De Geschillenkamer legt 3 boetes op

---

Wijzigingen binnen de Geschillenkamer van de GBA

De huidige directeur van de Geschillenkamer van de GBA, Hielke Hijmans, die in 2019 door de Kamer van volksvertegenwoordigers werd benoemd en in 2025 werd herbenoemd, treedt per 16 mei 2026 af. Vandaag neemt de Geschillenkamer van de GBA haar laatste beslissingen onder zijn leiding. Drie van deze beslissingen worden hieronder nader toegelicht.

Hielke Hijmans, directeur van de Geschillenkamer: “In zeven jaar tijd heeft de Geschillenkamer beslissingen genomen die elk op hun manier bijdragen aan een betere bescherming van persoonsgegevens in België, en zelfs in Europa.

Deze laatste beslissingen die onder mijn leiding zijn genomen en waarin een aanzienlijke boete wordt opgelegd, bevestigen het belang van het optreden van de Geschillenkamer. Of het nu gaat om een grote groep waterverbruikers in Wallonië, om gebruikers van een authenticatie- en identificatiesysteem of om een ex-werkneemster van wie de e-mails nog steeds worden verwerkt, de vandaag afgesloten dossiers, hoewel allemaal verschillend, tonen aan hoe belangrijk het is dat organisaties transparant handelen en de geldende wetgeving naleven.”

86.000 euro boete voor SWDE voor het onrechtmatig opnemen en afluisteren van telefoongesprekken in zijn callcenter

De GBA heeft de Société Wallonne des Eaux (“SWDE“) twee boetes opgelegd voor een totaalbedrag van 86.000 euro, voor schendingen van de AVG die zijn vastgesteld tijdens een onderzoek naar het opnemen en afluisteren van inkomende gesprekken naar het callcenter van het bedrijf. Deze beslissing heeft met name betrekking op de wisselwerking tussen de AVG en de wetten ter bescherming van de vertrouwelijkheid van elektronische communicatie, en in het bijzonder op de interpretatie die moet worden gegeven aan de uitzondering die het mogelijk maakt om gesprekken van medewerkers van een callcenter op te nemen (“callcenter-uitzondering”).

In het kader van het onderzoek en de daaropvolgende procedure ten gronde heeft de GBA in dit verband verschillende schendingen vastgesteld:  

• Gebrek aan transparantie ten aanzien van bellers: de GBA heeft het gebrek aan transparantie ten aanzien van bellers van wie de gesprekken zijn opgenomen en/of afgeluisterd, gesanctioneerd (en met name het feit dat de toegang tot de volledige informatie over de verwerking van persoonsgegevens in dit kader afhankelijk is van internettoegang, wat bijzonder problematisch is gezien het feit dat watervoorziening een dienst is voor het grote publiek, waardoor de SWDE er niet van mag uitgaan dat alle bellers over een – gemakkelijke – internettoegang beschikken), evenals het ontbreken van mogelijkheden die de SWDE biedt om bellers in staat te stellen om tijdig hun recht op bezwaar uit te oefenen tegen de opnames die tussen november 2018 en oktober 2022 zijn gemaakt;
• Ontbreken van een overeenkomst met een verwerker: de AVG-clausules tussen de SWDE en een verwerker die werd ingeschakeld in het kader van de evaluatie van de afgeluisterde gesprekken, zijn gedurende een periode van bijna 5 jaar niet definitief vastgesteld en ondertekend;
• Onrechtmatigheid van bepaalde testopnames;
• Gebrek aan transparantie ten aanzien van geregistreerde werknemers;
• Bewaring van opnames langer dan een maand: de procedures die binnen de SWDE waren ingesteld, boden geen garantie dat de opnames binnen een maand werden gewist, terwijl deze voorwaarde essentieel is om in aanmerking te komen voor de callcenter-uitzondering.

De Geschillenkamer van de GBA heeft daarom besloten SWDE een boete van 85.000 euro op te leggen voor het niet nakomen van zijn transparantieverplichtingen jegens de bellers, in combinatie met een bevel tot naleving om de vastgestelde schending te verhelpen, evenals een boete van 1.000 euro voor het ontbreken van een verwerkersovereenkomst. De overige vastgestelde schendingen hebben geleid tot berispingen.

Lees hier de volledige beslissing (voorlopig alleen beschikbaar in het Frans).

Een boete van 120.000 euro voor een Belgisch fintech-bedrijf dat zich niet heeft gehouden aan de verplichtingen waaraan het als verwerkingsverantwoordelijke moest voldoen

De Geschillenkamer van de GBA heeft Isabel NV, een belangrijke speler in de Belgische fintech-sector, een administratieve geldboete van 120.000 euro opgelegd omdat het bedrijf geen verantwoordelijkheid heeft genomen voor de authenticatie- en identificatieprocessen van zijn dienst TruliUs (vergelijkbaar met Itsme).

Tussen oktober 2020 en maart 2023 heeft Isabel NV een dienst aangeboden waarmee gebruikers zich bij partners konden authenticeren. Om deze dienst te kunnen leveren, verzamelde Isabel NV een groot aantal persoonsgegevens, zoals naam, adres, rijksregisternummer, geboortedatum en -plaats, evenals de foto van de elektronische identiteitskaart. De klager, een gebruiker van de dienst, ontdekte de omvang van deze gegevensverzameling en diende een verzoek om inzage in bij Isabel NV, die hierop niet reageerde omdat het bedrijf van mening was dat het uitsluitend als verwerker en niet als verwerkingsverantwoordelijke optrad.

De Geschillenkamer heeft op basis van de bevindingen van het onderzoek door de Inspectiedienst van de GBA vastgesteld dat Isabel NV zelf de dienst TruliUs heeft ontworpen, geconfigureerd en geëxploiteerd, en daarbij de doeleinden en de essentiële middelen van de verwerking heeft bepaald. Het bedrijf had zichzelf dus als verwerkingsverantwoordelijke in de zin van de AVG moeten zien, en niet als verwerker. De hoedanigheid van verwerkingsverantwoordelijke brengt meer verplichtingen met zich mee voor de organisatie die persoonsgegevens verwerkt.

Deze onjuiste kwalificatie heeft dus tot een reeks schendingen geleid, zoals het niet vooraf informeren van de gebruikers van het systeem, het niet beantwoorden van de verzoeken om inzage van de klager, en het verzamelen van meer gegevens dan nodig was voor het nagestreefde doel van authenticatie. Met deze beslissing benadrukt de Geschillenkamer het belang van een juiste kwalificatie van de betrokkenen bij een gegevensverwerking, waarvan de doeltreffendheid van alle in de AVG vastgelegde waarborgen afhangt. Een onjuiste kwalificatie van verantwoordelijkheden heeft ernstige gevolgen, zoals in deze zaak, waarin de klager met name niet in staat was zijn rechten daadwerkelijk uit te oefenen. Bijgevolg heeft de Geschillenkamer een administratieve geldboete van 120.000 euro opgelegd wegens inbreuk op het verantwoordingsbeginsel, vergezeld van een berisping voor de verdere schendingen van de AVG.

Lees hier de volledige beslissing (voorlopig alleen beschikbaar in het Frans).

Een boete van 176.000 euro voor het bewaren van de mailbox van een werkneemster na haar vertrek

De GBA heeft een groot technologiebedrijf een boete van in totaal ongeveer 176.000 euro opgelegd omdat het de mailbox van een voormalige werkneemster niet tijdig had verwijderd.

De klager kwam er een half jaar na haar vertrek achter dat haar oude zakelijke mailbox nog steeds actief was. Ze vroeg daarom om inzage van de mailbox te krijgen en deze vervolgens te laten wissen.

De Geschillenkamer heeft onder andere vastgesteld:

• dat de persoonsgegevens in de mailbox van de klager op onrechtmatige wijze waren verwerkt. Het bedrijf heeft weliswaar een gerechtvaardigd belang om een mailbox nog een maand na het vertrek van een werknemer te behouden, maar niet langer dan een jaar, zoals in dit geval, om de contacten van de voormalige werknemer door te kunnen sturen naar de collega die de dossiers overneemt. Dit belang verdwijnt na verloop van tijd;
• dat het bedrijf zijn transparantieverplichting heeft geschonden, aangezien de klager en haar contactpersonen niet wisten dat hun gegevens nog steeds werden verwerkt;
• dat het bedrijf niet de nodige technische en organisatorische maatregelen had genomen om ervoor te zorgen dat de mailbox van de klager werd gewist;
• dat het recht van inzage van de betrokkene niet werd gerespecteerd.

Om deze redenen heeft de GBA het bedrijf een boete opgelegd van iets meer dan 160.000 euro (voor de onrechtmatige verwerking van gegevens), evenals een boete van ongeveer 16.000 euro (voor de schendingen op het gebied van transparantie). Zij heeft het bedrijf tevens opgedragen te voldoen aan het verzoek van de klager om inzage en wissing.

Lees hier de volledige beslissing.

 

De partijen waarop de beslissing betrekking heeft, hebben 30 dagen om beroep aan te tekenen.