Een VZW stelt een ‘lijst van ongewenste personen’ op. Iemand op deze lijst wenste dat zijn gegevens gewist werden.
Context
Recht op gegevenswissing
Rechtsgrond
Artikel 5.1.b) en c) GDPR:
“Persoonsgegevens moeten:
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”);”
Artikel 6.1.f) GDPR:
“De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”
Artikel 12.4. GDPR:
“Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen.”
Artikel 17.1. GDPR:
“De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
d) de persoonsgegevens zijn onrechtmatig verwerkt;
e) de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
f) de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.”
Feiten
In deze zaak heeft een VZW een lijst van ongewenste personen opgesteld, waarbij zij weigert de persoonsgegevens van het ex-lid uit die lijst te verwijderen.
Het ex-lid zit sinds 2016 in een geschil met de verweerder betreffende zijn (ex)-lidmaatschap van de VZW. Voor het intern geschillenbeheer van de VZW werden de persoonsgegevens van het ex-lid opgenomen in een lijst van ongewenste personen. Volgens de Inspectiedienst vormt het beheer van de eigen geschillen een legitiem doeleinde en vindt de verwerking van persoonsgegevens haar grondslag in het gerechtvaardigd belang van de VZW, namelijk het belang om haar eigen geschillen te beheren volgens de door haar in de statuten vastgestelde procedure. Ook de vereisten van doelbinding en transparantie zijn volgens de Inspectiedienst vervuld. Zo wordt enkel en alleen maar de naam van het ex-lid verwerkt.
De Geschillenkamer volgt de vaststellingen van de Inspectiedienst. Wat betreft het recht op gegevenswissing heeft de VZW niet alleen binnen de termijn van één maand gereageerd op het verzoek, maar ook uitdrukkelijk gemotiveerd waarom zij de gegevens van het ex-lid niet heeft verwijderd (artikel 12.4 GDPR). De verwerking van de gegevens vindt haar grondslag in het gerechtvaardigd belang van de vereniging (artikel 6.1.f) GDPR) aangezien in de statuten van de VZW is opgenomen dat een uitgesloten lid op de lijst van ongewenste personen kan worden geplaatst.
Ook wat betreft het principe van doelbinding, overeenkomstig artikel 5.1.b) GDPR is de Geschillenkamer van oordeel dat het ex-lid geen gegevens aanwendt voor een ander doeleinde dan geschillenbeheer.
Tot slot wordt het beginsel van minimale gegevensverwerking (artikel 5.1.c) GDPR) gerespecteerd aangezien enkel de naam van het ex-lid is opgenomen in de lijst van ongewenste personen. Zo moeten persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.
Gelet op de hierboven genoemde feiten worden de persoonsgegevens van het ex-lid verwerkt in overeenstemming met de GDPR.
Uitspraak
De Geschillenkamer besluit om de klacht te seponeren, aangezien er geen enkele inbreuk op de bepalingen van de GDPR kan worden vastgesteld.
Onze mening
Betrokkenen hebben steeds het recht om een verzoek in te dienen tot gegevenswissing. Dit wil echter niet zeggen dat de verwerkingsverantwoordelijke hieraan een positief gevolg moet geven. Zij dient wel binnen de 1 maand na ontvangst van het verzoek te reageren op het verzoek met vermelding van de reden om al dan niet het verzoek in te willigen. Het recht op gegevenswissing is met andere woorden geen absoluut, maar een relatief recht. Een weigering om gerechtvaardigde redenen is mogelijk overeenkomstig de GDPR.
Bovendien werden enkel de noodzakelijke gegevens bijgehouden en was de verwerkingsverantwoordelijke hier steeds transparant over.
Definitief?
Ja
Integrale beslissing