De eerste Belgische GDPR-sanctie is genomen

De kop is er af! De Gegevensbeschermingsautoriteit, hierna de GBA, heeft bij beslissing 04/2019 dd. 28 mei 2019 een eerste administratieve geldboete, wegens het niet respecteren van de GDPR, opgelegd.

Bespreking van de feiten.

Eind december 2018 werd een klacht tegen een natuurlijk persoon in zijn hoedanigheid als burgemeester bij de GBA neergelegd wegens het versturen van elektronische verkiezingspropaganda naar de e-mailadressen van burgers. De burgemeester had deze e-mailadressen verkregen via een architecte die, namens de burgers, verzocht een afspraak te beleggen ten einde een verkavelingswijziging te bespreken.

Hierbij werden de e-mailadressen van de burgers vermeld. Daags voor de gemeenteraadsverkiezingen van 2018 heeft de burgemeester op de mail geantwoord met verkiezingspropaganda.

Ingevolge hebben de burgers, elk apart, op 12 december 2018 klacht neergelegd en heeft de GBA de zaak in behandeling genomen.

Na het doorlopen van de procedure met mogelijkheden voor de burgemeester, als verweerder, om zijn verweer ter kennis te brengen en gehoord te worden op een ingestelde hoorzitting, heeft de GBA geoordeeld om een administratieve geldboete ten bedrage van 2.000,00 EUR op te leggen wegens inbreuk op de GDPR.

Meer bepaald wegens het gebruik of de verwerking van persoonsgegevens voor andere doeleinden dan deze waarvoor de persoonsgegevens aanvankelijk verzameld zijn geweest

Bespreking van de beslissing.

1.

Vooreerst is het belangrijk om te duiden dat een e-mailadres, aan de hand waarvan een natuurlijk persoon geïdentificeerd wordt of kan worden, een persoonsgegeven betreft. In casu, zijn deze voormelde e-mailadressen opgeslagen geweest in een bestand (mailprogramma, lijst, adresboek, … ) waardoor de GDPR van toepassing is.

Uit een lezing van de beslissing kan worden verstaan dat de burgemeester verschillende middelen ter verdediging heeft opgeworpen, in concreto wordt er gesteld dat er te goeder trouw gehandeld geweest is, de e-mail verstuurd is geweest naar aanleiding van een huisbezoek, er geen sanctie mogelijk is wegens een eerdere beslissing van de Raad van Verkiezingsbetwistingen, er niet gehandeld geweest is met oogmerk om de regelgeving te schenden, het een nalatigheid betreft en een beperkte ernst van de feiten.

Geen enkel van de aangehaalde middelen is relevant geweest voor de verdediging van de burgemeester.

Immers is de vervolging van de burgemeester gebaseerd op de schending van het finaliteitscriterium, namelijk het gebruiken van persoonsgegevens voor andere, niet verenigbare doeleinden, dan deze waarvoor ze verzameld geweest zijn.

Zoals hierboven gesteld heeft de burgermeester bij de uitoefening van zijn mandaat verschillende e-mailadressen verzameld en deze gebruikt voor zijn persoonlijke ambitie om opnieuw verkozen te worden.

Opmerking:

Het gebruik van de terminologie in de beslissing is verwarrend.

Bij lezing wordt de indruk gewekt dat de burgemeester gehandeld heeft als overheidsmandataris en niet als verkiezingskandidaat. Dit onderscheid is belangrijk gezien de nieuwe Belgische Privacywet bepaalt dat de GBA de overheid en haar aangestelden of gemachtigden geen administratieve geldboete kan opleggen.

2.

Opvallend is dat de GBA geen vervolging ingesteld heeft wegens de miskenning van de transparantieverplichting ten aanzien van de burgers, noch heeft zij deze meegenomen in haar overweging ter bepaling van de administratieve geldboete.

Niet enkel zijn de persoonsgegevens van de burgers gebruikt voor een onverenigbare activiteit, maar zijn de rechten van de burgers tevens miskend geweest. Zij waren immers niet op de hoogte van de verwerking van hun persoonsgegevens, noch waren zij geïnformeerd over hun rechten. Deze schending zou nochtans een verzwarend element kunnen uitmaken.

Beroepsmogelijkheden?

Beslissingen van de GBA kunnen worden betwist voor het Marktenhof, dit binnen de 30 dagen, vanaf de kennisgeving van de beslissing.

Het Marktenhof is een gespecialiseerde kamer, samengesteld uit minstens 6 raadsheren, binnen het Hof van Beroep te Brussel waar onder meer zaken betreffende mededinging, toezicht op de financiële sector en de financiële diensten, openbare overnamebiedingen, de organisatie van de elektriciteitsmarkt, enz behandeld worden.

Belangrijk is dat het Marktenhof uitspraak doet in eerste en laatste aanleg.

Noot.

Een interessant middel die de burgemeester zou kunnen opwerpen is dat de persoonsgegevens van de burgers rechtmatig verwerkt geweest zijn op grond van het gerechtvaardigd belang (art 6.1.f GDPR en overweging 47 GDPR), waarbij een belangenafweging is gemaakt tussen het belang van de burgemeester en de rechten van de betrokkene.

Ongetwijfeld zou de GBA een beslissing genomen hebben die in lijn ligt van haar juridische nota betreffende de verkiezingen. De GBA stelt immers dat “het versturen van elektronische berichten op de terminals (telefoon, pc) van de betrokkene is immers bijzonder indringend, waardoor de belangen of grondrechten en de fundamentele vrijheden van de betrokkene in beginsel zwaarder doorwegen dan de gerechtvaardigde belangen van de verwerkingsverantwoordelijke.”

Gezien de beperkte rechtspraak omtrent de belangenafweging binnen art. 6.1.f GDPR zou een inhoudelijke beslissing van de GBA, in de hypothese dat zij haar eigen richtlijnen volgt, interessant zijn om aan het Marktenhof voor te leggen.

Besluit.

Ondanks de mogelijke maximumboete voor de weerhouden schending van het finaliteitsbeginsel en eigenlijk ook de schending van het transparantiebeginsel, is de geldboete eerder beperkt gebleven. De GBA heeft duidelijk rekening gehouden met de “omstandigheden van het concrete geval” en de “evenredigheid” bij de bepaling van hoogte van de administratieve geldboete.

Belangrijk is dat de eerste beslissing van de GBA tot het opleggen van een administratieve geldboete is genomen. Na een jaar van gedogen en sensibiliseren kan deze beslissing zeker gelden als wake-up-call dat de GDPR ernstig genomen moet worden en GBA effectief een handhavingsbeleid voert.

In dit kader is het toepasselijk om de Voorzitter van Gegevensbeschermingsautoriteit, David Stevens, te citeren “Tijd van sit back and relax over GDPR is voorbij”.

Wenst u meer informatie over de GDPR en het handhavingsbeleid, aarzel niet om ons te contacteren, maarten.verhaghe@vdvadvocaten.be