Rechterlijke beslissing, Gegevensbeschermingsautoriteit, 2024-08-27

Geschillenkamer
Beslissing ten gronde 108/2024 van 27 augustus 2024
Dossiernummer : DOS-2020-00072
Betreft : Verkrijging van ledenlijst in het kader van een overname door de overnemende voetbalclub en aanwending van de verkregen persoonsgegevens voor commerciële mailings
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: De heer X, hierna “de klager”
De verweerder: Y, vertegenwoordigd door raadsman Nicolas Wesling en algemeen directeur de heer […], hierna “de verweerder”
I. Feiten en procedure
1. Op 8 januari 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. Voordien had de klager het dossier reeds voor bemiddeling aan de Eerstelijnsdienst voorgelegd, maar de klager stelt dat deze bemiddelingsprocedure geen afdoende resultaat heeft opgeleverd.
2. Het voorwerp van de klacht betreft de ontvangst van een ongewenste commerciële mail verzonden op 2 oktober 2018 door de verweerder aan de klager. Naar aanleiding hiervan heeft de klager zich op 3 oktober 2018 gericht tot de verweerder met de vraag hoe zijn persoonsgegevens werden verkregen zonder zijn medeweten, aangezien hij deze nooit zelf aan de verweerder heeft gegeven. Bijgevolg verzocht hij de verweerder om inzage te verkrijgen in zijn persoonsgegevens, waarbij de klager uitdrukkelijk verzocht om mee te delen hoe de verweerder zijn persoonsgegevens heeft verkregen en op welke rechtsgrond deze worden verwerkt. Volgens de klager heeft de verweerder geen afdoende antwoord verstrekt op zijn verzoek tot inzage, maar heeft de verweerder enkel gemeld dat zijn persoonsgegevens werden gewist, hoewel de klager daar niet om heeft verzocht.
Bovendien haalt de klager aan dat toch nog ongewenste mails aan hem werden verzonden niettegenstaande de melding van gegevenswissing door de verweerder.
3. De klacht kadert binnen een faillissement waarbij de curator in eerste instantie op 8 juni 2018 een overdracht van het ledenbestand van de gefailleerde voetbalclub bewerkstelligde aan W BV, waarna het bestand vervolgens op 13 juni 2018 werd overgedragen aan de verweerder. De persoonsgegevens van de abonnees van de gefailleerde club bevonden zich reeds vóór het faillissement in de database van Z, een besloten vennootschap naar Nederlands recht, aangezien de gefailleerde club had beslist om samen te werken met Z voor wat betreft de communicatie met de supporters. De verweerder besliste op zijn beurt om de samenwerking met Z verder te zetten.
4. Op 10 februari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
5. Op 5 maart 2020 beslist de Geschillenkamer op grond van artikel 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst.
6. Op 6 maart 2020 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken.
7. Op 1 december 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit, samengevat, dat:
1. De Inspectiedienst stelt vast dat de overdracht van persoonsgegevens door W BV aan de verweerder niet rechtstreeks en formeel is gedocumenteerd zoals vereist door artikel 5.2. AVG en artikel 26.1. AVG.
2. Z kan worden beschouwd als verwerker in de zin van artikel 4. 8) AVG. Een verwerkersovereenkomst ontbreekt evenwel waardoor artikel 28.3. AVG is geschonden.
3. De verweerder heeft artikel 6 AVG geschonden bij gebrek aan een geldige grondslag zowel voor de overdracht van de persoonsgegevens van de failliete club aan de verweerder, als voor de mailing aan de abonnees van de gefailleerde club.
4. De verweerder heeft het doelbindingsbeginsel (artikel 5.1 AVG) geschonden, aangezien de verstrekking van persoonsgegevens door de curator aan een andere verwerkingsverantwoordelijke, zijnde de verweerder, niet op basis van verenigbaarheid met het verzameldoeleinde kan plaatsvinden. Het standpunt van de Inspectiedienst is gebaseerd op een visie die eerder werd ingenomen door de Nederlandse toezichthouder (Autoriteit Persoonsgegevens). De Inspectiedienst koppelt hieraan ook een schending van artikel 5.2. AVG.
5. De informatie over doorgifte aan derden in de privacy policy is onduidelijk en niet in overeenstemming met artikel 12.1. AVG. Het verslag van de Inspectiedienst stelt dat de privacy policy verwijst naar zowel de Richtlijn 95/46/EG als naar de AVG. Dit doet volgens de Inspectiedienst vermoeden dat de privacy policy dateert van de periode tussen de publicatiedatum van de AVG op 4 mei 2016 en 25 mei 2018. Het verslag vermeldt dat een hypothese is dat het privacybeleid van de failliete vennootschap werd overgenomen, zij het met vervanging van de contactgegevens.
6. De verweerder schendt de informatieplicht via de diverse privacyverklaringen op […] die niet werden gecoördineerd. Derhalve is er sprake van een schending van de artikelen 12, 13 en 14 AVG.
7. Aangaande de websites wordt vastgesteld dat de drie cookie verklaringen – die zijn te onderscheiden van de privacyverklaringen – niet zijn opgesteld in overeenstemming met de informatieplicht van de artikelen 12, 13 en 14 AVG. De toestemmingsvereiste op de websites is niet correct ingebouwd zoals vereist door artikel 7.2. en 7.3. AVG. De onderscheiden websites respecteren niet de beginselen van gegevensbescherming door ontwerp en standaardinstellingen waardoor artikel 25 AVG is geschonden. Het beginsel van opslagbeperking (artikel 5.1 e) AVG) wordt niet gerespecteerd doordat de websites cookies te lang bewaart.
8. De verklaringen inzake privacy en cookies op de websites zijn niet coherent en niet opgesteld in overeenstemming met de artikelen 5.1. a); 6; 7.3.; 12.1., 13 en 14 AVG.
9. Het recht van inzage (artikel 15 AVG) van de klager werd geschonden door de verweerder.
10. De wijze van opvragen van persoonsgegevens op de websites gebeurt niet in overeenstemming met het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG)
11. De informatie opgenomen in het register van de verwerkingsactiviteiten beantwoordt niet aan de vereisten van artikel 30.1. AVG.
12. De medewerkingsplicht is geschonden (artikel 31 AVG).
8. Op 3 maart 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 15 april 2021, deze voor de conclusie van repliek van de klager op 6 mei 2021 en deze voor de conclusie van repliek van de verweerder op 27 mei 2021.
Op 22 maart 2021 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 6 april 2021. Tevens aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak, meldt hij verweermiddelen te zullen indienen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
9. Op 15 april 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. Vooreerst zet de verweerder feitelijk en op basis van toegevoegde stukken uiteen op welke wijze hij het ledenbestand van de gefailleerde club heeft verkregen, waarbij de specifieke omstandigheden worden onderstreept, namelijk de gegevensoverdracht ingevolge faillissement met de daaropvolgende doorstart, alsook het tijdskader, namelijk het samenvallen met het van toepassing worden van de AVG. In het bijzonder voor wat betreft de verzending van e-mails aan de klager stelt de verweerder dat werd voorzien in een knop “Afmelden” en dat de mogelijke schade voor de betrokkene was beperkt tot de ontvangst van één ongewenste mail. Voor de verzending van de e-mail beroept de verweerder zich op zijn gerechtvaardigd belang. De verweerder voert aan dat zowel de privacy- als de cookieverklaring werden aangepast aan de opmerkingen van de Inspectiedienst en dat elke e-mail een link bevat die leidt naar de privacyverklaring. Tot slot merkt de verweerder op dat noch Z, noch de curator enig voorbehoud hebben geformuleerd bij de overdracht van de gegevens of de verzending van commerciële berichten naar de in het edenbestand opgenomen personen.
10. Op 3 mei 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager waarin hij benadrukt dat zijn verzoek aan de verweerder niet de verwijdering van zijn gegevens betrof, maar dat hij wel van de verweerder wenste te vernemen hoe zijn gegevens werden verkregen. Doordat de verweerder bleef weigeren...