Een plaatsvervangend lid van de Provinciale Geneeskundige Commissie (PGC) Limburg verloor zijn functie als lid van deze commissie zonder dat hij duidelijkheid ontving omtrent de reden. Om meer informatie te bekomen verzocht hij de FOD Volksgezondheid om inzage te verkrijgen in de gegevens die van hem verwerkt werden, zodat hij inzage zou kunnen krijgen in het dossier dat aan de basis van deze beslissing lag. De inzage werd hem echter niet verleend.
Context
Weigering verzoek tot inzage
Rechtsgrond
Artikel 12.3 GDPR: “De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.”
Artikel 12.4 GDPR: “Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen.”
Artikel 15 GDPR: “De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.”
Feiten
Vermits uit de feiten blijkt dat de Federale Overheidsdienst Volksgezondheid op geen enkel moment is ingegaan op het verzoek van het ex-lid om hem inzage te verlenen in zijn persoonsgegevens, is de Geschillenkamer van oordeel dat de inbreuk op art. 12.3. en 12.4. GDPR, alsook art. 15 GDPR is bewezen.
Het staat bijgevolg vast dat de FOD Volksgezondheid een reeks van fouten heeft begaan. Zo heeft de FOD Volksgezondheid zeer onzorgvuldig gehandeld ten opzichte van het ex-lid door de beslissing om hem aan te stellen als plaatsvervangend lid PGC Limburg te publiceren in het Belgisch Staatsblad en deze meteen, eveneens via publicatie in het Belgisch Staatsblad, te herroepen, met reputatieschade in hoofde van het ex-lid tot gevolg.
Ook werd het ex-lid in volstrekte onwetendheid gelaten over de oorzaak hiervan door het uitblijven van ook maar enige reactie vanwege de FOD Volksgezondheid op het verzoek van het ex-lid tot inzage in zijn dossier.
Gelet op de speciale hoedanigheid van de FOD Volksgezondheid werd de beslissing gepubliceerd op de website van de GBA met vermelding van de identificatiegegevens van de FOD Volksgezondheid.
Op het verzoek van het ex-lid om hem een schadevergoeding toe te kennen, alsook op diens verzoek om weer opgenomen te worden als lid van PGC Limburg, kon de Geschillenkamer niet ingaan vermits zij niet over die bevoegdheid beschikt.
De Geschillenkamer spreekt zich immers enkel uit over de naleving van de gegevensbescherming, in voorliggend geval over het al dan niet eerbiedigen van het recht van inzage. Het komt geenszins toe aan de Geschillenkamer om te oordelen of de intrekking van de benoeming van het ex-lid als plaatsvervangend lid van de PGC Limburg al dan niet terecht is gebeurd.
Uitspraak
De Geschillenkamer besluit de FOD Volksgezondheid een berisping op te leggen.
Onze mening
Het is zeer belangrijk om steeds gevolg te geven aan verzoeken van betrokkenen, zoals het recht op inzage, binnen de maand na ontvangst van het verzoek. Dit wil niet zeggen dat men als verwerkingsverantwoordelijke steeds akkoord moet gaan met dergelijke verzoeken, maar men moet wel minstens steeds op gemotiveerde wijze reageren waarom men een verzoek al dan niet inwilligt. Het uitblijven van enige reactie binnen de maand na ontvangst van het verzoek, levert automatisch een inbreuk op.
Redenen om bepaalde verzoeken niet in te willigen zijn bijvoorbeeld omdat dit noodzakelijk is voor de bescherming van de openbare veiligheid in een democratische samenleving, of voor de voorkoming, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Van dergelijke redenen was er in deze zaak geen sprake.
Definitief?
Een hoger beroep werd bij het Marktenhof ingesteld. Het Marktenhof velde een arrest op 23 oktober 2019.
Het Marktenhof besloot de beslissing van de Gegevensbeschermingsautoriteit te verbreken wegens motiveringsgebreken en machtsoverschrijding. De Gegevensbeschermingsautoriteit nam haar beslissing namelijk onder andere gebaseerd op het waardeoordeel omtrent de intrekking van de benoeming, hetgeen niet onder de bevoegdheden van de Gegevensbeschermingsautoriteit viel.
Integrale beslissing