ECLI:BE:GBAPD:2026:DEC.20260423.1

JUPORTAL Openbare databank voor Belgische rechtspraak

Print deze pagina
 

Afdrukformaat

S
M
L
XL

 

Nieuwe JUPORTAL-zoekopdracht
 

Sluit Tab

 
Gegevensbeschermingsautoriteit

Rechterlijke beslissing van 23 april 2026

ECLI nr:

ECLI:BE:GBAPD:2026:DEC.20260423.1

Rolnummer:

86/2026

Rechtsgebied:

Burgerlijk recht

Invoerdatum:

2026-04-28

Raadplegingen:

79 – laatst gezien 2026-05-18 12:46

Fiche

Beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging,
om: – Op grond van artikel 58.2.f) AVG en artikel 100, §1, 8° WOG de
verweerder omwille van de inbreuken op artikel 5.1.a) juncto 6.1 AVG,
te bevelen dat de verwerking van het e-mailadres en de bijhorende mailbox
van de klager wordt stopgezet; – Op grond van artikel 58.2.c) AVG en artikel
100, §1, 6° WOG de verweerder omwille van de inbreuken op artikel 5.1.a)
juncto 6.1 AVG, artikel 12, lid 2 en 3 AVG en artikel 17.1 AVG, te bevelen
het e-mailadres van de klager en de inhoud van de bijhorende mailbox definitief
te verwijderen; De Geschillenkamer gelast dat de verwezenlijking van deze
corrigerende maatregelen moet worden aangetoond binnen een termijn van
30 dagen na kennisgeving van de onderhavige beslissing. Zij beveelt het
bewijs hiervan binnen voornoemde termijn per e-mail over te maken aan
de Geschillenkamer via [email protected]. – Op grond van artikel
58.2.b) AVG en artikel 100, §1, 5° WOG ten aanzien van de verweerder
een berisping te formuleren omwille van de inbreuken op artikel 5.2, 24.1
en 25.1 AVG; – Op grond van artikel 58.2.i) AVG en artikel 100, §1, 13°
WOG, samen gelezen met artikel 101 WOG, de verweerder omwille van de inbreuken
op artikel 5.1.a) juncto 6.1 AVG, een administratieve boete van 8500 EUR
op te leggen.

UTU-thesaurus:

BURGERLIJK RECHT – PERSOONLIJKE LEVENSSFEER – Verwerking persoonsgegevens – Gegevensbeschermingsautoriteit (Commissie Bescherming Persoonlijke Levenssfeer)

Vrije woorden:

Klacht met betrekking tot de verwerking van het professionele e-mai (ladres
en de bijhorende mailbox van de klager na beëindiging van de arbeidsrelatie
(DOS-2023-00535).

Wettelijke bepalingen:

Wet – 03-12-2017 – 100,§1,5° – 11
ELI link Pub nr 2017031916
Wet – 03-12-2017 – 100,§1,6° – 11
ELI link Pub nr 2017031916
Wet – 03-12-2017 – 100,§1,8° – 11
ELI link Pub nr 2017031916
Wet – 03-12-2017 – 100,§1,13° – 11
ELI link Pub nr 2017031916

Tekst van de beslissing

Geschillenkamer
Beslissing ten gronde 86/2026 van 23 april 2026
Dossiernummer : DOS-2023-00535
Betreft : Klacht met betrekking tot de verwerking van het professionele e-mailadres en de bijhorende mailbox van de klager na beëindiging van de arbeidsrelatie
De Geschillenkamer van de Gegevensbeschermingsautoriteit,
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG1;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”;
De verweerder: Y.NV, met maatschappelijke zetel te […] met ondernemingsnummer[…,] vertegenwoordigd door mr. Kris Maes, hierna “de verweerder”.
I. Feiten en procedure
1. Op 24 januari 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder.
2. Het voorwerp van de klacht betreft de verwerking door de verweerder van het professionele e-mailadres en de bijhorende mailbox van de klager na beëindiging van de arbeidsrelatie, evenals het uitblijven van een reactie op het verzoek tot gegevenswissing van de klager.
3. Op 21 februari 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG overgemaakt aan de Geschillenkamer.
4. Op 10 maart 2023 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde.
5. Op 10 maart 2023 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG.
Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
De partijen werden gevraagd hun verweermiddelen aangaande de volgende vermeende inbreuken te formuleren:
• Vermeende schending van artikel 5.1.a), artikel 6.1 en artikel 13.1.c) AVG voor wat betreft de rechtmatigheid van de verwerking, namelijk het actief houden van de mailbox na beëindiging van de arbeidsrelatie;
• Vermeende schending van artikel 5.1.b), c) en e) AVG voor wat betreft de naleving van de beginselen van doelbinding, dataminimalisatie en opslagbeperking bij de verwerking van persoonsgegevens;
• Vermeende schending van artikel 12, lid 2 en lid 3 AVG juncto artikel 17 AVG voor wat betreft het nalaten een passend gevolg te geven aan het verzoek tot gegevenswissing van de klager dd. 20 januari 2023;
• Vermeende schending van artikel 5.2, 24.1 en 25.1 AVG voor wat betreft de verantwoordingsplicht en het treffen van passende technische en organisatorische maatregelen.
6. Op 21 april 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. De Geschillenkamer ontvangt geen conclusie van repliek van de klager. Op 2 juni 2023 ontvangt de Geschillenkamer de syntheseconclusie van de verweerder, waarin zij haar argumenten uit haar conclusie van antwoord grotendeels herneemt.
II. Motivering
II.1. Inhoud van de klacht – standpunt van de klager
7. In zijn klacht dd. 24 januari 2023 verklaart de klager dat hij bij de verweerder tewerkgesteld was, maar dat hij sinds juni 2021 zijn werkzaamheden heeft neergelegd.
8. De klager stelt dat op het moment van de indiening van zijn klacht het professionele e-mailadres dewelke hij gebruikte gedurende zijn tewerkstelling nog steeds actief is. Op dit e-mailadres worden volgens de klager nog steeds e-mails ontvangen die aan hem persoonlijk zijn gericht, zonder dat er een automatische melding wordt verstuurd waaruit blijkt dat hij niet langer werkzaam is bij de verweerder. De klager voegt ter staving bewijsstukken toe.
9. De klager voert daarnaast aan dat hij op 20 januari 2023 zijn recht op gegevenswissing ten aanzien van de verweerder heeft proberen uitoefenen, maar dat zijn verzoek onbeantwoord is gebleven. Op 20 februari 2023, i.e. één maand na de indiening van zijn verzoek, informeert de klager de Eerstelijnsdienst van de Gegevensbeschermingsautoriteit dat hij nog steeds geen antwoord ontving van de verweerder op zijn verzoek om gegevenswissing.
II.2. Rechtmatigheid van de verwerking (artikel 5.1.a) juncto artikel 6.1 AVG)
II.2.1. Standpunt van de verweerder
10. Aangaande de rechtsgrond licht de verweerder toe dat zij als gecertificeerd accountancykantoor gebonden is door zowel resultaatsverbintenissen, zoals het tijdig indienen van fiscale aangiften, als door inspanningsverbintenissen, zoals het verlenen van boekhoudkundig advies aan cliënten. In het licht van deze verbintenissen en de mogelijke controle op de rechtmatige uitvoering ervan, dient zij rekening te houden met de toepasselijke wettelijke verjaringstermijnen en fiscale controletermijnen. De verweerder wijst erop dat een gewone fiscale controletermijn doorgaans 3 jaar bedraagt. Ingeval van een vermoeden van fraude loopt deze termijn zelfs op tot 10 jaar. Het is volgens de verweerder derhalve noodzakelijk dat zij, aan de hand van ontvangen communicatie en bijhorende financiële en fiscale stukken, kan aantonen dat zij zich naar behoren heeft gekweten van de op haar rustende verbintenissen, en dat zij als gevolmachtigde o.m. een correcte boekhouding heeft gevoerd overeenkomstig de geldende wettelijke voorschriften en dat zij niet betrokken is bij fraude. Het is om deze reden dat de verweerder van oordeel is dat zij een gerechtvaardigd belang heeft om de mailbox van de klager niet onmiddellijk af te sluiten na de datum van de beëindiging van de arbeidsovereenkomst. Zij dient immers nog gebeurlijk toegang te hebben tot de bijlagen bij ingekomen e-mails in het e-mailaccount van de klager.
11. Gelet op bovenstaande heeft de verweerder in haar arbeidsreglement een afzonderlijke bijlage toegevoegd die een privacybeleid voor werknemers bevat.2 Verwerkingen inzake “e-mailing” worden volgens dit beleid gebaseerd op de rechtsgrond van het gerechtvaardigd belang. Wat de bewaartermijn betreft, wordt het volgende bepaald: “Vanaf het einde van de arbeidsovereenkomst loopt een termijn gelijk aan de wettelijke bewaartermijn of de verjaringstermijn die relevant is voor eventuele rechtsvorderingen: max. 3 jaar na einde overeenkomst”.
12. Daarnaast voorziet bijlage 6 van de arbeidsovereenkomst in informatie omtrent de controle die de verweerder kan uitvoeren op de elektronische online communicatie van haar werknemers. Daarin staat opgenomen dat een directe individualisering van controle is toegestaan met het oog op ”de bescherming van de economische, handels- en financiële belangen van de onderneming die vertrouwelijk zijn alsook het tegengaan van praktijken die ermee in strijd zijn”.3 In dit verband stelt de verweerder dat de klager tijdens zijn tewerkstelling meermaals in gebreke is gebleven om de hem toebedeelde taken correct uit te voeren, hetgeen geleid heeft tot een overtal aan problemen en klachten van cliënten. De verweerder zag zich derhalve genoodzaakt om de dossiers van de klager te reviseren en waar nodig te regulariseren, bijvoorbeeld door nazicht van informatie dewelke hij rechtstreeks van cliënten in zijn mailbox had ontvangen. Bijgevolg zag de verweerder zich genoodzaakt om het e-mailaccount van de klager te bewaren. Op het moment van de klacht was de bovenvermelde maximale bewaartermijn van de mailbox (i.e. 3 jaar na beëindiging van de arbeidsovereenkomst) nog niet verlopen.
13. Tevens voert de verweerder aan dat de klager zich met het arbeidsregelement en haar bijlagen akkoord heeft verklaard, waardoor de klager niet ernstig kan voorhouden dat er overeenkomstig artikel 6 AVG geen toestemming van hem zou zijn verkregen met het nog tijdelijk behoud van zijn e-mailadres na beëindiging van de arbeidsovereenkomst.
14. Tot slot voert de verweerder aan dat zij op geen enkel ogenblik persoonsgegevens van de klager aan derden heeft doorgezonden. Zij heeft enkel te goeder trouw, en om te voorkomen dat de klager naderhand zou worden geconfronteerd met nadelige gevolgen, de klager in kennis gesteld van enkele ingekomen e-mails van derden. Om die reden stelt de verweerder het in vraag in welke mate zij nog persoonsgegevens van de klager zou hebben verwerkt na de beëindiging van de arbeidsrelatie.4
II.2.2. Oordeel van de Geschillenkamer
a. Algemeen – de verwerking van persoonsgegevens in het kader van professionele mailboxen
15. Vooreerst acht de Geschillenkamer het nuttig toe te lichten waarom het bewaren en raadplegen van een professionele mailbox een verwerking van persoonsgegevens is in de zin van de AVG.
16. Nieuwe medewerkers ontvangen bij de aanvang van hun tewerkstelling doorgaans een professioneel e-mailadres binnen het domein van de organisatie waar zij tewerkgesteld worden. Het doel van dit e-mailadres is de medewerker in staat te stellen te communiceren met interne en externe contacten. Door het gebruik van de naam en voornaam in dergelijk e-mailadres wordt het voor de contacten duidelijk met wie zij communiceren. De domeinnaam, die in veel gevallen overeenkomt met de naam van de organisatie, maakt het duidelijk dat de communicatie plaatsvindt in het kader van de professionele activiteiten van die organisatie. De organisatie treedt in de regel op als verwerkingsverantwoordelijke 5, aangezien zij zowel de keuze van de mailprovider als de samenstelling van het e-mailadres bepaalt. Daarnaast stelt zij het doel van de verwerking vast, namelijk het mogelijk maken van communicatie van de medewerker met interne en externe contacten in naam van de organisatie.
17. Gezien een gepersonaliseerd professioneel e-mailadres de voor- en achternaam van de medewerker bevat, maakt dit een directe identificatie van de betrokkene mogelijk. Bijgevolg is niet alleen het e-mailadres zelf, maar zijn ook alle gegevens die er rechtstreeks aan gelinkt zijn (i.e. de inhoud van de mailbox) persoonsgegevens in de zin van artikel 4.1) AVG. In de mailbox gekoppeld aan het professionele e-mailadres van een medewerker worden inderdaad tal van werkgerelateerde persoonsgegevens verzameld en opgeslagen. Zo kan de mailbox bijvoorbeeld informatie bevatten over wanneer de medewerker verlof aanvraagt of zich ziek meldt, welke opleidingen de medewerker heeft gevolgd of wil volgen, de visie van de medewerker op een bepaalde werkgerelateerde problematiek, eventuele communicatie met de vakbond, informatie over afspraken met de vertrouwenspersoon op de werkvloer, enzovoort.
18. Daarnaast heeft het Europees Hof voor de Rechten van de Mens (hierna, ‘EHRM’) in de Bărbulescu-zaak geoordeeld dat “communicatie vanuit zowel bedrijfsruimten als vanuit de woning kan onder de begrippen ‘privéleven’ en ‘correspondentie’ vallen in de zin van artikel 8 van het Verdrag”6 en dat “instructies van een werkgever kunnen het privé sociaal leven op de werkvloer niet tot nul herleiden. Het recht op eerbiediging van het privéleven en van de vertrouwelijkheid van correspondentie blijft bestaan […]”7. Dit bevestigt dat een werknemer ook op de werkvloer het recht behoudt op een privéleven en op het aangaan van sociale contacten binnen de privésfeer. Het gevolg is dat een mailbox gelinkt aan een gepersonaliseerd e-mailadres niet alleen werkgerelateerde persoonsgegevens bevat, maar ook persoonsgegevens van privé-aard kan omvatten, zoals bijvoorbeeld persoonlijke communicatie met collega’s, dringende berichten van een partner of familieleden, maar ook persoonlijke communicatie of afspraken met derden, zoals met een autogarage, een bankinstelling of nutsbedrijven.
19. Het staat derhalve buiten kijf dat het e-mailadres van een werknemer en de informatie in de daaraan gekoppelde mailbox persoonsgegevens vormen in de zin van artikel 4.1) van de AVG, aangezien deze gegevens werkgerelateerde en persoonlijke informatie omvatten over een geïdentificeerde natuurlijke persoon. Het staat daarnaast evenzeer vast dat het verzamelen van persoonsgegevens in een mailbox, en het naderhand bewaren en raadplegen van die mailbox een “verwerking” van persoonsgegevens is die een rechtsgrondslag behoeft.8
b. Algemeen – de rechtsgrond voor de verwerking van persoonsgegevens in het kader van professionele mailboxen
20. Artikel 6 van de AVG schrijft voor dat alle verwerkingen moeten berusten op een rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke niet mag beginnen of doorgaan met een gegevensverwerking zonder zich te beroepen op één van de rechtmatigheidscriteria opgesomd in artikel 6.1 AVG9, dat de concretisering vormt van het rechtmatigheidsbeginsel als bedoeld in artikel 5.1.a) AVG.
21. De Geschillenkamer beschouwt het gebruik van een gepersonaliseerd professioneel e-mailadres, alsmede de verwerking van de daaraan gekoppelde persoonsgegevens, als een wezenlijk onderdeel van de professionele activiteiten van de werknemer. Deze verwerking wordt derhalve gedurende de duur van de tewerkstelling noodzakelijk geacht voor de uitvoering van de arbeidsovereenkomst, in overeenstemming met artikel 6.1.b) AVG. Bij beëindiging van de arbeidsovereenkomst vervalt evenwel de rechtsgrondslag voor de verdere verwerking van persoonsgegevens in de mailbox van de werknemer. Het is om die reden dat de Geschillenkamer reeds in eerdere beslissingen10 heeft geoordeeld dat een werkgever in principe het e-mailadres en de mailbox van een werknemer dient af te sluiten op het ogenblik van zijn uitdiensttreding. Het is tevens om die reden dat het Comité van Ministers van de Raad van Europa reeds in 2015 heeft aanbevolen dat de onderneming bij vertrek van een werknemer de nodige technische en organisatorische maatregelen moet nemen om de mailbox van de werknemer automatisch te deactiveren en dat eventuele bedrijfsnoodzakelijke informatie uit de mailbox moet worden gehaald vóór het vertrek van de werknemer en, wanneer mogelijk, in zijn aanwezigheid.11
22. De Geschillenkamer heeft reeds in het verleden aanvaard 12 dat de onderneming de persoonsgegevens in de mailbox van de betrokken medewerker nog beperkt kan verder verwerken op basis van gerechtvaardigd belang, conform artikel 6.1.f) AVG. Dit belang bestaat erin de correspondenten van de vertrokken medewerker te kunnen informeren dat deze niet meer werkzaam is voor de onderneming, hetgeen kan gebeuren door het instellen van een automatisch antwoordbericht op het betrokken e-mailadres. Dit automatisch bericht is tevens bedoeld om de contactgegevens te vermelden van de persoon die in plaats van de betrokkene kan worden gecontacteerd. Het belang geldt tevens voor de vertrokken werknemer zelf, aangezien zijn persoonlijke contacten eveneens van dit vertrek op de hoogte worden gebracht en dus kunnen stoppen met het delen van hun eigen persoonsgegevens via het e-mailadres van de vertrokken medewerker op het domein van zijn werkgever.
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken 10
Zei o.a. beslissing 64/2020 van 29 september 2020, beslissing 133/2021 van 2 december 2021, beslissing 138/2024 van 19 november 2024, beslissing 134/2025 van 21 augustus 2025, beslissing 01/2026 van 6 januari 2026.
23. De Geschillenkamer benadrukt dat dit gerechtvaardigd belang zich niet uitstrekt tot het raadplegen van de mailbox van de vertrokken werknemer om deze te doorzoeken op bedrijfsnoodzakelijke of bedrijfsnuttige informatie. Indien blijkt dat er na het vertrek van de werknemer nog steeds informatie in de mailbox aanwezig is die de werkgever nodig heeft, dan kan deze informatie enkel worden gerecupereerd mits toestemming van de vertrokken werknemer, en bij voorkeur in diens aanwezigheid. Het moge duidelijk zijn dat het in het belang van de bedrijfsvoering van de onderneming is om zo snel mogelijk cruciale, professionele informatie uit persoonlijke mailboxen te halen en te bewaren op bedrijfseigen structuren en duidelijke afspraken met de werknemer te maken vóór zijn vertrek.
24. Daarnaast benadrukt de Geschillenkamer dat het gerechtvaardigd belang om de mailbox van een vertrokken werknemer verder te verwerken zich evenmin uitstrekt voor onbepaalde duur. De Geschillenkamer heeft reeds in eerdere beslissingen 13 aanvaard dat een dergelijke maatregel voor één maand lang kan worden aangehouden. Deze periode zou voldoende moeten zijn om de correspondenten van de vertrokken werknemer te informeren over diens vertrek, alsook om een passend alternatief aanspreekpunt aan te duiden teneinde de continuïteit van de communicatie tussen de correspondent en de onderneming te waarborgen. Deze termijn is verlengbaar met maximaal 2 maanden indien hier een noodzaak toe bestaat. De verlenging moet echter aangetoond worden met een bijkomende belangenafweging aangezien het belang van de onderneming om de mailbox van een vertrokken werknemer te bewaren in principe afneemt met de tijd. Een dergelijke verlenging zou als gerechtvaardigd kunnen worden beschouwd indien bijvoorbeeld kan worden aangetoond dat de vertrokken werknemer een grote verantwoordelijkheid binnen het bedrijf uitoefende. De Geschillenkamer aanvaardt in principe geen termijn die langer is dan in totaal 3 maanden, aangezien zij er van uitgaat dat de belangen van de vertrokken werknemer na die overgangsperiode primeren op de belangen van de onderneming. De Geschillenkamer houdt hierbij in de belangenafweging ook rekening met het feit dat de vertrokken werknemer vanaf zijn vertrek geen enkele controle meer heeft over de persoonsgegevens opgenomen in deze mailbox.
25. Na afloop van deze beperkte periode van verdere verwerking dienen zowel het e-mailadres als de bijhorende mailbox definitief te worden verwijderd, zowel uit de operationele systemen van de onderneming als uit haar back-upomgevingen. Gelet op de huidige stand van de techniek, die toelaat dergelijke processen volledig automatisch te laten verlopen, verdient deze aanpak de voorkeur om het risico op menselijke fouten tot een minimum te beperken.
c. Toepassing van de geldende regels op onderhavig geval
26. De Geschillenkamer stelt vast dat de verweerder het e-mailadres en de mailbox van de klager op het moment van zijn uitdiensttreding in juni 2021 niet heeft gewist, noch heeft gedeactiveerd. Gelet op stukken 5 en 6 in de stukkenbundel van de verweerder, stelt de Geschillenkamer vast dat de verweerder het e-mailadres en de mailbox van de klager minstens tot 19 april 2023 heeft bewaard en actief heeft gehouden. Zoals de verweerder zelf aangeeft, heeft zij zich gedurende die periode gebeurlijk toegang verschaft tot de mailbox van de klager.14 Uit de stukken zoals toegevoegd aan het klachtenformulier blijkt bovendien dat de verweerder zich tevens toegang heeft verschaft tot privécommunicatie bedoeld voor de klager die ontvangen werd op het betreffende e-mailadres na diens uitdiensttreding.15
27. Daarnaast toont de verweerder niet aan dat zij op het moment van het vertrek van de klager een automatisch antwoordbericht op diens e-mailadres heeft geïnstalleerd, hetgeen een bewaring en het actief houden van het e-mailadres voor een beperkte periode (i.e. maximaal 3 maanden) had kunnen rechtvaardigen. De bewijsstukken zoals aangeleverd door de verweerder bevatten enkel een automatisch antwoordbericht verstuurd vanuit het betrokken e-mailadres op 19 april 2023, i.e. ná de datum waarop de conclusiebrief werd ontvangen.16 De Geschillenkamer oordeelt derhalve dat de verweerder hiermee niet bewijst dat een automatisch antwoordbericht werd ingesteld uiterlijk op de werkdag volgend op het vertrek van de klager. Daarnaast blijkt uit de stukken dat dezelfde schuldeiser de klager op twee verschillende momenten heeft proberen contacteren via het oude e-mailadres: een eerste keer op 28 april 2022 en een tweede keer op 20 januari 2023. Hieruit lijkt het voor de Geschillenkamer aannemelijk dat deze correspondent, minstens op 28 april 2022, niet via een automatisch bericht werd geïnformeerd over het feit dat de klager niet meer op dat e-mailadres kon worden gecontacteerd.
28. Zoals uitgebreider besproken in punten 10 tot 12 van onderhavige beslissing, stelt de Geschillenkamer vast dat de verweerder aanvoert dat zij, op basis van haar gerechtvaardigd belang, het e-mailadres en de mailbox van de klager tot 3 jaar na zijn uitdiensttreding kan bewaren en consulteren, hetgeen zij heeft opgenomen in een privacybeleid toegevoegd aan het arbeidscontract van de klager. Deze bewaartermijn zou gerechtvaardigd zijn gelet op het belang van de verweerder om wettelijke verjaringstermijnen en fiscale controletermijnen na te leven, alsook om zich te kunnen verantwoorden tegenover cliënten en toezichthouders.
De Geschillenkamer stelt aldus vast dat de verweerder zich beroept op artikel 6.1.f) AVG voor het bewaren en consulteren van het e-mailadres en bijhorende mailbox van de klager voor de periode na diens uitdiensttreding.
29. Overeenkomstig de rechtspraak van het Hof van Justitie 17 van de Europese Unie (en zoals uitgelegd in de richtsnoeren van de EDPB18) dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op artikel 6.1.f) AVG. De verweerder moet daarom kunnen aantonen dat:
1) de belangen die zij met de verwerking nastreeft als gerechtvaardigd kunnen worden erkend (de “doeltoets”);
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de “noodzakelijkheidstoets”); en
3) de afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke of van een derde (de “afwegingstoets”).
30. Inzake de doeltoets herinnert de Geschillenkamer eraan dat de AVG en de rechtspraak een breed scala aan belangen als gerechtvaardigd erkennen. Het belang dat de verwerkingsverantwoordelijke met de verwerking nastreeft kan aangemerkt worden als “gerechtvaardigd” indien dat belang wettig is, duidelijk en concreet omschreven is, en ten slotte reëel en actueel is op het moment van de verwerking. 19 Aangezien het naleven van wettelijke verjaringstermijnen en fiscale controletermijnen en de verantwoording ten aanzien van cliënten en toezichthouders aan bovenvermelde criteria voldoen, oordeelt de Geschillenkamer dat het belang van de verweerder gerechtvaardigd is, en dat dus aan de doeltoets is voldaan. Voor wat betreft het consulteren van privécommunicatie van de klager oordeelt de Geschillenkamer echter dat niet werd voldaan aan de doeltoets.
Dergelijke consultatie is, bij ontstentenis van de toestemming van de betrokkene, met name onwettig gelet op de omzetting van de ePrivacy-Richtlijn naar Belgisch recht20 en bovendien strafbaar gesteld in het Belgisch Strafwetboek 21.
31. De noodzakelijkheidstoets houdt in dat de verweerder moet kunnen aantonen dat de verwerking van persoonsgegevens “noodzakelijk” is om haar nagestreefde belangen te bereiken. De Geschillenkamer wijst erop dat het begrip “noodzakelijkheid” in het Unierecht een autonome betekenis kent die moet worden uitgelegd op een wijze die de doelstellingen van de AVG weerspiegelt.22 In dat verband dient te worden opgemerkt dat de verwerking niet louter “nuttig” mag zijn om het nagestreefde belang te bereiken. Bij de beoordeling of een verwerking “noodzakelijk” is, moet worden nagegaan of het nagestreefde gerechtvaardigde belang in de praktijk niet op een even doeltreffende wijze kan worden bereikt met middelen die in mindere mate afbreuk doen aan de fundamentele rechten en vrijheden van betrokkenen. Bestaan er redelijke, even doeltreffende maar minder ingrijpende alternatieven, dan kan de verwerking niet als noodzakelijk worden aangemerkt. 23
32. De Geschillenkamer stelt vast dat de verweerder op geen enkele wijze motiveert waarom het bewaren van het e-mailadres en de mailbox van de klager gedurende maximaal drie jaar, zoals voorzien in haar standaardbeleid, strikt noodzakelijk zou zijn voor de behartiging van de voornoemde belangen. Zij is met name van oordeel dat de verweerder wettelijke verjaringstermijnen, fiscale controletermijnen en haar verantwoordingsplicht ten aanzien van cliënten en toezichthouders kan naleven zonder het e-mailadres en de volledige mailbox van de klager gedurende een dergelijke termijn te bewaren. De Geschillenkamer oordeelt dat het openhouden van het e-mailadres of het bewaren van de mailbox van een werknemer niet kan dienen als vervanging voor een deugdelijk dossier- of archiveringssysteem. Zoals reeds gesteld in punt 23 hierboven, wijst de Geschillenkamer erop dat de bedrijfsnoodzakelijke informatie op een passende wijze uit de mailbox van de klager moest worden gehaald vóór het einde van de arbeidsovereenkomst. Dit zou de verweerder in staat hebben gesteld de relevante communicatie en documentatie over te brengen naar de betrokken dossiers in het daartoe bestemde archiefsysteem, in plaats van de volledige mailbox van de klager gedurende een vooraf bepaalde periode van drie jaar te bewaren en actief te houden.
33. De Geschillenkamer oordeelt dat, gelet op het feit dat er redelijkerwijs andere middelen bestaan om de belangen van de verweerder te behartigen die minder ingrijpend zijn voor de fundamentele rechten en vrijheden van de klager, de verwerking zoals uitgevoerd door de verweerder verder gaat dan wat strikt noodzakelijk is. De Geschillenkamer herhaalt dat het bewaren en actief houden van het professionele e-mailadres en bijhorende mailbox van een voormalige werknemer slechts kan steunen op artikel 6.1.f) indien het gerechtvaardigd belang van de verwerkingsverantwoordelijke erin bestaat de correspondenten van de vertrokken medewerker te informeren dat deze niet meer werkzaam is voor de onderneming. Dit kan gebeuren door een automatisch antwoordbericht op het betrokken e-mailadres in te stellen voor een periode van maximaal 3 maanden. De verwerking kan derhalve niet steunen op artikel 6.1.f) AVG indien de verwerkingsverantwoordelijke de mailbox wil bewaren en consulteren met het oog op verzamelen of overzetten van bedrijfsnoodzakelijke informatie, gezien zij in staat moet zijn dit te realiseren vóór het vertrek van de werknemer, en liefst in diens aanwezigheid. Daarnaast stelt de Geschillenkamer vast dat de mailbox van de klager niet alleen onnodig lang werd bewaard, maar ook dat de verweerder gedurende die periode zich toegang heeft verschaft tot inkomende privécommunicatie bedoeld voor de klager, hetgeen in geen geval kan worden beschouwd als noodzakelijk voor de behartiging van haar gerechtvaardigd belang. De Geschillenkamer oordeelt derhalve dat niet werd voldaan aan de noodzakelijkheidstoets ex artikel 6.1.f) AVG.
34. Aangezien de drie voorwaarden waaraan moet worden voldaan opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op artikel 6.1.f) AVG cumulatief zijn, en aangezien de noodzakelijkheid van de verwerkingen in casu niet werd aangetoond, oordeelt de Geschillenkamer dat de verweerder zich niet kan baseren op het aangevoerde gerechtvaardigd belang.
35. Daarnaast oordeelt de Geschillenkamer dat de verweerder voor de litigieuze verwerkingen ook niet kon steunen op artikel 6.1.a) AVG, aangezien de ondertekening van het arbeidscontract door de klager niet kan gelden als een geldige toestemming in de zin van artikel 4.11) en 7 AVG. In dit verband wijst Geschillenkamer in het bijzonder op overweging 43 AVG, die preciseert dat de toestemming wordt verondersteld niet vrijelijk te zijn gegeven indien er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke. De Geschillenkamer oordeelt dat de relatie tussen een werknemer en zijn werkgever, zoals in casu het geval was, een zodanige duidelijke wanverhouding betreft. Hieruit volgt dat een werknemer bij de ondertekening van het arbeidscontract, i.e. aan het begin van zijn tewerkstelling, geen vrije en geïnformeerde toestemming kan geven voor de verwerking van zijn mailbox na de beëindiging van de arbeidsovereenkomst.
36. Bovendien geeft het privacybeleid zoals toegevoegd aan het arbeidscontract van de klager duidelijk aan dat verwerkingen inzake “e-mailing” steunen op het gerechtvaardigd belang, en niet op toestemming. De loutere ondertekening van het arbeidscontract kan in dat geval onmogelijk worden gezien als een vrije, geïnformeerde en ondubbelzinnige toestemming in de zin van artikel 4.11) en 7 AVG.
37. Aangezien de verweerder overigens niet over een andere verwerkingsgrond beschikt om het e-mailadres en de mailbox van de klager te bewaren of anderszins te verwerken na diens uitdiensttreding, stelt de Geschillenkamer een inbreuk vast op de artikel 5.1.a) juncto artikel 6.1. AVG.
II.3. Betreft de vermeende schendingen op artikel 5.1.b), c) en e) en artikel 13.1.c) AVG.
38. Aangezien de verwerking van persoonsgegevens van de klager niet rechtmatig was en bijgevolg niet mocht plaatsvinden, alsook het feit dat met name het beginsel van minimale gegevensverwerking in rekening wordt genomen voor de noodzakelijkheidstoets ex artikel 6.1.f) AVG, zal de Geschillenkamer niet meer ingaan op de beoordeling van de andere beginselen die werden aangehaald in de uitnodiging tot conclusies, i.e. het beginsel van doelbinding (artikel 5.1.b) AVG) en opslagbeperking (artikel 5.1.e) AVG). Om dezelfde reden acht de Geschillenkamer het niet opportuun om verder in te gaan op de beoordeling van een schending van artikel 13.1.c) AVG.
II.4. Het recht op gegevenswissing van de klager (artikel 17.1 AVG en artikel 12, lid 2 en 3 AVG)
Standpunt van de verweerder
39. In haar syntheseconclusie legt de verweerder uit dat de klager akkoord is gegaan met de verwerking van zijn persoonsgegevens en ook al eerder op de hoogte was van het feit dat zijn mailbox nog werd bewaard. Toch heeft de klager pas op 20 januari 2023 gevraagd om zijn oude e-mailadres te laten blokkeren.
40. Daarnaast benadrukt de verweerder dat de klager noch in zijn e-mail van 20 januari 2023, noch in zijn klachtenformulier heeft aangegeven op basis van welke redenen hij overeenkomstig artikel 17 AVG van oordeel is dat zijn e-mailaccount onmiddellijk diende stopgezet te worden en het gerechtvaardigde belang van de verweerder zonder meer terzijde moet worden geschoven.
Oordeel van de Geschillenkamer
41. De Geschillenkamer stelt vast dat de verweerder op 20 januari 2023 een e-mail ontving op het voormalige e-mailadres van de klager, waarin een derde de klager informeerde over een verschuldigde betaling. Aangezien deze e-mail kennelijk bestemd was voor de klager, besluit de verweerder de e-mail door te sturen naar de klager en verzoekt zij de klager om zijn e-mailadres bij de afzender te laten aanpassen. De klager antwoordde op 20 januari 2023 als volgt: “[…] Ik heb dit reeds gecommuniceerd aan [naam afzender]. Ik begrijp niet waarom dit bericht bij jullie terechtkomt. Ik vraag me af waarom mijn e-mailadres nog steeds als actief staat geregistreerd bij [naam verweerder]. Kunnen jullie dit e-mailadres laten blokkeren?
[…]”. De Geschillenkamer stelt vast dat de klager op 20 februari 2023 de Eerstelijnsdienst informeert over het feit dat hij geen antwoord ontving op zijn verzoek krachtens artikel 17 AVG.
42. De Geschillenkamer wijst op artikel 17.1.a) AVG, dat bepaalt dat elke betrokkene het recht heeft van de verwerkingsverantwoordelijke wissing van de hem betreffende persoonsgegevens te verkrijgen indien zij niet langer nodig zijn voor de doeleinden waarvoor zij werden verzameld of anderszins verwerkt. Overeenkomstig artikel 17.1.d) AVG geldt hetzelfde voor persoonsgegevens die onrechtmatig verwerkt zijn. De verwerkingsverantwoordelijke is in deze gevallen verplicht zonder onredelijke vertraging deze persoonsgegevens te wissen. De Geschillenkamer wijst erop dat een verzoek om gegevenswissing onder artikel 17 niet onderhevig is aan enige vormvereiste en de betrokkene zijn verzoek niet hoeft te motiveren. Het opleggen van een motiveringsplicht aan de betrokkene zou immers in strijd zijn met artikel 12.2 AVG, dat bepaalt dat de verwerkingsverantwoordelijke het verzoek om uitoefening van rechten van de betrokkene moet faciliteren. Het is bovendien de taak van de verwerkingsverantwoordelijke om, op het moment van ontvangst van een verzoek om gegevenswissing, na te gaan of één of meerdere verwijderingsgronden uit artikel 17.1 AVG van toepassing zijn. Overigens bestaat er geen verplichting in hoofde van de betrokkene om binnen een bepaalde termijn zijn of haar recht op gegevenswissing uit te oefenen, waardoor de in punt 39 aangehaalde opmerking irrelevant is.
43. Daarnaast verplicht artikel 12.3 AVG de verwerkingsverantwoordelijke om onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens artikel 17 informatie te verstrekken aan de betrokkene over het gevolg dat aan het verzoek is gegeven.
Afhankelijk van de complexiteit van het verzoek kan die termijn maximaal met twee maanden verlengd worden. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. De Geschillenkamer wijst de verweerder erop dat, indien zij van mening was dat geen gevolg moest gegeven worden aan het verzoek van de klager, zij tevens gehouden is om de klager hierover te informeren binnen één maand na ontvangst van het verzoek, tezamen met de redenen waarom het verzoek zonder gevolg is gebleven (artikel 12.4 AVG).
44. Gelet op voorgaande en op het feit dat de klager overeenkomstig artikel 17.1.a) en d) AVG het recht had op wissing van de hem betreffende persoonsgegevens, oordeelt de Geschillenkamer dat werd aangetoond dat de verweerder artikel 17 AVG heeft geschonden. Bovendien heeft de verweerder het verzoek van de klager niet gefaciliteerd en heeft zij de klager niet binnen de maand geïnformeerd over het gevolg dat zij aan het verzoek heeft gegeven, waardoor de Geschillenkamer tevens een inbreuk op artikel 12.2 en 12.3 AVG vaststelt.
II.5. Wat betreft de verantwoordingsplicht en het treffen van passende en organisatorische maatregelen (artikel 5.2 AVG, 24.1 AVG en 25.1 AVG).
Standpunt van de verweerder
45. De verweerder voert aan dat zij ingevolge de klacht van de klager voornemens is de volgende maatregelen te nemen, dewelke zij ook in het arbeidsreglement zal implementeren:
– ‘’Het ontvangen, verzenden en consulteren van e-mails buiten het kader van de tewerkstelling (dus voor privédoeleinden) bij concludente zal nog louter via de browser worden toegestaan en niet meer via de mailbox met extensie […];
– Op de eerstvolgende werkdag na de laatste dag van tewerkstelling bij concludente zal er hoe dan ook een automatisch antwoord op de mailbox van de werknemer die het kantoor verlaat worden geïnstalleerd;
– Aan de vertrekkende werknemer/subcontractor zal zijn instemming gevraagd worden om in het kader van het gerechtvaardigd belang de mailbox nog gedurende een beperkte tijd op te volgen;
– Aan de vertrekkende werknemer/subcontractor zal conform bijlage 8 van het arbeidsreglement ook zijn instemming gevraagd worden om in het kader van het gerechtvaardigd belang de (bijlagen bij) e-mails gedurende een zekere termijn te bewaren.”
46. De verweerder zal daarnaast met haar beroepsinstituut, het Institute for Tax Advisors & Accountants, overleg plegen teneinde duidelijke richtlijnen of gedragscodes te verkrijgen aangaande de verwerking van persoonsgegevens van ex-werknemers.
47. Tot slot voert de verweerder aan dat zij intussen een nieuw document24 heeft opgesteld welke zij in de toekomst als leidraad zal aanwenden ingeval van vertrek van een werknemer waarmee de samenwerking wordt stopgezet.
Oordeel van de Geschillenkamer
48. De Geschillenkamer wijst op de in artikel 5.2 AVG neergelegde verantwoordingsplicht, waaruit volgt dat iedere verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de beginselen inzake gegevensbescherming en die naleving ook moet kunnen aantonen. Deze verantwoordingsplicht vindt onder meer haar concretisering in artikel 24.1 en 25.1 AVG. Deze artikelen verplichten de verwerkingsverantwoordelijke om passende technische en organisatorische maatregelen te nemen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd (artikel 24.1 AVG), alsook dat de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier worden uitgevoerd en de nodige waarborgen in de verwerking worden ingebouwd met het oog op de naleving van de AVG (artikel 25.1 AVG).
49. De Geschillenkamer stelt vast dat de verweerder een beleid heeft gehanteerd waarbij zij stelselmatig het e-mailadres en de mailbox van werknemers voor maximaal 3 jaar actief houdt en de inhoud ervan bewaart, en indien zij dit nodig acht, raadpleegt. De Geschillenkamer heeft geoordeeld dat zulks geen rechtmatige rechtsgrondslag heeft. Zij heeft er tevens op gewezen dat het raadplegen van privécommunicatie van de klager wijst op een inbreuk op artikel 124 van de wet betreffende de elektronische communicatie 25 en artikel 314bis van het Strafwetboek26.
50. De Geschillenkamer oordeelt dat de verweerder bijgevolg niet aantoont dat zij de passende technische en organisatorische maatregelen heeft genomen met betrekking tot de verwerkingen die in dit geschil aan de orde zijn. De Geschillenkamer wijst de verweerder erop dat zij maatregelen dient te nemen die het mogelijk maken om, vóór het vertrek van de werknemer en indien mogelijk in zijn aanwezigheid, de bedrijfsnoodzakelijke informatie uit de persoonlijke mailbox van de werknemer te halen zodat deze kunnen worden opgeslagen in de bedrijfseigen structuren van de verweerder, waarna het e-mailadres en de mailbox van de vertrekkende werknemer, bij voorkeur op automatische wijze, definitief worden verwijderd.
51. Daarnaast stelt de Geschillenkamer vast dat de verweerder niet aantoont welke technische en organisatorische maatregelen zijn getroffen om te kunnen waarborgen dat gevolg wordt gegeven aan verzoeken tot gegevenswissing van betrokkenen, en in het bijzonder die van de klager, binnen de door de AVG vastgestelde termijnen.
52. Gelet op voorgaande, besluit de Geschillenkamer dat de verweerder een inbreuk pleegde op de artikelen 5.2, 24.1 en 25.1 van de AVG.
53. De Geschillenkamer benut de gelegenheid om de door de verweerder voorgenomen maatregelen te beoordelen, inclusief het door de verweerder opgestelde document 27, die zij als leidraad zal gebruiken voor toekomstige verwerkingen van persoonsgegeven van ex-werknemers. Aangezien dit document geen deel uit maakt van hetgeen aan de verweerder is ten laste gelegd, geschiedt deze beoordeling louter ten overvloede.
54. De Geschillenkamer stelt vast dat het voormelde document een in te vullen modelovereenkomst omvat, bestemd voor ondertekening door de werknemer. Daarin zijn de volgende bepalingen opgenomen:
” 1. Werknemer X heeft gedurende zijn tewerkstelling bij de Vennootschap gebruik gemaakt van een in regel zuiver professionele mailbox.
” 2. Werknemer X bevestigt dat, voor zover hij zijn mailbox toch occasioneel heeft gebruikt voor het versturen of ontvangen van eventuele privé e-mails of é-mails met een private inhoud, hij alle persoonlijke inhoud van zijn mailbox, heeft kunnen recupereren en dat de Vennootschap zodoende niet meer kan interfereren in eventuele privé e-mails of é-mails met een private inhoud. ”
55. De Geschillenkamer benadrukt nogmaals dat het de verantwoordelijkheid is van de werkgever om, als verwerkingsverantwoordelijke, passende technische en organisatorische maatregelen te treffen die waarborgen dat persoonsgegevens van de werknemer na diens uitdiensttreding niet onrechtmatig verder worden verwerkt. Deze verantwoordelijkheid kan niet worden afgewenteld op de betrokkene door hem contractueel te verplichten zijn eigen persoonsgegevens uit de mailbox te verwijderen, dan wel deze mailbox uitsluitend voor professionele activiteiten te gebruiken.
56. Overigens bepaalt voornoemde modelovereenkomst:
” 5. Gelet op de graad van verantwoordelijkheid die werknemer X had, de aard van de door hem uitgevoerde arbeidsprestaties in rechtstreeks contact en communicatie met de klanten en de door deze laatsten aan hem verstrekte financiële en fiscale gegevens alsook rekening gehouden met de verplichte bewaartermijnen die zijn voorgeschreven door de dwingende fiscale en andere wetgevingen gaat werknemer X er uitdrukkelijk mee akkoord om de termijn voor het aanhouden en het bewaren van de professionele informatie en de hieraan gerelateerde documenten ontvangen in zijn mailbox te verlengen tot een termijn van (1 of 3) maanden.
” 6. Werknemer X geeft hierbij aan de Vennootschap zijn uitdrukkelijke toestemming voor de redelijke raadpleging van zijn mailbox en opgeslagen e-mails met het oog op het waarborgen van de continuïteit en de werking van de Vennootschap op voorwaarde dat deze laatste zijn privacy naar derden toe op geen enkele wijze schendt en het voorwerp van zijn mailbox louter om professionele redenen, en enkel indien nodig, raadpleegt en gebruikt.”.
57. De Geschillenkamer benadrukt opnieuw dat, krachtens artikelen 4.11) en 7 AVG, samen gelezen met overweging 43 AVG, het gebruik van toestemming als rechtsgrond voor de verwerking van persoonsgegevens hoogstwaarschijnlijk onrechtmatig is indien er een duidelijke wanverhouding bestaat tussen de verwerkingsverantwoordelijke en de betrokkene. Een dergelijke wanverhouding doet zich voor binnen de arbeidsrelatie tussen werkgever en werknemer. Gelet op de ondergeschikte positie van de werknemer, die druk kan ervaren om met de verwerking in te stemmen, kan derhalve worden aangenomen dat diens toestemming niet vrijwillig is verleend.
III. Corrigerende maatregelen en sancties
58. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° de klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere
Staat of een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings van
Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit.
III.1. Corrigerende maatregelen en sancties
59. Nu de Geschillenkamer heeft vastgesteld dat de verweerder geen rechtsgrond had om de persoonsgegevens van de klager te verwerken na diens uitdiensttreding, geen gevolg heeft gegeven aan het verzoek van de klager om zijn persoonsgegevens te wissen, alsook niet kan aantonen dat zij passende technische en organisatorische maatregelen in de zin van artikel 24.1 en 25.1 AVG heeft genomen, is het aan de orde om corrigerende maatregelen en sancties te nemen ten laste van de verweerder.
60. In het kader van een effectieve rechtsbescherming onder artikel 47 van het Handvest van de Europese Unie en de effectieve handhaving die de wetgever met de AVG nastreeft, is het volgens de Geschillenkamer aan de orde om:
1. De verweerder conform artikel 58.2.f) AVG en artikel 100, §1, 8° WOG te bevelen dat de verwerking van het e-mailadres en de bijhorende mailbox van de klager wordt stopgezet. De Geschillenkamer acht dit bevel noodzakelijk om de onrechtmatige verwerking van persoonsgegevens van de klager stop te zetten.
Bij het opleggen van deze corrigerende maatregel houdt de Geschillenkamer rekening met het feit dat de verweerder gedurende de procedure op geen enkel moment heeft bevestigd dat het e-mailadres en de bijhorende mailbox van de klager inmiddels werden gedeactiveerd.
2. De verweerder conform artikel 58.2.c) AVG en artikel 100, §1, 6° WOG te bevelen het e-mailadres van de klager en de inhoud van de bijhorende mailbox definitief worden verwijderd. De Geschillenkamer acht dit bevel noodzakelijk zodat wordt voldaan aan het verzoek van de klager om zijn recht op gegevenswissing uit te oefenen. Bij het opleggen van deze corrigerende maatregel houdt de Geschillenkamer rekening met het feit dat de verweerder gedurende de procedure op geen enkel moment heeft bevestigd dat het e-mailadres en de bijhorende mailbox van de klager inmiddels werden verwijderd.
61. De Geschillenkamer gelast dat de verwezenlijking van deze corrigerende maatregelen moet worden aangetoond aan de Geschillenkamer binnen een termijn van 30 dagen na de kennisgeving van de onderhavige beslissing. Zij beveelt het bewijs hiervan binnen voornoemde termijn per e-mail over te maken aan de Geschillenkamer via [email protected].
62. Tevens beslist de Geschillenkamer om de verweerder conform artikel 58.2.b) AVG en artikel 100, §1, 5° WOG te berispen omwille van de inbreuken op artikel 5.2, 24.1 en 25.1 AVG.
III.2. Administratieve geldboete
63. Met het oog op een krachtige handhaving van de regels van de AVG, beslist de Geschillenkamer naast voormelde corrigerende maatregelen en berisping ook tot het opleggen van een administratieve geldboete. Zoals duidelijk blijkt uit overweging 148 AVG28, stelt de AVG immers voorop dat bij elke ernstige inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen, met inbegrip van administratieve geldboetes, naast of in plaats van passende corrigerende maatregelen worden opgelegd.
64. Het feit dat het in onderhavig geval een eerste vaststelling van door de verweerder gepleegde inbreuken op de AVG betreft, doet geenszins afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer benadrukt daarbij haar soevereine verantwoordelijkheid om, als onafhankelijke administratieve autoriteit, de passende corrigerende maatregelen en sancties te bepalen.
Deze bevoegdheid volgt rechtstreeks uit artikel 83 AVG, en wordt bevestigd door de rechtspraak van het Marktenhof, dat het bestaan van een ruime discretionaire beoordelingsmarge van de Geschillenkamer met betrekking tot zowel de keuze van de sanctie als de vaststelling van de hoogte ervan heeft erkend.29
65. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2.i) AVG. Zij motiveert het opleggen van een administratieve geldboete, alsook de vaststelling van het bedrag ervan met in achtneming van de criteria vervat in artikel 83 AVG. Om te vermijden dat de beoordeling van elk criterium herhaald wordt, verwijst de Geschillenkamer naar de beoordeling hieronder, waarin het opleggen van een administratieve geldboete en de hoogte ervan samen worden beoordeeld.
66. Een geldboete moet in elk geval doeltreffend, evenredig en afschrikwekkend zijn. De Geschillenkamer legt geldboetes op met in achtneming van de EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG 30. De toepassing van voormelde richtsnoeren is noodzakelijk om de coherentie van de toepassing van de AVG te waarborgen. Overeenkomstig voormelde richtsnoeren worden administratieve geldboeten voor inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen.31
Deze vijf stappen worden in de volgende paragrafen systematisch doorlopen. De Geschillenkamer herinnert eraan dat zij niet verplicht is de criteria te onderzoeken die niet van toepassing zijn in onderhavig geval.32
67. De Geschillenkamer wijst er ten overvloede op dat zij in eerdere gevallen betreffende het niet afsluiten van mailboxen geen geldboete heeft opgelegd, in de meeste gevallen vanwege de beperkte ernst en omvang van de overtreding, anders dan in de onderhavige zaak.
III.2.1. Betreffende de samenloop van inbreuken
Één inbreuk makende gedraging
68. Als eerste stap oordeelt de Geschillenkamer dat er in casu sprake is van één en dezelfde inbreuk makende gedraging. Zij oordeelt met name dat de verwerkingsactiviteiten van de verweerder die aanleiding hebben gegeven tot de vastgestelde inbreuken met elkaar verband houden omdat zij werden verricht uit één enkele wil en contextueel, in ruimte en in tijd zo nauw met elkaar samenhangen dat zij, objectief gezien, als één coherente gedraging kunnen worden beschouwd. De vastgestelde inbreuken vloeien namelijk voort uit de beslissing van de verweerder om het e-mailadres en de mailbox van de klager voor maximaal 3 jaar na zijn uitdiensttreding actief te houden en te bewaren, overeenkomstig het door haar vastgestelde beleid dat aan het arbeidscontract van de klager werd toegevoegd. Zowel de onrechtmatige verwerking, alsook het nalaten gevolg te geven aan het verzoek om gegevenswissing van de klager vloeien hieruit voort en moeten derhalve als één inbreuk makende gedraging worden beschouwd.
Samenloop van inbreuken
69. De Geschillenkamer heeft op basis van voornoemde gedraging verschillende inbreuken op de AVG weerhouden, met name op de artikelen 5.1.a), 5.2, 6.1, 12.2, 12.3, 17, 24.1 en 25.1 AVG.
70. De Geschillenkamer besluit dat het in casu niet doeltreffend noch evenredig zou zijn om een boete op te leggen voor de inbreuken op artikel 12.2, 12.3 en 17 AVG, gelet op het feit dat zij van oordeel is dat de uitvoering van de reeds opgelegde corrigerende maatregel zoals bedoeld in artikel 100, §1, 6° WOG, in dit specifieke geval voldoende zou remediëren aan die inbreuken.
71. De Geschillenkamer oordeelt daarnaast dat, in onderhavig geval, artikel 5.2, 24.1 en 25.1 dezelfde belangen beschermen als artikel 5.1.a) AVG juncto artikel 6.1 AVG, met name het waarborgen dat persoonsgegevens uitsluitend worden verwerkt op basis van een geldige rechtsgrond in overeenstemming met het beginsel van rechtmatigheid. De Geschillenkamer oordeelt dat het hier gaat om een samenloop van inbreuken. Gelet op het subsidiariteitsbeginsel is zij van oordeel dat enkel de schending van artikel 5.1.a) juncto artikel 6.1 AVG kan worden beboet, wat in dit geval de meer specifieke inbreuk betreft.
72. Samenvattend oordeelt de Geschillenkamer dat zij in casu één enkele geldboete dient op te leggen.
III.2.2. Uitgangsbedrag voor de berekening van de administratieve boete
73. Overeenkomstig de rechtspraak van het Hof van Justitie en de EDPB Richtsnoeren 04/2022, dient de berekening van administratieve geldboeten krachtens de AVG gebaseerd te worden op een geharmoniseerd uitgangsbedrag. Dit uitgangsbedrag vormt het begin voor de verdere berekening, waarbij alle omstandigheden van de zaak in aanmerking worden genomen en afgewogen, die resulteert in het uiteindelijke bedrag van de geldboete die moet worden opgelegd aan de verweerder. Om het uitgangsbedrag te bepalen neemt de Geschillenkamer drie elementen in acht: (A) de indeling van de inbreuken op grond van artikel 83, leden 4 t.e.m. 6 AVG, (B) de zwaarte van de inbreuk en (C) de omzet van de verweerder.
A. Indeling van inbreuken op grond van artikel 83, leden 4 t.e.m. 6 AVG
74. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die strafbaar zijn onder artikel 83.4 AVG enerzijds en de inbreuken die strafbaar zijn onder artikel 83.5 en 83.6 AVG anderzijds. Op de eerste categorie inbreuken staat een maximumboete van 10 000 000 EUR of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een boete van maximaal 20 000 000 EUR of 4% van de van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is.
75. Voor de inbreuk op artikelen 5.1.a) AVG juncto artikel 6.1 AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR of maximaal 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is.
B. Zwaarte van de inbreuk
76. Aangaande de beoordeling van de zwaarte van de inbreuk op artikel 5.1.a) AVG juncto artikel 6.1 AVG, houdt de Geschillenkamer rekening met de aard, ernst en duur van de inbreuk (artikel 83.2.a) AVG), de opzettelijke of nalatige aard van de inbreuk (artikel 83.2.b) AVG), en de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g) AVG).
i. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk
Betreffende de aard van de inbreuk oordeelt de Geschillenkamer dat het beginsel van rechtmatigheid een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd wordt, en tevens opgenomen is in artikel 8.2 van het Handvest van de Grondrechten van de Europese Unie. De Geschillenkamer oordeelt derhalve dat de inbreuk in casu, qua aard, een zwaarwegende inbreuk vormt.
Betreffende de ernst van de inbreuk, neemt de Geschillenkamer volgende elementen in rekening:
• Aard van de verwerking: de verwerking in casu betreft het bewaren en actief houden van het professionele e-mailadres en de mailbox van de klager, na diens uitdiensttreding. Op basis van de stukken in het dossier heeft de Geschillenkamer vastgesteld dat de klager tevens persoonlijke e-mails op het betreffende e-mailadres ontving, zoals e-mails van schuldeisers. De Geschillenkamer stelt vast dat de verweerder inzage heeft genomen in bepaalde persoonlijke e-mails, met het oog op het doorsturen daarvan naar de klager.
• Omvang van de verwerking: de klacht en derhalve ook de inbreuk hebben slechts betrekking op de verwerking van één e-mailadres en bijhorende mailbox, namelijk die van de klager.
• Doel van de verwerking: de verweerder heeft de verwerking uitgevoerd met het oog op de naleving van wettelijke verjaringstermijnen en fiscale controletermijnen, alsook om verantwoording te kunnen afleggen ten aanzien van cliënten en toezichthouders. De Geschillenkamer houdt er rekening mee dat niet de verwerking zelf, doch wel het doel waarvoor ze werd uitgevoerd, binnen de kernactiviteiten van de verweerder valt. De Geschillenkamer herhaalt dat de onrechtmatigheid van de verwerking juist volgt uit het feit dat de verweerder bovenvermelde doelen, die verband houden met haar kernactiviteiten, via andere middelen moet kunnen realiseren die minder ingrijpend zijn voor de klager.
• Aantal betrokkenen: de Geschillenkamer houdt rekening met het feit dat slechts voor één betrokkene, de klager, werd aangetoond dat deze gevolgen heeft ondervonden door de onrechtmatige verwerking. Zij houdt evenwel rekening met het feit dat, gelet op het beleid van de verweerder dat aan het arbeidscontract van haar werknemers werd toegevoegd, de inbreuk systemisch van aard is.
Vermoedelijk werden andere voormalige werknemers van de verweerder getroffen.
• Omvang van de schade: de Geschillenkamer stelt vast dat de schade immaterieel is. De onrechtmatige verwerking heeft gezorgd voor een aantasting van de controle van de klager over zijn persoonsgegevens en heeft mogelijks een gevoel van inmenging in de persoonlijke levenssfeer teweeggebracht. De Geschillenkamer houdt rekening met het feit dat niet werd aangetoond dat de klager lichamelijke of financiële schade heeft geleden, noch dat zijn gegevens werden bekendgemaakt aan derden.
Gelet op al deze factoren, oordeelt de Geschillenkamer dat de ernst van de inbreuk als gemiddeld moet worden beschouwd.
Betreffende de duur van de inbreuk werd door de klager aangevoerd dat hij zijn werkzaamheden feitelijk heeft neergelegd sinds juni 2021, hetgeen niet werd betwist door de verweerder. De klacht van de klager werd ingediend op 24 januari 2023, op welk moment de verwerking nog voortdurend plaatsvond. Gelet op stukken 6 en 7 in de stukkenbundel van de verweerder, blijkt dat de verwerking nog voortdurend plaatsvond op 19 april 2023. De Geschillenkamer stelt vast dat de onrechtmatige verwerking derhalve minstens 21 maanden heeft geduurd. Er is evenwel geen enkel document overgelegd waaruit blijkt dat de verweerder de onrechtmatige verwerking inmiddels heeft gestaakt, waardoor het mogelijk is dat deze voortduurt tot het Beslissing ten gronde ogenblik van bekendmaking van deze beslissing. Gezien de Geschillenkamer van oordeel is dat de mailbox van de klager slechts gedurende een beperkte periode kon worden bewaard, die in beginsel niet langer dan 1 maand bedraagt, acht de Geschillenkamer de duur van de inbreuk een zwaarwegend element.
ii. Artikel 83.2.b) AVG – De opzettelijke of nalatige aard van de inbreuk
77. De Geschillenkamer heeft vastgesteld dat het beleid van de verweerder inzake gegevensbescherming van toepassing op haar werknemers als bijlage werd toegevoegd bij het arbeidscontract van de klager. Dit beleid bepaalt dat de mailboxen van werknemers voor maximaal 3 jaar na de beëindiging van de arbeidsovereenkomst kunnen worden bewaard met het oog op het gerechtvaardigd belang van de verweerder. De Geschillenkamer oordeelt dat dit beleid inherent blijk geeft van minachting voor de bepalingen van de AVG, en met name per definitie een onrechtmatige verwerking van persoonsgegevens tot gevolg heeft. Zoals de Geschillenkamer hierboven uitvoerig heeft uiteengezet 33, kan een algemene bewaartermijn van 3 jaar na de uitdiensttreding van de werknemer, gedurende dewelke de mailbox actief blijft en wordt geraadpleegd 34, immers niet steunen op artikel 6.1.f) AVG. Het feit dat de verweerder haar beleid heeft vastgelegd in een document dat werd toegevoegd aan de te ondertekenen arbeidsovereenkomst van de klager, wijst erop dat de onrechtmatige verwerking het gevolg is van een weloverwogen keuze van de verweerder.
Bovendien heeft de Geschillenkamer geconstateerd dat de verweerder de klager op meerdere tijdstippen — met name op 28 april 2022 en 20 januari 2023 — heeft aangemaand om bij derden zijn e-mailadres te laten wijzigen in plaats van zelf de nodige maatregelen te nemen om het betreffende e-mailadres te blokkeren en te verwijderen, hetgeen de duur van de inbreuk heeft verlengd.
78. Om deze redenen oordeelt de Geschillenkamer dat de inbreuk het gevolg is van ernstige nalatigheid zijdens de verweerder, waardoor wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU voor het opleggen van een administratieve geldboete.35 Geschillenkamer oordeelt dat de verweerder niet onkundig kon zijn van het feit dat de verwerking een inbreuk oplevert op artikel 5.1.a) juncto 6.1 AVG, ongeacht of zij er zich van bewust was dat zij die bepalingen schond. 36
iii. Artikel 83.2.g) AVG – De categorieën van persoonsgegevens waarop de inbreuk betrekking heeft
79. Tot slot, voor haar oordeel omtrent de zwaarte van de inbreuk, houdt de Geschillenkamer tevens rekening met de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft. In onderhavig geval stelt de Geschillenkamer vast dat onder andere de naam, het e-mailadres, alsook financiële gegevens van de klager werden verwerkt. De verweerder heeft immers enkele betalingsherinneringen afkomstig van een schuldeiser van de klager geraadpleegd en naar hem doorgestuurd. Daarnaast oordeelt de Geschillenkamer dat de categorieën van verwerkte persoonsgegevens niet limitatief bepaalbaar zijn, gezien een mailbox potentieel correspondentie bevat van uiteenlopende aard, waardoor mogelijk een brede waaier aan (categorieën van) persoonsgegevens onrechtmatig worden verwerkt.
iv. Conclusie
80. Op basis van bovenvermelde factoren wordt de zwaarte van de inbreuk op artikel 5.1.a) juncto 6.1 AVG als een inbreuk van hoge zwaarte beschouwd. Overeenkomstig de EDPB Richtsnoeren dient de Geschillenkamer het uitgangsbedrag voor de verdere berekening vast te stellen op een punt tussen de 20% en 100% van het toepasselijke wettelijke maximumbedrag37. De Geschillenkamer oordeelt dat in onderhavig geval 20% van het wettelijke maximumbedrag moet worden gebruikt als uitgangsbedrag voor de verdere berekening.
C. De omzet van de onderneming met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige boete
81. Overeenkomstig artikel 83.1 AVG dient de Geschillenkamer ervoor te zorgen dat de administratieve geldboete die wordt opgelegd doeltreffend, evenredig en afschrikwekkend is. Aldus moet de omvang van de onderneming tot uiting komen in het bepalen van het uitgangsbedrag.
82. Artikelen 83.4 t.e.m. 83.6 AVG bepalen dat de totale wereldwijde jaaromzet van het voorgaande boekjaar moet worden gebruikt voor de berekening van de administratieve geldboete. Conform de rechtspraak van het Hof van Justitie is het referentietijdstip het ogenblik van het besluit van de toezichthoudende autoriteit tot het opleggen van de geldboete, en niet het tijdstip van de inbreuk op de AVG.
83. De Geschillenkamer preciseert dienaangaande dat zij ten tijde van de verzending van het sanctieformulier dd. 3 april 2026 niet beschikte over de omzetcijfers voor het jaar 2025. De verweerder werd derhalve uitgenodigd om tegen uiterlijk 16 april 2026 om 13 uur bewijsstukken over te leggen waaruit de wereldwijde jaaromzet van het boekjaar 2025 blijkt. Daarbij werd de verweerder geïnformeerd dat bij gebrek aan inzage in die cijfers de Geschillenkamer zich voor de berekening zal baseren op de brutomarge van het boekjaar 2024 zoals opgenomen in de gepubliceerde jaarrekening van de verweerder. Aangezien de verweerder heeft nagelaten om binnen de gestelde termijn deze bewijsstukken over te leggen, zal de Geschillenkamer derhalve de brutomarge van de verweerder van het boekjaar 2024 hanteren, zijnde 1 457 547 EUR.
84. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4% van de butomarge van het boekjaar 202438 neerkomt op een bedrag van 58 301,88 EUR, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 85.5 AVG tot 20 000 000 EUR. Voor de inbreuk op artikel 5.1.a) juncto 6.1 AVG, waarvoor het uitgangsbedrag voor de verdere berekening door de Geschillenkamer op 20% van het wettelijke maximumbedrag werd vastgesteld, leidt dit in concreto tot een uitgangsbedrag van 4 000 000 EUR.
85. Overeenkomstig de Richtsnoeren van de EDPB, kan de Geschillenkamer voor ondernemingen met een jaaromzet van minder dan 2 000 000 EUR overwegen om de berekening voort te zetten op basis van een bedrag tussen de 0,2% en 0,4% van het vastgestelde uitgangsbedrag. De Geschillenkamer besluit dat dit in casu gepast is gelet op de grootte van de verweerder. Dit leidt ertoe dat het uitgangsbedrag van 4 000 000 EUR verlaagd wordt naar 8000 EUR (0,2% van het uitgangsbedrag).
III.2.3. Verzwarende en verzachtende omstandigheden
86. De Geschillenkamer dient, nadat zij een beoordeling heeft gemaakt van de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard van de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft, tevens rekening te houden de overige verzwarende en verzachtende factoren zoals opgesomd in artikel 83.2 AVG.
• Artikel 83.2.c) AVG – de door de verweerder genomen maatregelen om de door de klager geleden schade te beperken: De Geschillenkamer stelt vast dat de verweerder, voorafgaand aan haar tussenkomst, heeft nagelaten enige maatregel te treffen ter beperking van de door de klager geleden schade. Integendeel, zij constateert dat de verweerder de klager op meerdere tijdstippen — met name op 28 april 2022 en 20 januari 2023 — heeft aangemaand om bij derden zijn e-mailadres te laten wijzigen in plaats van zelf de nodige maatregelen te nemen om het betreffende e-mailadres te blokkeren en te verwijderen.
• Artikel 83.2.d) AVG – de mate waarin de verweerder verantwoordelijk is gezien de technische en organisatorische maatregelen die zij heeft uitgevoerd overeenkomstig artikelen 25 en 32 AVG: De Geschillenkamer stelt vast dat, voorafgaand aan haar tussenkomst, de verweerder heeft nagelaten enige technische of organisatorische maatregel te implementeren die de rechtmatigheid van de betrokken verwerking op positieve wijze kon waarborgen of versterken. Integendeel, zij constateert dat de uitvoering van het beleid van de verweerder dat aan het arbeidscontract van de klager werd toegevoegd, heeft geleid tot de inbreuk op de rechtmatigheid. Gelet hierop oordeelt de Geschillenkamer dat de verweerder een grote verantwoordelijkheid draagt voor het ontstaan van de vastgestelde inbreuk.
• Artikel 83.2.e) AVG – eerdere relevante inbreuken door de verweerder: De Geschillenkamer stelt vast dat er geen eerdere relevante inbreuken werden vastgesteld.
• Artikel 83.2.f) AVG – de mate waarin er met de Gegevensbeschermingsautoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken: De Geschillenkamer stelt vast dat de verweerder op 19 april 2023 een automatisch antwoordbericht heeft geactiveerd voor het betrokken e-mailadres, waarin toekomstige correspondenten worden geïnformeerd dat de klager niet langer werkzaam is bij de verweerder en via dit e-mailadres niet meer kan worden bereikt. Hoewel laattijdig, heeft dit mogelijk negatieve gevolgen beperkt. De verweerder voert gedurende de procedure voor de Gegevensbeschermingsautoriteit echter nergens aan dat de onrechtmatige verwerking ondertussen werd stopgezet.
• Artikel 83.2.h) AVG – de wijze waarop de Gegevensbeschermingsautoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verweerder de inbreuk heeft gemeld: De Gegevensbeschermingsautoriteit werd in kennis gesteld van de inbreuk aan de hand van een klacht die werd ingediend bij de Eerstelijnsdienst.
87. De Geschillenkamer oordeelt dat de criteria opgenomen in artikel 83.2.i) t.e.m. k) AVG niet van toepassing zijn op onderhavige zaak.
88. In het licht van het ontbreken van toereikende maatregelen om de onrechtmatige verwerking te voorkomen dan wel te beëindigen, alsook om de daaruit voortvloeiende schade voor de klager en andere nadelige gevolgen te beperken, stelt de Geschillenkamer vast dat er sprake is van verzwarende omstandigheden.
89. In het licht hiervan beslist de Geschillenkamer het totale bedrag van de administratieve geldboete te verhogen met 500 EUR, zodat deze wordt vastgesteld op 8.500 EUR.
III.2.4. Afstemming van het maximumbedrag
90. Het maximumbedrag voor de boete in het onderhavige geval werd hierboven reeds berekend. Deze bedraagt overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is.
91. De Geschillenkamer stelt vast dat 4 % van de brutomarge in het voorgaande boekjaar 1 457
547 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 83.5 AVG tot 20 000 000 EUR.
92. In casu bedraagt de geldboete 8500 EUR, hetgeen onder de maximale boete van 20 000 000 EUR ligt.
III.2.5. Doeltreffendheid, evenredigheid en afschrikkend effect
93. Met betrekking tot de doeltreffendheid oordeelt de Geschillenkamer dat een boete van 8500 EUR geschikt is om de fundamentele beginselen waarop inbreuk werd gemaakt door de verweerder te handhaven.
94. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde boete evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van met name de ernst ervan. In casu heeft de Geschillenkamer beoordeeld dat de inbreuk waarvoor zij een boete oplegt van hoge zwaarte is, waardoor zij een uitgangsbedrag van 20% van het wettelijke maximumbedrag heeft vastgesteld. Daarbij heeft zij voornamelijk rekening gehouden met het feit dat de verweerder zich onrechtmatig toegang heeft verschaft tot de inhoud van privé-e-mails van de klager (aard van de verwerking), alsook met de duur van de inbreuk. De Geschillenkamer heeft echter ook rekening gehouden met de omzet van de verweerder, waardoor zij slechts 0,2% van het uitgangsbedrag gebruikte voor de berekening van de boete. Tot slot heeft de Geschillenkamer bepaalde gedragingen van de verweerder in rekening genomen als verzwarende omstandigheden, hetgeen haar heeft gebracht tot een verhoging van het boetebedrag met 500 EUR. Aldus oordeelt de Geschillenkamer dat een boete van 8500 EUR evenredig is.
95. Met betrekking tot het afschrikkend effect oordeelt de Geschillenkamer dat het bedrag van de boete, alsook het feit dat de boete wordt opgelegd, zowel een individueel als algemeen afschrikwekkend effect heeft. Het bedrag van 8500 EUR heeft immers een voldoende afschrikkend effect om te voorkomen dat de verweerder de inbreuk op de AVG herhaalt. Daarnaast weerhoudt het andere ondernemingen soortgelijke inbreuken te plegen.
III.2.6. Reactie van de verweerder op de voorgenomen administratieve boete
96. Het sanctieformulier, waarin de verweerder werd geïnformeerd over het voornemen van de Geschillenkamer om een administratieve geldboete op te leggen, werd verzonden op 3 april 2025. De verweerder kreeg de gelegenheid om uiterlijk op 16 april 2026 om 13.00 uur per e-mail op dit formulier te reageren. De Geschillenkamer heeft geen reactie van de verweerder ontvangen binnen de gestelde termijn.
IV. Publicatie van de beslissing
97. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
– Op grond van artikel 58.2.f) AVG en artikel 100, §1, 8° WOG de verweerder omwille van de inbreuken op artikel 5.1.a) juncto 6.1 AVG, te bevelen dat de verwerking van het e-mailadres en de bijhorende mailbox van de klager wordt stopgezet;
– Op grond van artikel 58.2.c) AVG en artikel 100, §1, 6° WOG de verweerder omwille van de inbreuken op artikel 5.1.a) juncto 6.1 AVG, artikel 12, lid 2 en 3 AVG en artikel 17.1 AVG, te bevelen het e-mailadres van de klager en de inhoud van de bijhorende mailbox definitief te verwijderen;
De Geschillenkamer gelast dat de verwezenlijking van deze corrigerende maatregelen moet worden aangetoond binnen een termijn van 30 dagen na kennisgeving van de onderhavige beslissing. Zij beveelt het bewijs hiervan binnen voornoemde termijn per e-mail over te maken aan de Geschillenkamer via [email protected].
– Op grond van artikel 58.2.b) AVG en artikel 100, §1, 5° WOG ten aanzien van de verweerder een berisping te formuleren omwille van de inbreuken op artikel 5.2, 24.1 en 25.1 AVG;
– Op grond van artikel 58.2.i) AVG en artikel 100, §1, 13° WOG, samen gelezen met artikel 101 WOG, de verweerder omwille van de inbreuken op artikel 5.1.a) juncto 6.1 AVG, een administratieve boete van 8500 EUR op te leggen.
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 39. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.40, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(Get). Hielke HIJMANS
Directeur van de Geschillenkamer

PDF document ECLI:BE:GBAPD:2026:DEC.20260423.1

Print deze pagina
 

Afdrukformaat

S
M
L
XL

 

Nieuwe JUPORTAL-zoekopdracht
 

Sluit Tab

✉ [email protected]

©  2017-2026 ICT Dienst – FOD Justitie

Powered by PHP 8.5.0

Server Software Apache/2.4.66

== Fluctuat nec mergitur ==