Betreft
Een ex-koppel correspondeerde met elkaar via mail omtrent de kosten voor alimentatie. Beide partners gebruiken hiervoor hun professioneel e-mailadres. De man verzoekt zijn ex-vrouw om het professioneel e-mailadres niet meer te gebruiken, maar mevrouw gaat hier niet op in.
Context
Mailwisseling tussen ex-partners via een professioneel e-mailadres
Rechtsgrond
Artikel 5.1 GDPR: “Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid”);
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen („opslagbeperking”);
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging („integriteit en vertrouwelijkheid”).”
Artikel 6.1. a) en c) GDPR: “De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
(…)
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust.”
Artikel 9.1. en 2.f) GDPR: “1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan: f) de verwerking is noodzakelijk voor de instelling, uitoefening of verdediging van een rechtsvordering of wanneer gerechten handelen in het kader van hun rechtsprekende taken.”
Artikel 24 GDPR: “Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd. (…)”
Artikel 32 GDPR: “Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:
a) de pseudonimisering en versleuteling van persoonsgegevens;
b) het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen;
c) het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;
d) een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.”
Feiten
Een ex-vrouw blijft het professioneel e-mailadres van haar ex-man gebruiken voor de correspondentie betreffende de kosten voor de alimentatie in het kader van een familiegeschil, terwijl de ex-man reeds meerdere keren had gevraagd hiermee te stoppen. De ex-vrouw negeerde telkens het verzoek van de ex-man waardoor deze laatste zich genoodzaakt voelde om een klacht in te dienen bij de Gegevensbeschermingsautoriteit.
De vrouw zou het professionele e-mailadres van de ex-man steeds in CC zetten, terwijl dit e-mailadres zou ook door derden kunnen worden geraadpleegd, hetgeen een ernstige inbreuk vormt op de GDPR. De man vraagt dan ook aan de vrouw deze praktijk te staken, zeker gezien het feit dat de man niet meer werkt bij het bedrijf. Langs de andere kant zou de man zelf het professionele e-mailadres van de vrouw gebruiken m.b.t. de correspondentie over hun minderjarige dochter. De vrouw dient op haar beurt klacht in. De klacht van de man zou volgens de vrouw voortkomen uit persoonlijke haat.
Het gebruik van een e-mailadres voor het versturen van berichten betreft een verwerking van persoonsgegevens. Er moet dan ook een gepaste rechtsgrond voor zijn, overeenkomstig artikel 6 van de GDPR. Het vonnis van de familierechtbank heeft aan de man opgelegd om een trimestriële kostenstaat te sturen, zonder het hiervoor gebruikte communicatiemiddel te preciseren. In die omstandigheden is de Geschillenkamer van oordeel dat de enige juiste rechtsgrond voor de verwerking van dat professionele e-mailadres het toestemmingsprincipe zou zijn (artikel 6.1. a) GDPR.
Het is dus aan de vrouw om aan te tonen dat ze toestemming gekregen zou hebben om het professionele e-mailadres van de man te gebruiken voor het versturen van de kostenstaten van haar dochter. De vrouw geeft hiervoor echter geen bewijs van een dergelijke toestemming.
Door via e-mail naar het professionele e-mailadres van de man gegevens door te sturen betreffende de gezondheid van haar dochter, evenals gegevens betreffende haar geschil met de man – terwijl ze duidelijke informatie had gekregen dat het e-mailadres in kwestie door derden gelezen zou kunnen worden – begaat de ex-vrouw een inbreuk op de artikelen 5.1, 6.1 (a) en (c), 9.1 (f), 24 en 32 van de GDPR.
Om elke escalatie van het familiale conflict te vermijden, roept de Geschillenkamer op tot bemiddeling voor de verwerking van gegevens met betrekking tot de uitvoering van het vonnis tussen de partijen. Dit in het belang van alle betrokken partijen en van hun kind.
Uitspraak
De ex-vrouw krijgt enkel een waarschuwing opgelegd. Elk nieuw gebruik van het professionele e-mailadres van de ex-man door de ex-vrouw in het kader van de uitvoering van het vonnis van de familierechtbank tussen de partijen, zal een schending van de artikelen 5.1., 6.1., a) en c), 9.1., f), 24 en 32 van de GDPR betekenen.
Onze mening
Het toestemmingsprincipe is in deze zaak de enige mogelijke rechtvaardigingsgrond, die in casu niet aanwezig was.
Bovendien lijkt de Geschillenkamer het belang van het kind en de afwezigheid van een verdere escalatie te verkiezen boven de bestraffing van de ex-vrouw. Nogmaals een bewijs dat men steeds verschillende belangen dient af te wegen.
Definitief?
Ja
Integrale beslissing