De Geschillenkamer (GK) is het administratief geschillenorgaan van de GBA (artikel 32 WOG) en heeft tot taak handhavend op te treden in zaken die aan haar worden voorgelegd, op grond van een klacht van een burger en naar aanleiding van een inspectie op eigen initiatief van de GBA.


De Geschillenkamer in vogelvlucht

Ook behandelt de Geschillenkamer zaken die aan de GBA worden voorgelegd door autoriteiten in de EU-lidstaten in het kader van het één-loketmechanisme uit de AVG en waarbij de GBA leidende autoriteit of betrokken autoriteit is. De Geschillenkamer heeft hiertoe een instrumentarium ter beschikking van corrigerende maatregelen en administratieve boetes. De procedure voor de Geschillenkamer vindt plaats met in achtneming van procesrechtelijke beginselen.

De Geschillenkamer bestaat naast de voorzitter uit zes externe leden die op basis van hun bijzondere expertise door de Kamer zijn benoemd.

De Geschillenkamer heeft een unieke structuur die niet bestaat bij de markttoezichthouders in België en evenmin bij de andere privacy-toezichthouders in de EU. Deze structuur is hybride van karakter. De Geschillenkamer is een toezichtsorgaan, maar de procedure is quasi-gerechtelijk, onder meer met besluitvorming na uitwisseling van conclusies tussen partijen, en vaak ook na een hoorzitting.

Deze structuur heeft zijn waarde bewezen, vooral door beslissingen die de Geschillenkamer inmiddels heeft genomen en die beschikbaar zijn op de website van de GBA. De procedure maakt het mogelijk onpartijdig te besluiten en rechtswaarborgen in acht te nemen.


Schikkingsmechanisme

De Gegevensbeschermingswetgeving heeft krachtens de Algemene Verordening Gegevensbescherming de verplichting klachten te behandelen en, na het onderzoek van de inhoud van die klacht, passend gevolg te geven aan de klacht. De Geschillenkamer, als geschillenorgaan van de GBA, behandelt in dat kader een zeer groot aantal klachtdossiers. Een toezichthoudende autoriteit moet daarnaast effectief en daadkrachtig kunnen handhaven, zowel inzake klachtdossiers als inzake dossiers waar een orgaan van de autoriteit zelf een dossier aanhangig maakt.

Om die reden heeft de Belgische wetgever, in aanvulling van de Europese wetgeving, voorzien in een bepaald instrumentarium met bevoegdheden voor de Gegevensbeschermingsautoriteit en haar organen. Dit instrumentarium moet ervoor zorgen dat de autoriteit haar opdrachten zo goed mogelijk kan nastreven. Zo voorziet de Belgische organieke wet in zowel het artikel 95 als het artikel 100 een bevoegdheid voor de Geschillenkamer om een schikking voor te stellen. De schikking als instrument speelt een nuttige rol bij het verzekeren van de naleving van de gegevensbeschermingswetgeving, en kan in verschillende gevallen en om verschillende beleidskundige redenen worden ingezet.

In 2022 heeft de Geschillenkamer voor de eerste keer gebruik gemaakt van haar bevoegdheid inzake de schikking. In lijn met haar aanhoudend beleid om zo transparant en uitvoerig mogelijk te communiceren over haar besluitvorming en de inhoud van haar beslissingen, heeft de Geschillenkamer de schikkingsbeslissingen ook gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Met name in acht dossiers is de Geschillenkamer overgegaan tot het voorstellen van een schikking.

Na het schikkingsvoorstel hebben partijen steeds de mogelijkheid om verduidelijkingen omtrent een schikkingsvoorstel te vragen. Dit kan in bepaalde gevallen leiden tot herformuleringen in de uiteindelijke schikkingsbeslissing, en dit met betrekking tot de voorwaarden en de feitelijke kadering van de uiteindelijke schikking. De herformuleringen die tot verduidelijking van het schikkingsvoorstel dienen, prevaleren in dat geval op de formuleringen die in het initiële schikkingsvoorstel werden gedaan.

Wanneer een partij uiteindelijk het schikkingsvoorstel aanvaardt – al dan niet met de door de Geschillenkamer voorgestelde herformuleringen – wordt een formele schikkingsbeslissing genomen door de Geschillenkamer. Tegen deze beslissingen staat beroep open bij het Marktenhof voor eenieder die een belang heeft bij de effecten van deze beslissing en zich erdoor gegriefd acht.


Thematiek cookie

In 2022 kreeg de GBA expliciet de bevoegdheid om toezicht te houden op cookies. Aangezien internetgebruikers dagelijks met deze traceertechnologieën worden geconfronteerd, heeft de GBA veel aandacht aan dit onderwerp besteed, voornamelijk op gebied van haar controlebevoegdheden.  Eind 2022 kondigde de GBA aan dat zij cookies tot een van haar prioriteiten voor het jaar 2023 zou maken, mede door het ontwikkelen van preventieve acties en discussies rond de geldende regels.  

Onderzoek naar "cookies op websites van de pers"

In 2022 besloot de GBA om via haar Inspectiedienst een onderzoek in te stellen naar het gebruik van cookies op de populairste Belgische perssites. Dit resulteerde in twee beslissingen ten gronde (waarvan er één door het Marktenhof nietig werd verklaard) en acht schikkingen.

In de loop van het onderzoek van de Inspectiedienst is een aantal tekortkomingen geconstateerd met betrekking tot de toestemming voor het plaatsen van cookies :

  • Voorafgaande toestemming: cookies die niet strikt noodzakelijk zijn, werden op het apparaat van de gebruiker geplaatst, nog voordat de gebruiker daarvoor toestemming had gegeven;
  • Informatie voor de gebruiker:  de aan de gebruikers verstrekte informatie over cookies was onvolledig;
  • Ondubbelzinnige toestemming: de vakjes voor toestemming voor de installatie van cookies door derde partijen waren reeds vooraf aangekruist. Toestemming moet het gevolg zijn van een actieve handeling en kan dus niet worden beschouwd als "standaard" gegeven.

De Geschillenkamer heeft vervolgens verschillende van deze bevindingen in een van haar zaken bevestigd. Zij bevestigde inderdaad dat de wet bepaalt dat het plaatsen van statistische cookies zonder geldige toestemming in beginsel niet is toegestaan. De Geschillenkamer moest er ook aan herinneren dat het feit dat een andere verwerkingsverantwoordelijke ook verantwoordelijk is voor een verwerking op een website - zoals het plaatsen van cookies - de aanbieder van de website niet ontslaat van zijn verantwoordelijkheid als verwerkingsverantwoordelijke.

Beslissingen Geschillenkamer:

In 2022 deed de Geschillenkamer een aantal uitspraken over het gebruik van cookies of soortgelijke technologieën. Er werden 8 schikkingsbeslissigen en 6 besissingen ten gronde genomen.

Schikkingsbeslissingen:

Beslissingen ten gronde


IAB Europe

In 2019 ontving de GBA een reeks klachten van andere toezichthoudende autoriteiten, gericht tegen de organisatie Interactive Advertising Bureau Europe (IAB Europe), met betrekking tot de overeenstemming van het zogenaamde Transparency & Consent Framework (TCF) met de AVG.  Aangezien de verwerende partij in Brussel is gevestigd, treedt de GBA op als toezichthoudende autoriteit.

Het TCF, dat door IAB Europe is ontwikkeld, beoogt bij te dragen tot de naleving van de AVG door organisaties die vertrouwen op het OpenRTB-protocol, één van de meest gebruikte protocollen voor "Real Time Bidding", d.w.z. de ogenblikkelijke, geautomatiseerde online veiling van gebruikersprofielen voor het verkopen en het aankopen van advertentieruimte op het internet. Door middel van het OpenRTB kunnen technologiebedrijven die duizenden adverteerders vertegenwoordigen ogenblikkelijk ("in real time") achter de schermen op die advertentieruimte bieden, via een geautomatiseerd veilingssysteem dat algoritmes gebruikt om gerichte, specifiek op het profiel van de gebruikers afgestemde advertenties te laten zien.

Wanneer gebruikers voor het eerst een website of applicatie bezoeken die gebruik maakt van het TCF, verschijnt een interface aangeboden door een consent management platform (CMP) waar ze hun toestemming kunnen geven voor het verzamelen en delen van hun persoonsgegevens, of bezwaar kunnen maken tegen verschillende soorten van gegevensverwerkingen op basis van de gerechtvaardigde belangen van adtech-verkopers.

Zodus vergemakkelijkt het TCF het vastleggen, via het CMP, van de voorkeuren van de gebruikers. Deze voorkeuren worden gecodeerd en opgeslagen in een Transparency & Consent (TC) String, die vervolgens wordt gedeeld met de deelnemende organisaties die zich hebben aangesloten aan het TCF, zodat zij te weten kunnen komen waarvoor de specifieke gebruiker toestemming heeft gegeven of waartegen hij bezwaar heeft gemaakt. Om de TC String te kunnen bewaren plaatst het CMP ook een euconsent-v2 cookie op het toestel van de gebruiker. Hierbij worden de TC string en de euconsent-v2 cookie eveneens gekoppeld aan het IP-adres van de betrokkene wiens voorkeuren gecapteerd werden, met als gevolg dat de gebruiker identificeerbaar wordt.

Het TCF speelt dus een sleutelrol in de architectuur van het OpenRTB-systeem, door de gebruikersvoorkeuren weer te geven met betrekking tot potentiële adtech spelers en verschillende verwerkingsdoeleinden, met inbegrip van het aanbieden van advertenties op maat. Om die reden heeft de Geschillenkamer vastgesteld dat IAB Europe als verwerkingsverantwoordelijke optreedt met betrekking tot de captatie van de voorkeuren van individuele gebruikers onder de vorm van een TC String, die gekoppeld is aan een identificeerbare gebruiker.

Daarnaast stelde de Geschillenkamer een reeks inbreuken op de AVG vast, door IAB Europe :

  • het gebrek aan rechtsgrondslag voor de verwerking van de TC String, en het aanbieden van ontoereikende rechtsgronden door het TCF, voor de verdere verwerking van de verzamelde persoonsgegevens door adtech-spelers;
  • een gebrek aan duidelijke en specifieke informatie die via de CMP-interface aan gebruikers wordt verstrekt over de gegevensverwerking, waardoor zij niet in staat zijn om de aard, omvang en gevolgen van de verwerking te begrijpen;
  • een gebrek aan passende organisatorische en technische maatregelen, in overeenstemming met het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen, teneinde onder meer de effectieve uitoefening van de rechten van de betrokkenen te waarborgen alsook om de geldigheid en integriteit van de keuzes van de gebruikers te controleren;
  • het nalaten om een register van verwerkingsactiviteiten bij te houden, een DPO aan te stellen en een "DPIA" uit te voeren.

Ingevolge deze inbreuken en omdat het TCF kan leiden tot een verlies van controle over hun persoonsgegevens door grote groepen burgers, heeft de Geschillenkamer in haar beslissing 21/2022 van 2 februari 2022 besloten om administratieve boete van 250.000 EUR op te leggen aan IAB Europe. Daarnaast heeft de Geschillenkamer bevolen dat IAB Europe binnen de twee maanden na haar beslissing een actieplan zou indienen voor de uitvoering van corrigerende maatregelen.

Op 4 maart 2022 tekende IAB Europe beroep aan tegen de voornoemde beslissing, bij het Marktenhof. Begin april deelde IAB Europe haar vertrouwelijk actieplan mee aan de Geschillenkamer.

Op 7 september 2022 besloot het Marktenhof, alvorens uitspraak te doen over de grond van de zaak, om mede op verzoek van de partijen een reeks prejudiciële vragen te stellen aan het Hof van Justitie van de Europese Unie. De vragen betreffen de hoedanigheid van IAB Europe als (mede)verantwoordelijke voor de verwerkingen van persoonsgegevens in het kader van het TCF, en de vraag of de TC String als een persoonsgegeven kan worden beschouwd.

Van belang hierbij is dat het Marktenhof, integendeel tot wat vervolgens beweerd zou worden door IAB Europe, de beslissing van de Geschillenkamer niet heeft vernietigd noch opgeschorst. Hierdoor blijft de beslissing met andere woorden vooralsnog overeind en blijft ze dus bestaan in het rechtsverkeer. Omdat de Geschillenkamer haar beslissing nog steeds mag uitvoeren indien ze niet vernietigd werd en niet opgeschort is, besloot de voorzitter van Geschillenkamer om IAB Europe op 11 januari 2023 formeel in kennis te stellen van de validatie van het actieplan, met inachtneming van enkele bevindingen door de Geschillenkamer en onder algemeen voorbehoud van de bevoegdheden van de GBA als toezichthouder. Ingevolge deze validatie kreeg IAB Europe 6 maanden de tijd om de voorgestelde maatregelen door te voeren.

Op 8 en 10 februari 2023 stelden de klagers resp. IAB Europe beroep in bij het Marktenhof  tegen deze validatie. In het kader van deze beroepen besluit de Geschillenkamer op 6 maart 2023 om de implementatie van het actieplan te schorsen tot de dag van het arrest van het Marktenhof over de wettigheid van de voornoemde validatie.

Het is nog afwachten wanneer de zaak zal bepleit worden voor het Hof van Justitie, waarna een eindarrest van het Marktenhof nog zal moeten volgen.


Luchthaven Brussels Airport Zaventem en Brussels South Charleroi

De GBA heeft boetes opgelegd aan Brussels Airport Zaventem en Brussels South Charleroi voor temperatuurcontroles van passagiers ter bestrijding van COVID-19. Voor de GBA hadden de luchthavens geen geldige rechtsgrond om deze gezondheidgegevens van de reizigers te verwerken.

In beide luchthavens werd met thermische camera's gecontroleerd welke personen een temperatuur van meer dan 38°C hadden. In Zaventem kregen die personen dan een vragenlijst in te vullen over mogelijke symptomen in verband met het coronavirus. De bedoeling was dat mensen met een bevestigde temperatuur van meer dan 38°C niet aan boord mochten.

Deze temperatuurcontroles hebben plaatsgevonden van juni 2020 tot maart 2021 in het geval van de luchthaven van Charleroi, en van juni 2020 tot januari 2021 in het geval van de luchthaven van Zaventem.

Op het einde van haar analyse stelde de Geschillenkamer vast, met het verslag van de Inspectiedienst ter ondersteuning, dat de luchthavens geen geldige rechtsgrond hadden om  gegevens betreffende de temperatuur van de reizigers te verwerken, met name omdat het over gezondheidsgegevens gaat. Aangezien dit gevoelige gegevens zijn, mogen zij in principe niet worden verwerkt, behalve in een zeer beperkt aantal uitzonderingsgevallen (opgesomd in artikel 9, lid 2, van de AVG). Een verwerking om redenen van volksgezondheid of zwaarwegend algemeen belang is bijvoorbeeld een van die uitzonderingen, op voorwaarde dat zij is gebaseerd op een duidelijke en nauwkeurige rechtsnorm waarvan de toepassing voorspelbaar is voor de betrokkenen. De temperatuurcontroles waren hier echter gebaseerd op een protocol, dat niet aan deze vereisten voldoet.

Bovendien heeft de GBA schendingen vastgesteld op het gebied van de informatieverstrekking aan de reizigers en de kwaliteit van de effectbeoordelingen (dat wil zeggen de analyse van de risico's in verband met gegevensverwerking).

De GBA erkende de moeilijke situatie waarin luchthavens zich als gevolg van de pandemie bevonden, maar herinnerde eraan dat de regels inzake privacy en gegevensbescherming een essentiële bescherming van de rechten en vrijheden van personen inhouden, in het bijzonder tijdens een gezondheidscrisis. Zij hoopt dat deze twee beslissingen als leidraad kunnen dienen voor toekomstige soortgelijke gegevensverwerkingen, al dan niet in het kader van de gezondheidscrisis.

De GBA heeft elk van de betrokken partijen een boete opgelegd. Deze boete werd verlaagd of ingetrokken door het hof van beroep, dat niettemin de vaststellingen van overtredingen, met inbegrip van de geldigheid van de rechtmatigheidsgrondslag, ten aanzien van de twee luchthavens handhaafde.


Rechtspraak

Marktenhof

Tegen de beslissingen van de Geschillenkamer van de GBA kan overeenkomstig artikel 108, §2 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG) beroep worden ingesteld bij het Hof van Beroep te Brussel, sectie Marktenhof. De GBA publiceert omwille van transparantie alle door het Marktenhof gewezen arresten op haar website. 

In 2022 werden 16 nieuwe beroepen ingesteld tegen beslissingen van de Geschillenkamer. Tevens deed het Marktenhof in 2022 uitspraak in 13 beroepsprocedures, waarbij 8 eindarresten en 5 tussenarresten werden gewezen en waarbij 6 beslissingen – geheel dan wel gedeeltelijk – werden vernietigd. 

Het Marktenhof legt in haar rechtspraak de nadruk op procedurele aspecten van de geschillenprocedure bij de Geschillenkamer. Ook in 2022 werden vernietigingsarresten gewezen op basis van procedurele gronden. Zo wees het Marktenhof op de motiveringsplicht en vernietigde deels een aantal beslissingen van de Geschillenkamer omdat de motivering van de beslissingen in kwestie ten onrechte geen of alleszins onvoldoende rekening heeft gehouden met verschillende verzachtende omstandigheden uit artikel 83 AVG bij de beoordeling of een administratieve geldboete vereist is (2022/AR/560 & 2022/AR/564 en 2022/AR/556). Verwijzingen in een beslissing van de Geschillenkamer naar een reeds door het Marktenhof vernietigde beslissing maakte eveneens een schending van de motiveringsplicht uit (2022/AR/483 & 2022/AR/484). Het Marktenhof wees eveneens op het waarborgen van de rechten van verdediging. Zij oordeelde dat bij de procedure voor de Geschillenkamer de verweerder diende in kennis gesteld te worden van de hem verweten inbreuken en wat die inbreuken dan zouden zijn (2022/AR/42 en 2022/AR/457).

Verder verduidelijkte het Marktenhof dat zij enkel rechtsmacht heeft om te oordelen over beslissingen van de Geschillenkamer, en niet over persberichten uitgegeven door leden van de GBA, al dient uiteraard de subjectieve en objectieve onpartijdigheid gewaarborgd te worden (2022/AR/560 & 2022/AR/564 en 2022/AR/556. Eveneens bevestigde het Marktenhof dat de autonomie en de onafhankelijkheid van de Geschillenkamer niet beperkt mogen worden tot hetgeen vermeld staat in het Inspectieverslag voor wat betreft het vaststellen van eventuele inbreuken en het opleggen van eventuele sancties (2022/AR/560 & 2022/AR/564 en 2022/AR/556).

Het Marktenhof sprak zich eveneens uit over de samenstelling van de Geschillenkamer. Het Marktenhof stelde dat de Geschillenkamer op collegiale wijze zetelt zodat elke onregelmatigheid inzake benoeming of zelfs vooringenomenheid in hoofde van een lid de wettigheid van de beslissing niet heeft kunnen beïnvloeden (2022/AR/560 & 2022/AR/564). De verzoeker dient een eventuele schending van de onafhankelijkheid of partijdigheid van een van de leden van de Geschillenkamer aan te tonen (2022/AR/556). Verder wees de Geschillenkamer erop dat de voorzitter niet discretionair kan beslissen om de behandeling van een zaak te de-collegialiseren, maar dit dient te doen rekening houdend met twee criteria: a) de aard van de klacht, en b) de inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens (artikel 43 Reglement van Interne Orde). De voorzitter kan dan ook enkel op basis van dezelfde twee criteria beslissen om te de-collegialiseren en dus alleen te zetelen. Deze beslissing kan niet gesteund worden op andere criteria (2022/AR/457).

Het Marktenhof herinnerde er ook aan dat een beroep voor het Marktenhof te onderscheiden is van een “gewoon beroep” (2022/AR/556). De volle rechtsmacht van het Marktenhof betekent dat zij niet alleen beslissingen van de Geschillenkamer kan vernietigen, maar ook kan hervormen (2022/AR/556 en 2022/AR/42).  Zij wees erop dat het uitoefenen van de volle rechtsmacht geen verplichting in haar hoofde uitmaakt, maar wel een mogelijkheid (2022/AR/42). In het arrest 2022/AR/42 heeft het Marktenhof gesteld dat zij haar volle rechtsmacht in casu niet uitoefende wegens de afwezigheid van de klager in de beroepsprocedure.

Het Marktenhof verklaarde verder een beroep van de verweerder tegen een sepotbeslissing van de Geschillenkamer onontvankelijk wegens een gebrek aan belang in hoofde van de appellerende partij. In een ander geval ging het Marktenhof niet in op het verzoek van de appellerende partij tot schorsing van een beslissing van de GBA. Dit was het geval in de zaak Stad Kortrijk t. GBA 2022/AR/457 in het kader waarvan Stad Kortrijk het Marktenhof had de vordering tot opschorting van de beslissing van de GBA gevorderd. Het Marktenhof oordeelde dat de Stad Kortrijk in de dagvaarding, syntheseconclusies en stukken niet aantoonde dat zij een ernstig en onherstelbaar nadeel zou lijden indien zij de uitkomst van het annulatieberoep bij het Marktenhof zou moeten afwachten. Derhalve had zij het spoedeisend karakter van haar zaak niet aangetoond.

In het kader van twee van de ingestelde beroepen richtte het Marktenhof, op verzoek van de GBA, in 2022 alvorens recht te doen een prejudiciële vraag aan het Hof van Justitie van de Europese Unie met betrekking tot de interpretatie van de Algemene Verordening Gegevensbescherming. Het Marktenhof deed zulks meer bepaald in de zaak ‘Moniteur belge’ (2021/AR/657) die betrekking heeft op kwalificatie als verwerkingsverantwoordelijke van de Belgische Staat in het kader van publicaties van notariële uittreksels in het Belgisch Staatsblad.  Voormelde zaak is momenteel nog hangende voor het Hof van Justitie onder het nummer C-231/22. De andere zaak waarin een prejudiciële vraag werd gesteld aan het Hof van Justitie betreft de zaak IAB t. GBA (2022/AR/292). In deze zaak hebben de gestelde prejudiciële vragen betrekking op de basisbegrippen uit de AVG ‘persoonsgegevens’ en ‘verwerkingsverantwoordelijke’. Ook deze zaak is momenteel nog hangende voor het Hof van Justitie onder het nummer C-604/22.

Hof van Justitie van de Europese Unie

Het Hof van Justitie van de Europese Unie (HvJ-EU) heeft zich in arrest van 27 oktober 2022 uitgesproken over vragen die door het Marktenhof waren gesteld in het kader van een zaak over Proximus, die had geleid tot een beslissing van de Geschillenkamer van de GBA over de manier waarop toestemming voor vermelding in telefoongidsen kan worden ingetrokken.

Het Hof heeft het volgende geoordeeld: “Wanneer verschillende  verwerkingsverantwoordelijken zich baseren op de eenmalige toestemming van de betrokkene, volstaat het dat de betrokkene zich wendt tot een van de verwerkingsverantwoordelijken om zijn toestemming in te trekken.” Het Hof volgt dus de interpretatie van de GBA. Meer bepaald is het Hof van Justitie van oordeel:

  • dat toestemming vereist is om de persoonsgegevens van een abonnee van telecommunicatiediensten in openbare telefoongidsen/inlichtingendiensten op te nemen;
  • dat een abonnee die verzoekt om verwijdering van zijn gegevens uit telefoongidsen een “recht op gegevenswissing” in de zin van de AVG uitoefent;
  • dat mag worden geëist dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treft om derden (namelijk de telecommunicatieoperator van de abonnee, en de andere aanbieders van telefoongidsen aan wie hij de gegevens van de abonnee heeft doorgegeven) in te lichten over de intrekking van de toestemming van de abonnee;
  • dat van de aanbieder van telefoongidsen kan worden verlangd dat hij redelijke maatregelen treft om zoekmachines in kennis te stellen van het verzoek om wissing van de gegevens van de abonnee.

Met behulp van de antwoorden in het arrest van het HvJ-EU zal het Marktenhof zich nu kunnen uitspreken over het door Proximus ingestelde beroep tegen beslissing 42/2020 van de GBA.


Het éénnloketmechanisme

Het éénloketmechanisme (of "One-Stop-Shop") is ingevoerd door de AVG, met als doel de beslissingen van de verschillende Europese nationale beschermingsautoriteiten voor grensoverschrijdende verwerking te harmoniseren. Er is sprake van grensoverschrijdende verwerkingen wanneer een verwerkingsverantwoordelijke (of verwerker) met vestigingen in verschillende lidstaten van de EU, gegevens verwerkt van personen die in verschillende lidstaten wonen, of wanneer de verwerkingsverantwoordelijke slechts in één lidstaat gevestigd is, maar de verwerking in kwestie waarschijnlijk gevolgen heeft voor personen die in verschillende lidstaten wonen.

Voor de burger heeft dit mechanisme het voordeel dat hij een klacht kan indienen in zijn eigen taal bij de gegevensbeschermingsautoriteit van het land waar hij woont, en dat deze autoriteit tijdens de procedure zijn aanspreekpunt is (en niet de gegevensbeschermingsautoriteit van het land van herkomst van de verwerkingsverantwoordelijke). Op het niveau van de verwerkingsverantwoordelijke maakt dit éénloketsysteem het mogelijk dat een enkele gegevensbeschermingsautoriteit het contactpunt voor een doeltreffend toezicht op de naleving van de AVG.

In de praktijk zal voor het onderzoek van een klacht een instantie worden aangewezen als "leider” die een beslissing zal opstellen die dan aan de andere betrokken instanties wordt voorgelegd. Zij kunnen opmerkingen maken of zich tegen het ontwerp verzetten. Bij uitblijven van overeenstemming tussen de autoriteiten beslist het Europees Comité voor gegevensbescherming (EDPB) over de geschilpunten op basis van artikel 65 van de AVG.

Zo heeft de EDPB op 5 december 2022 bindende beslissingen genomen over een ontwerpbeslissing van de Ierse beschermingsautoriteit tegen Meta (meer bepaald haar Facebook- en Instagram-diensten) na bezwaren van verschillende autoriteiten. In zijn beslissingen stelde de EDPB dat Meta IE zich ten onrechte baseerde op de overeenkomst als rechtsgrondslag voor de verwerking van persoonsgegevens in het kader van de gebruiksvoorwaarden van Facebook en Instagram voor reclame op bais van surfgedrag.

De EDPB stelde bijgevolg vast dat Meta geen rechtsgrondslag had voor deze verwerking en verzocht de Ierse autoriteit Meta te gelasten haar verwerking in overeenstemming te brengen met artikel 6(1) van de AVG. Bovendien stelde de EDPB vast dat de ernstige schendingen van de transparantieverplichtingen door Meta gevolgen hadden voor de redelijke verwachtingen van de gebruikers, dat Meta haar diensten op een misleidende manier aan de gebruikers had voorgesteld en dat de relatie tussen Meta en de gebruikers van de Facebook- en Instagram-diensten onevenwichtig was.  De EDPB heeft de Ierse autoriteit opgedragen haar beslissing te wijzigen en aanzienlijk hogere boetes op te leggen. De GBA nam actief deel aan de besprekingen rond de aanneming van deze bindend beslissing.

In 2022 heeft de Geschillenkamer GBA onder meer de volgende éénloketbeslissingen genomen:

  • beslissing 21/2022 betreffende het Transparency and Consent Framework van IAB Europe (over reclame op basis van surfgedrag), een proces waaraan 21 andere Europese gegevensbeschermingsautoriteiten hebben deelgenomen, gezien de gevolgen van de betrokken verwerkingen voor de burgers in hun respectieve lidstaten.
  • beslissing 11/2022 (over cookies) waarin een gemeenschappelijk standpunt werd bereikt, nadat een betrokken autoriteit bezwaren had ingediend.
  • beslissing 13/2022 (over online politieke profilering) die ook is genomen na overleg op grond van het Europese samenwerkingsmechanisme.

De Geschillenkamer heeft ook klachten doorgegeven die bij de GBA zijn ingediend, maar waarvoor een andere beschermingsautoriteit bevoegd was, op basis van de in de AVG vastgelegde criteria.


Verwezenlijkingen in cijfers

De Geschillenkamer publiceerde 189 beslissingen in 2022. Onderstaande grafiek toont de lange duur van een procedure aan. Ze geeft het aantal beslissingen per jaar weer met inzicht in het startjaar van de dossiers aan de basis van de beslissingen.

Evolutie aantal beslissingen Geschillenkamer
Jaar Startjaar dossiers : 2018 Startjaar dossiers : 2019 Startjaar dossiers : 2020 Startjaardossiers : 2021 Startjaardossiers : 2022
Beslissingen 2018 13 0 0 0 0
Beslissingen 2019 14 26 0 0 0
Beslissingen 2020 11 40 32 0 0
Beslissingen 2021 5 33 62 43 0
Beslissingen 2022 10 12 46 72 49

Aard van de behandelde dossiers die aanleiding gaven tot de beslissingen:

  • 174 (nationale) klachtdossiers
  • 1 gegevenslekkendossiers
  • 12 inspectiedossier op eigen initiatief
  • 3 monitoringsdossiers
  • 5 internationale klachten waarvoor GBA bevoegd is

De 189 beslissingen gaven aanleiding tot volgende sancties:

Ten gronde

Aantal sancties

Light Aantal sancties
Art. 100. §1,1° 21 Art. 95. §1,2° 0
Art. 100. §1,2° 4 Art. 95. §1,3° 80
Art. 100. §1,3° 0 Art. 95. §1,4° 27
Art. 100. §1,4° 8 Art. 95. §1,5° 42
Art. 100. §1,5° 31 Art. 95. §1,6° 0
Art. 100. §1,6° 0 Art. 95. §1,7° 0
Art. 100. §1,7° 0    
Art. 100. §1,8° 1    
Art. 100. §1,9° 16    
Art. 100. §1,10° 1    
Art. 100. §1,11° 0    
Art. 100. §1,12° 0    
Art. 100. §1,13° 13    
Art. 100. §1,14° 0    
Art. 100. §1,15° 0    

In totaal werd 738.900 € aan boetes opgelegd.

Naast de eigen beslissingen werkt de Geschillenkamer ook mee aan beslissingen van andere Europese data protection authorities. Zo werkte de Geschillenkamer in 2022 ook mee aan 4 informatiedossiers en 71 klachten op internationaal niveau, waarin de GBA “betrokken autoriteit” (CSA) was. Medewerkers van de Geschillenkamer waren ook nauw betrokken bij de ontwikkeling van de Europese handhavingssamenwerking in de EDPB.

In 2022 werden (bij het Marktenhof) 16 nieuwe beroepen ingesteld tegen beslissingen van de Geschillenkamer. Tevens deed het Marktenhof in 2021 uitspraak in 14 beroepsprocedures, waarbij 9 eindarresten en 5 tussenarresten werden gewezen en waarbij 8 beslissingen – geheel dan wel gedeeltelijk – werden vernietigd.