Advies, Gegevensbeschermingsautoriteit, 2024-01-16
| Jurisdiction | Bélgica |
| Judgment Date | 16 janvier 2024 |
| ECLI | ECLI:BE:GBAPD:2024:AVIS.20240116.1 |
| Link to Original Source | https://juportal.be/content/ECLI:BE:GBAPD:2024:AVIS.20240116.1 |
| Docket Number | 07/2024 |
| Court | Gegevensbeschermingsautoriteit |
Geschillenkamer
Beslissing ten gronde 07/2024 van 16 januari 2024
Dossiernummer: DOS-2021-01224
Betreft: Klacht met betrekking tot de onrechtmatige verwerking en commercialisering van persoonsgegevens door een makelaar in persoonsgegevens
De Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna, GBA), samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Yves Poullet, leden
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klagers: [X], [...], hierna “de klagers”, vertegenwoordigd door [...], met maatschappelijke zetel te [...], ingeschreven bij de Kruispuntbank van Ondernemingen onder het nummer [...].
De verweerder: BLACK TIGER BELGIUM (voormalig BISNODE BELGIUM NV), met maatschappelijke zetel te [...], ingeschreven bij de Kruispuntbank van Ondernemingen onder het nummer [...], hierna “de verweerder”, vertegenwoordigd door meesters DOCQUIR en CORNETTE, met kantoor te [...].
I. Feiten en procedure 3
II. Motivering 9
II.1. Bevoegdheid van de Belgische Gegevensbeschermingsautoriteit 9
II.2. Omschrijving van de omstreden verwerkingsactiviteiten door de verweerder 11
II.2.1. Verwerkingsverantwoordelijkheid 12
II.2.2. Gegevensverwerking 14
II.3. Rechtmatigheid van de verwerking (artikel 5.1.a) en 5.2, alsook artikel 6.1 AVG) 16
II.3.1. Standpunt van de Inspectiedienst 16
II.3.2. Standpunt van de partijen 16
II.3.3. Oordeel van de Geschillenkamer 28
II.4. Transparantie ten aanzien van de betrokkenen (artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1, en artikel 25.1 AVG) 57
II.4.1. Standpunt van de Inspectiedienst 57
II.4.2. Standpunt van de partijen 57
II.4.3. Oordeel van de Geschillenkamer 59
II.5. Behandeling van verzoeken van betrokkenen tot uitoefening van hun rechten (artikel 12.1 en 12.2, artikel 15.1, artikel 5.2, artikel 24.1, en artikel 25.1 AVG) 68
II.5.1. Standpunt van de Inspectiedienst 68
II.5.2. Standpunt van de partijen 68
II.5.3. Oordeel van de Geschillenkamer 71
II.6. Gebruik van cookies op de websites van de verweerder (artikel 4.11), artikel 5.1.a) en 5.2, artikel 6.1.a), evenals artikel 7.1 en 7.3 AVG) 76
II.6.1. Standpunt van de Inspectiedienst 76
II.6.2. Standpunt van de verweerder 76
II.6.3. Oordeel van de Geschillenkamer 77
II.7. Verantwoordingsplicht van de verweerder (artikel 5.2, artikel 24.1, alsook artikel 25.1 en 25.2 AVG) 77
II.7.1. Standpunt van de Inspectiedienst 77
II.7.2. Standpunt van de verweerder 78
II.7.3. Oordeel van de Geschillenkamer 79
II.8. Register van verwerkingsactiviteiten (artikel 30.1, 30.2, en 30.3 AVG) 81
II.8.1. Standpunt van de Inspectiedienst 81
II.8.2. Standpunt van de verweerder 81
II.8.3. Oordeel van de Geschillenkamer 82
II.9. Betrokkenheid van de DPO (artikel 38.1 en artikel 39.1 AVG) 83
II.9.1. Standpunt van de Inspectiedienst 83
II.9.2. Standpunt van de verweerder 84
II.9.3. Oordeel van de Geschillenkamer 84
II.10. Bijkomende beschouwingen in verband met het inspectieverslag 85
III. Sancties en corrigerende maatregelen 87
III.1. Vastgestelde inbreuken 87
III.2. Maatregelen opgelegd door de Geschillenkamer 89
III.2.1. Corrigerende maatregelen om de verwerking in overeenstemming te brengen met de AVG 89
III.2.2. Administratieve boetes 91
III.3. Overige grieven 112
IV. Publicatie van de beslissing 112
Beslissing ten gronde 07/2024 - 3/114
I. Feiten en procedure
1. Het voorwerp van de klacht betreft de vermeende onrechtmatige verwerking en commercialisering van persoonsgegevens van de klagers door de voormalige NV
BISNODE BELGIUM, thans gekend onder de naam “BLACK TIGER BELGIUM”1.
2. BISNODE BELGIUM is naar eigen zeggen een direct marketing en big data specialist die reeds verschillende decennia actief is op de B2B markt in België. Tijdens meerdere jaren was deze onderneming actief op het gebied van data broking (makelaar in persoonsgegevens), waarbij BISNODE BELGIUM gegevens aankocht bij bronnen en deze gegevens verwerkte voor rekening van zijn klanten, die zelf direct marketingactiviteiten uitvoerden, hetzij voor bedrijven, hetzij voor particulieren en consumenten 2.
3. Op 23 oktober 2020 en op 27 november 2020 dienen de twee klagers, ieder afzonderlijk, een verzoek in bij de verweerder, ter uitoefening van hun recht van inzage overeenkomstig artikel 15 AVG.
4. Op 13 november 2020 en 23 december 2020 ontvangen zij elk een antwoord op hun verzoek. Beide antwoorden worden per gewone post verzonden door de verweerder, en bieden nader uitleg omtrent de verschillende bestanden waarin de persoonsgegevens van de klagers al dan niet opgenomen zijn, alsook een samenvatting van de categorieën van persoonsgegevens waarover de verweerder beschikt, de verwerkingsdoeleinden en de rechtmatigheidsgrond (artikel 6.1.f) AVG). Verder verstrekt de verweerder een lijst “van de (potentieel) betrokken sectoren” binnen dewelke bedrijven actief zijn die mogelijks persoonsgegevens van de klagers kunnen ontvangen van de verweerder. De verweerder verduidelijkt vervolgens dat de persoonsgegevens van de klagers gedurende 15 jaar vanaf de laatste registratie in zijn database bewaard blijven, en vermeldt de bronnen van de persoonsgegevens in het consumentenbestand [de onderneming Z8] resp. het bedrijvenbestand (Belgisch Staatsblad en Kruispuntbank van Ondernemingen). Tevens benadrukt de verweerder dat hij geen gebruik maakt van geautomatiseerde besluitvorming, doch het zogenaamd “marketingpotentieel” van betrokkenen beoordeelt om voor elke gebruiker een marketingsegmentatieprofiel op te stellen. De verweerder verklaart eveneens dat hij, dan wel “één van zijn klanten”, de persoonsgegevens van de klagers “in bepaalde gevallen” kan overbrengen naar landen buiten de EER. Tot slot herinnert de verweerder de klagers aan de mogelijkheid om hun andere rechten uit te oefenen en meer informatie hieromtrent te raadplegen op de website www.bisnodeenu.be alsmede van de mogelijkheid om een klacht in te dienen bij de Gegevensbeschermingsautoriteit.
5. Op 28 januari 2021 dienen de klagers een gezamenlijke klacht in bij de Gegevensbeschermingsautoriteit, tegen de verweerder. De klagers beklagen zich erover dat deze als data broker een groot aantal van hun persoonsgegevens verwerkt doch zonder hun medeweten, en dus in overtreding van artikel 13 dan wel 14 AVG, noch voorafgaande toestemming. Volgens de klagers werden deze persoonsgegevens bij verschillende partijen aangekocht, desgevallend verrijkt, en vervolgens doorverkocht aan derde partijen voor commerciële doeleinden. De klagers werpen bovendien op dat sommige persoonsgegevens meer dan 15 jaar oud zijn, en bijgevolg onjuist zijn. Daarnaast menen de klagers dat de verweerder profilering toepast op hun persoonsgegevens alvorens deze profieldata door te verkopen. Afsluitend stellen de klagers dat de verweerder artikel 12.3 AVG heeft geschonden door de gevraagde informatie op papier te verstrekken terwijl de uitoefening van hun rechten door betrokkenen noodzakelijkerwijs op elektronische wijze diende te gebeuren.
6. Op 15 maart 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
7. Op 22 maart 2021 beslist de Geschillenkamer op grond van artikelen 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst.
8. Op 24 maart 2021 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken.
9. Op 31 maart 2021 wordt BISNODE BELGIUM overgenomen door [de moedermaatschappij Z1]3 en worden de voormalige bestuurders vervangen door nieuwe bestuurders4, waaronder [...] die eveneens als voorzitster zetelt in de raad van bestuur van [de moedermaatschappij Z1]5.
10. Op 20 mei 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat de verweerder inbreuken heeft gepleegd op de volgende bepalingen van de AVG:
i. artikel 5.1.a) en 5.2, alsook artikel 6.1 AVG;
ii. artikel 12.1 en 12.2, artikel 15.1, artikel 5.2, artikel 24.1, en artikel 25.1 AVG;
iii. artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1, en artikel 25.1 AVG.
Het verslag bevat tevens vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt meer bepaald vast dat de verweerder de volgende bepalingen van de AVG heeft overtreden:
iv. artikel 4.11), artikel 5.1.a) en 5.2, artikel 6.1.a), evenals artikel 7.1 en 7.3 AVG;
v. artikel 5, artikel 24.1, alsook artikel 25.1 en 25.2 AVG;
vi. artikel 30.1, 30.2, en 30.3 AVG;
vii. artikel 38.1 en artikel 39.1 AVG.
De Inspectiedienst stelt tenslotte vast dat de verwerking van persoonsgegevens tot de kernactiviteiten van de verweerder behoort, en dat deze systematisch en op grote schaal persoonsgegevens verwerkt voor onder meer direct marketing doeleinden.
11. Op 15 juni 2021 wordt de naam van BISNODE BELGIUM gewijzigd naar BLACK TIGER BELGIUM6.
Het...
Pour continuer la lecture
SOLLICITEZ VOTRE ESSAI