacyverklaring niet duidelijk melding maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel de criteria ter bepaling hiervan, zoals vereist door artikel 13, lid 2 a) AVG. De privacyverklaring vermeldt hieromtrent het volgende: "Y] stelt alle noodzakelijke middelen in het werk om ervoor te zorgen dat de gegevens van persoonlijke aard worden bewaard voor de hierboven beschreven doeleinden en dat ze de wettelijke termijnen niet overschrijdt." Zoals ook uit de Richtsnoeren van de Groep Gegevensbescherming blijkt, volstaat een dergelijke formulering niet. De Groep Gegevensbescherming wijst er in dit verband op dat de (vermelding van de) bewaartermijn verband houdt met het beginsel van minimale gegevensverwerking vervat in artikel 5, lid 1, c) AVG alsook de vereiste van opslagbeperking van artikel 5, lid 1, e) AVG. Deze preciseert dat "de opslagperiode (of de criteria om die te bepalen) kan (kunnen) worden gedicteerd door factoren als wettelijke vereisten of sectorale richtsnoeren, maar altijd zodanig moeten worden geformuleerd dat de betrokkene, op basis van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor specifieke gegevens/doeleinden is".11"
51. De stelling van Xxxxxxxxxxx dat de Geschillenkamer in dit verband ten onrechte geen rekening heeft gehouden met het algemeen rechtsbeginsel dat 'iedereen geacht wordt de wet te kennen1 en dat een verwijzing naar de 'wettelijke termijnen' in de privacyverklaring in het licht van dat beginsel dus volstond om te voldoen aan artikel 13, lid 2, a) AVG, kan niet worden gevolgd.
In de privacyverklaring wordt immers geenszins aangegeven welke wettelijke (maximum)termijnen Verzoekster in casu van toepassing acht op de (diverse) categorieën van verwerkte persoonsgegevens, waardoor Verzoekster dus (minstens) op dat punt nalaat om de "criteria ter bepaling" van de bewaartermijnen te vermelden, hetgeen expliciet vereist wordt door artikel 13, lid 2, a) AVG. Bovendien zou ook een concrete vermelding van dergelijke wettelijke maximumtermijnen (voor zover die al bestaan) niet volstaan, aangezien los van deze maximumtermijnen -
11 [voetnoot 18] Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) vastgesteld op 29 november 2017, p 25.
PAGE
L
□1-00003635310-0033-□041-□ 2-□1-;i
WP260rev1
verwerkingsverantwoordelijke op grond van artikel 5, lid 1, c) en e) AVG de persoonsgegevens niet langer mag opslaan "dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is". Dit veronderstelt dus, per categorie van verwerkte persoonsgegevens, een concrete beoordeling die moet resulteren in de vermelding van een specifieke bewaartermijn, dan wel van "de criteria ter bepaling van die termijn" (zoals voorgeschreven door artikel 13, lid 2, a) AVG). Bij gebreke daaraan is er geen sprake zoals ook de Geschillenkamer opmerkt - van een situatie waarin de betrokkene, op basis van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor specifieke gegevens/doeleinden is.
52. De mate waarin een inbreuk al dan niet schade heeft toegebracht aan de betrokkene wiens rechten werden geschonden, geldt in het kader van de AVG niet als een wettige reden om af te zien van de vaststelling van die inbreuk. Of de inbreuk schade heeft veroorzaakt is enkel relevant in het kader van een (privaatrechtelijke) vordering tot schadevergoeding op grond van artikel 82 AVG en dus niet in onderhavig kader (publieke handhaving van de AVG).
53. Concluderend overweegt het Marktenhof dat de Geschillenkamer terecht kon overgaan tot het vaststellen van een inbreuk op de artikelen 5, tweede lid, artikel 12, eerste lid en artikel 13, eerste lid
c) en tweede lid, a) AVG.
De vierde grlef van Verzoekster is ongegrond.
VIJFDE en ZESDE GRIEF Y : Het ontbreken van een objectief en transparant kader voor de strafoplegging is in strijd met het beginsel nullum crimen sine lege dat is verankerd in artikel 49 van het Handvest van de grondrechten van de Europese Unie, artikel 7 van het Europees Verdrag voor de Rechten van de Mens {"EVRM") en artikel 12 van de Grondwet en Het ontbreken van een objectief en transparant kader voor de strafoplegging is in strijd met het beginsel nulla poena sine lege, dat is verankerd in artikel 49 van het Handvest van de grondrechten van de Europese Unie, artikel 7 EVRM en artikel 14 van de Grondwet.
Vierde verweermiddel, eerste en tweede onderdeel GBA.
Vijfde grief: Krachtens het beginsel Nullum crimen sine lege kan niemand worden vervolgd dan in de gevallen die de wet bepaalt en in de vorm die zij voorschrijft. Onderhavige administratieve sanctie is voldoende zwaar en kwalificeert derhalve als een strafrechtelijke sanctie in de zin van het EVRM.
De bepalingen van de WOG bevatten noch een precieze definitie van een strafbaarstelling, noch een verwijzing naar specifieke bepalingen waaraan een sanctie zou zijn verbonden, noch een verwijzing naar een of meer nauwkeurig omschreven wetten. Deze vage en algemene bepalingen kunnen bijgevolg niet voldoen aan de vereisten van nauwkeurigheid en duidelijkheid dat het legaliteitsbeginsel vereist bij de omschrijving van een strafbaar feit. Daar de Bestreden Beslissing is gebaseerd op bepalingen van de WOG xxxxxxx niet in overeenstemming zijn met het beginsel van legaliteit van de strafbaarstelling, is de beslissing strijdig met het beginsel nullum crimen sine lege en
IPAGE □1-0000363531□-□□34-□041-□2-□1-;i
L _J
onrechtmatig. Hierover moet, indien nodig een prejudiciële vraag worden gesteld aan het Grondwettelijk Hof.
Zesde grief : Krachtens het beginsel Nu/la poena sine lege kan geen straf worden ingevoerd of toegepast dan krachtens de wet. Daar de artikelen van de WOG, in het bijzonder artikel 100, niet in overeenstemming zijn met het legaliteitsbeginsel van straffen en het beginsel Nulla poena sine lege, moet worden geconcludeerd dat de Bestreden Beslissing is gebaseerd op gronden die niet toelaatbaar zijn in rechte. Waar de beslissing de sancties oplegt, is deze aldus onrechtmatig. Ook hierover dienen desgevallend prejudiciële vragen te worden voorgelegd aan het Grondwettelijk Hof.
Samenvatting verweermiddel GBA
Hoewel de geldboetes die de GBA kan opleggen krachtens artikel 83 AVG een strafrechtelijk karakter hebben, geldt dit niet voor de berisping en de verplichting om zich met de AVG in de regel te stellen. De eerste en tweede voorwaarde van het Engel arrest12 zijn niet vervuld. Wat betreft de tweede voorwaarde, is aan de tweede subvoorwaarde niet voldaan. Het betreffen duidelijk herstelmaatregelen. Wat betreft de derde voorwaarde, zijn beide maatregelen naar hun aard en ernst onmogelijk strafrechtelijk te noemen.
Voorts heeft het beginsel nulfum crimen sine lege i.h.k.v. een procedure voor de Geschillenkamer niet noodzakelijkerwijs dezelfde strekking als in een situatie waarop het strafrecht in strikte zin van toepassing is. De verplichting om inzage te verlenen is hoe dan ook duidelijk en nauwkeurig omschreven in artikel 15 AVG.
Beoordeling door het Xxxxxxxxxx
00. Zoals het Marktenhof reeds eerder oordeelde,13 kunnen de administratieve geldboeten zoals opgelegd door de Geschillenkamer krachtens artikel 83 AVG en artikel 100, §1, 13° WOG, een sanctie uitmaken met een strafrechtelijk karakter in de zin van de Engel-rechtspraak van het EHRM en de daarin aangeduide niet-cumulatieve criteria,14 zoals overgenomen door het Hof van Justitie.
12 EHRM, Xxxxx e.a. t. Nederland, 8 juni 1976, §§ 801'1l82.
13 Zie bij voorbeeld Xxxxxxx, Xxxxxxxxxx, 00 oktober 2020, 2020/AR/721, 16 ; Xxxxxxx, Xxxxxxxxxx, 00 oktober
2020, 2020/AR/582, 19, Brussel, Xxxxxxxxxx, 0 september 2022, 2022/AR/292, 26-27 en vergelijk in die zin ook D. DE BOT, "Publieke handhaving. Administratieve en strafrechtelijke sancties. Administratieve geldboetes", in D. DE BOT, De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context, Commentaar op de AVG, de Gegevensbeschermingswet en de Wet Gegevensbeschermingsautoriteit, Mechelen, Wolters KIuwer, 2020, 1201-1202. Het Marktenhof oordeelde tevens in diezelfde zin voor wat betreft de administratieve geldboeten zoals opgelegd door het BIPT, zie bij
voorbeeld Xxxxxxx, Xxxxxxxxxx, 00 mei 2023, 2022/AR/1410, 29.
14 EHRM 8 juni 1976, Engel, 8 juni 1976.
1 PAGE 01-00003635310-□□35-0041-02-□1-4
L _J
Xxx xxx xxxxxx Xxxxxxx - 0000/XX/000 - p. 36
55. Wat de berisping betreft, overweegt het Marktenhof daarentegen dat deze niet als zijnde een sanctie met een strafrechtelijk karakter kan kwalificeren. De berisping wordt ten eerste volgens het nationaal recht niet aangemerkt als zijnde strafrechtelijk. Vervolgens kan de berisping dan wel gericht zijn tot het algemeen publiek, maar heeft het ontegensprekelijk geen bestraffend karakter. Uit de aard van de sanctie van de berisping zelf, blijkt dat zij er met name op gericht is om de inbreukmakende verwerkingsverantwoordelijke (opnieuw) in overeenstemming te doen brengen met de AVG. De berisping betreft in die zin een herstelmaatregel. Tot slot kan geenszins worden verdedigd dat door middel van het opleggen van een berisping, de verwerkingsverantwoordelijke een aan een zware sanctie zou worden onderworpen.
Gelet op het voorgaande, betrekt het Marktenhof in de verdere beoordeling van het middel alleen de administratieve geldboete.
56. De GBA stelt terecht dat de verplichting om inzage te verlenen duidelijk en nauwkeurig omschreven is in artikel 15 AVG, die een Verordening is die niet verder dient te worden verduidelijkt in het Belgisch recht. Het kan moeilijk worden volgehouden dat Verzoekster op basis van artikel 15, lid 3, AVG onmogelijk kon weten welke precieze verplichting er op haar rustte met betrekking tot het verlenen van inzage. Zij is absoluut niet verplicht om de inhoud van de telefoongesprekken bij te houden, maar voor zover zij dat wél deed, beschikte zij over persoonsgegevens waarin de betrokken desgevraagd inzage moet worden gegeven.
Waar Verzoekster beweert dat het plafond voorzien in artikel 83 AVG voor de administratieve geldboeten, zo hoog is dat het scala aan mogelijke sancties veel te breed is en het voor de rechtsonderhorigen onmogelijk is om te voorspellen welke boete daadwerkelijk van toepassing zal zijn, kan zij niet worden gevolgd. Ook is het feit dat er geen uitdrukkelijke benedengrens werd voorzien op zich niet laakbaar en betekent dit enkel dat die zich situeert op 1 EUR.
57. Het opleggen van een administratieve geldboete vereist telkenmale een beoordeling in concreto door de Geschillenkamer, dewelke naderhand nog aan de controle van het Marktenhof kan worden voorgelegd. Het voorgaande doet geen afbreuk aan de voorspelbaarheid van de sanctie.
Zoals de Bestreden Beslissing aanhaalt (randnr. 108) heeft het Marktenhof eerder reeds erkend dat de Geschillenkamer bij het bepalen van de hoogte van de boete een appreciatiemarge heeft, maar daarbij begrensd wordt door de dwingende eisen van internationale verdragen en het interne recht met inbegrip van de algemene rechtsbeginselen gekoppeld aan de verplichting om de criteria opgesomd in artikel 83, lid 2, AVG in acht te nemen:
"Dit betekent in de praktijk dat de GBA niet alleen kan beslissen om aan de overtreder geen boete op te leggen maar ook dat, als zij beslist een boete op te leggen, deze zich situeert tussen het minimum, gaande van 1 EUR, en het voorzien maximum. Welke geldboete wordt
IPAGE 01-□000363531□-□□36-0041-02-□1-�
L _J
beroep Xxxxxxx 0000/XX/000 p. 37
Hof van
opgelegd, wordt beslist door de GBA met inachtneming van de criteria die worden opgesomd door artikel 83, lid 2 AVG" .15
Welnu, gelet op de in artikel 83 AVG geformuleerde criteria en boetemaxima, kon Verzoekster niet in het ongewisse verkeren over het risico op aanzienlijke geldboetes bij het overtreden van de AVG.
58. Er is de laatste jaren in de ondernemingswereld bijzonder veel publiciteit gegeven aan het gegevensbeschermingsrecht en de verwerking van klantengegevens, precies omdat de AVG de afdwinging ervan heeft versterkt ten opzichte van de oude Gegevensbeschermingsrichtlijn. Een normaal voorzichtige onderneming, zeker een onderneming die professioneel actief is in het bouwen van websites die de gegevens van klanten verwerken (dat is het bedrijfsmodel van Verzoekster die geen KMO is), had hiervan op de hoogte moeten zijn.
59. Noch het beginsel nullum crimen sine lege, noch het beginsel nu/la poena sine lege zijn in onderhavig geval geschonden.
De Vijfde en zesde grief van Xxxxxxxxxxx zijn ongegrond.
ZEVENDE en ACHTSTE GRIEF Y : De bestreden beslissing is niet in overeenstemming met het beginsel van evenredigheid en individualisering van de straf, bij de keuze van de sanctie en, in het oneindig verre subsidiair, bij de keuze van het bedrag van de geldboete en Het niet geven van adequate en voldoende formele en materiële motivatie voor de beslissing.
Vierde verweermiddel, derde en vierde onderdeel GBA.
Samenvatting grief Y
Zevende grief: Het evenredigheidsbeginsel en subsidiariteitsbeginsel zijn van toepassing op de GBA als administratieve autoriteit. Het Marktenhof oordeelde reeds in 2021 dat een bedrag van 15.000 EUR bijzonder hoog is in het geval van een kmo en dat om die reden de boete toen ook onevenredig was . Bovendien heeft de Geschillenkamer geen rekening gehouden met talrijke verzachtende omstandigheden. De Geschillenkamer heeft met hierdoor het evenredigheidsbeginsel niet in acht genomen bij de keuze van de toegepaste sanctie en, oneindig subsidiair, bij het bedrag van de opgelegde geldboete. Bijgevolg heeft de Geschillenkamer een kennelijke beoordelingsfoutgemaakt.
Achtste grief : De Geschillenkamer gaat niet verder dan de vaststelling dat de betrokken inbreuk ernstig van aard is en legt niet concreet uit hoe de vastgestelde inbreuk ernstig is en hoe de xxxxx ervan het opleggen van een geldboete enerzijds en het opleggen van een geldboete van 40.000 EUR anderzijds specifiek rechtvaardigt. De Geschillenkamer legt ook niet uit waarom een berisping het doel van doeltreffendheid, evenredigheid en afschrikking niet zou bereiken en welke exacte redeneringen zij achter de beslissing plaatst (bv. m.b.t. criteria art. 83 AVG). De Bestreden Beslissing
15 Brussel, Xxxxxxxxxx, 0 juli 2021, 2021/AR/320, 42.
r PAGE □1-0□□□3635310-0037-0041-□2-□1-4
L
beroep Brussel - 2023/AR/817 p. 38
Hof van
is enerzijds te algemeen geformuleerd waardoor Verzoekster niet in staat is de motivering van de beslissing naar behoren te begrijpen en is anderzijds niet gemotiveerd op toereikende gronden. De beslissing schendt derhalve zowel de formele als de materiële motiveringsplicht.
Samenvatting verweermiddel GBA
Het strafrechtelijk wettigheidsbeginsel vereist niet dat de betrokkene op voorhand exact weet welke geldboete hij zal moeten betalen wanneer deze een verplichting van de AVG miskent. Het Marktenhof sprak zich hierover reeds uit.
Verder motiveert de Bestreden Beslissing de geldboete en de hoogte ervan bijzonder uitvoerig. Zo overloopt de beslissing o.a. de ernst van de inbreuk, de eerdere inbreuken en de verzwarende en/ of verzachtende omstandigheden. Anders dan wat Verzoekster argumenteert, is het niet verenigbaar met de AVG om als uitgangspunt te nemen dat geen geldboete mag worden opgelegd bij een eerste inbreuk. Bovendien verminderde de Geschillenkamer de boete van 70.000 EUR naar 40.000 EUR.
De Bestreden Beslissing motiveert ook uitgebreid de hoogte van de geldboete, daarbij rekening houdende met de criteria van artikel 83.2 AVG. De beslissing houdt rekening met de financiële draagkracht van Verzoekster, met het feit dat de inbreuk niet opzettelijk is gepleegd, enzovoort. De redenering van Xxxxxxxxxxx dat als achteraf blijkt dat een verwerking rechtmatig was het recht op inzage plots niet meer hoeft te worden nageleefd, is al te gek. Het recht op inzage is immers noodzakelijk om ook andere rechten te kunnen uitoefenen. In elk geval is de verwijzing naar sancties die in een andere zaak werden opgelegd irrelevant gezien België geen bindende precedentwaarde kent.
Beoordeling door het Xxxxxxxxxx
00. Conform de vereisten van de AVG, moeten de administratieve geldboeten doeltreffend, evenredig en afschrikkend zijn. 16 Zoals veelvuldig aangehaald door Verzoekster, voorziet de AVG inderdaad geen specifieke bedragen of een vork, maar slechts een bovengrens (plafond}. Het is om die reden dat artikel 83, tweede lid AVG voorziet dat de beslissing om een administratieve geldboete op te leggen, en wanneer men daarvan de hoogte bepaalt, een aantal criteria in acht moet nemen. In totaal somt artikel 83, tweede lid AVG tien van zo'n criteria op, aangevuld met een open bepaling. Deze criteria kunnen een rol vervullen als een verzachtende, dan wel een verzwarende omstandigheid.17
61. Zoals reeds meermaals geoordeeld, overweegt het Marktenhof dat de Geschillenkamer een ruime beoordelingsmarge heeft bij het bepalen van de sanctie op inbreuken op het gegevensbeschermingsrecht die zij vaststelt, waarbij zij de grenzen van het evenredigheids- en het redelijkheidsbeginsel dient te respecteren. Het is daarbij aan het Marktenhof om naderhand,
16 Artikel 83, eerste lid AVG.
17 Zoals het Marktenhof eerder oordeelde in Brussel, Xxxxxxxxxx, 0 september 2022, 2022/AR/292.
rPAGE 01-00003635310-0038-0041-□2-01-4
L _J
Xxx xxx xxxxxx Xxxxxxx - 0000/XX/000 p. 39 --�---------------
gebruikmakend van diens volle rechtsmacht, een evenredigheidstoetsing van de sanctie door te voeren en desgevallend de geldboete te verlagen of ongedaan te maken bij ernstige en bewezen omstandigheden waarmee de Geschillenkamer geen of onvoldoende rekening zou hebben gehouden.18
62. Het volstaat dat de GBA aan haar formele en materiële motiveringsplicht voldoet door haar beslissing uitdrukkelijk te steunen op afdoende juridische en feitelijke motieven en dat het Marktenhof op basis van deze motieven de sanctie aan het evenredigheids- en het redelijkheidsbeginsel kan toetsen. Indien de wetgever zoals in onderhavig geval aan de GBA een grote beoordelingsbevoegdheid laat, is haar motiveringsverplichting omvangrijker.
Het Marktenhof controleert dus de motivering van de Geschillenkamer (zie supra), dewelke noodzakelijkerwijze moet steunen op de concrete omstandigheden voortvloeiend uit het dossier dat voorligt en niet op beslissingen die de Geschillenkamer (of het Marktenhof) eerder heeft genomen in andere zaken.
63. De Geschillenkamer heeft in de Bestreden Beslissing afdoende motieven gegeven voor waarom zij Verzoekster een administratieve geldboete oplegt van 40.000 EUR. Bovendien heeft zij Verzoekster de mogelijkheid gegeven om uitvoerig te reageren, hetgeen Xxxxxxxxxxx ook deed, 19 op haar voornemen om de geldboete op te leggen en heeft zij op basis van de concrete argumenten van Verzoekster de geldboete verlaagd van initieel 70.000 EUR tot thans 40.000 EUR.
De Geschillenkamer motiveert het opleggen van de administratieve geldboete in randnummers 99 tot en met 110 van de Bestreden Beslissing. In tegenstelling tot wat Verzoekster aanhaalt, neemt de Bestreden Beslissing de door Verzoekster opgeworpen verzachtende omstandigheden in overweging
{Bestreden Beslissing randnrs. 105-110). Voornoemde randnummers behandelen deze omstandigheden uitdrukkelijk.
64. Het opleggen van geldboetes verhoogt ontegensprekelijk de draagkracht en impact van een beslissing van de Geschillenkamer ten opzichte van een eenvoudige berisping of waarschuwing. Het komt toe aan de Geschillenkamer zelf om daarin een keuze te maken en die beslissing afdoende te motiveren, hetgeen in casu het geval is.
65. Wat betreft het boetebedrag op zich, kan de Geschillenkamer niet verplicht worden om het boetebedrag dat zij oplegt in een bepaald dossier te verantwoorden ten opzichte van boetebedragen
18 Zie bij voorbeeld Xxxxxxx, Xxxxxxxxxx, 00 januari 2021, 2020/AR/1333, 19-24; Brussel, Xxxxxxxxxx, 00 mei 2021, 2021/AR/163, 31-34; Brussel, Xxxxxxxxxx, 0 juli 2021, 2021/AR/320, 42; Brussel, Xxxxxxxxxx, 0000/XX/000, 36-39 ; Xxxxxxx, Xxxxxxxxxx, 0 september 2022, 2022/AR/292, 26-27 en Brussel,
Xxxxxxxxxx,
00 februari 2023, 2022/AR/889, 19-22.
19 Stuk 46 GBA.
rPAGE 01-00□□363531□-0039-0041-□2-□1-iT"l
L
Xxx xxx xxxxxx Xxxxxxx - 0000/XX/000 p. 40
die zij in andere dossiers heeft opgelegd. Elk dossier vereist immers een beoordeling in concreto, waarbij alle relevante elementen van de voorliggende zaak in aanmerking dienen te worden genomen. Het Marktenhof merkt wat dit betreft opnieuw op dat Verzoekster als groot {in de zin van geen KMO en met een omzet van 24 miljoen EUR) gespecialiseerd IT bedrijf dagdagelijks grote hoeveelheden aan persoonsgegevens verwerkt en dus niet onwetend kan zijn omtrent één of ander aspect (rechten, verplichtingen en risico's) van gegevensbescherming.
66. Het Marktenhof is van oordeel dat de administratieve geldboete niet onevenredig is, geïndividualiseerd is en afdoende werd gemotiveerd.
De zevende en achtste grief van Xxxxxxxxxxx zijn tevens ongegrond.
Het hof beslist bij arrest op tegenspraak.
De rechtspleging verliep in overeenstemming met de wet van 15 juni 1935 op het gebruik van de taal in gerechtszaken.
Verklaart het verhaal van Xxxxxxxxxxx ontvankelijk, doch ongegrond,
Veroordeelt Verzoekster tot de gerechtskosten verbonden aan het verhaal, met inbegrip van de rechtsplegingsvergoeding van 1.800 EUR, in hoofde van de GBA
Veroordeelt Verzoekster overeenkomstig artikel 2692 van het Wetboek der registratie-, hypotheek-, en griffierechten tot betaling aan de Belgische Staat, de FOD FINANCIEN, van het rolrecht hoger beroep ten bedrage van 400,00 EUR,
Veroordeelt Verzoekster tot het definitief ten laste nemen van de bijdrage Budgettair Fonds ten bedrage van 22,00 EUR,
rPAGE 01-00003635310-0□ 40-0041- □ 2- □1-i:-i