De GBA beboet onderneming omdat het weigerde klanten hun opgenomen telefoongesprekken te laten horen (Mr. Franklin)

Auteur: Mattice De Schagt (Mr. Franklin)

Een onderneming (de verweerder) nam telefoongesprekken met haar klant (de klager) op zonder de klager hiervan op de hoogte te stellen. De klager probeerde zijn recht op inzage uit te oefenen, maar de verweerder weigerde een kopie te verstrekken, wat resulteerde in een klacht bij de Gegevensbeschermingsautoriteit (GBA). In dit artikel volgt een korte samenvatting van de meest belangrijke rechtsvragen die door de Gegevensbeschermingsautoriteit werden beantwoord.

Feiten

Beide partijen hadden met elkaar twee overeenkomsten afgesloten m.b.t. de ontwikkeling van een website. Tussen hen ontstond in 2021 een geschil, hetgeen aanleiding heeft gegeven tot het indienen van een klacht op 7 april 2022. Uit de totstandgekomen discussie tussen de twee partijen bleek dat verweerder de gesprekken met klager had opgenomen zonder de klager hiervan op de hoogte te stellen.

De klager probeerde zijn recht op inzage met betrekking tot deze opgenomen telefoongesprekken uit te oefenen, maar de verweerder weigerde een kopie van de opnames te verstrekken en stelde voor dat de klager ze enkel op hun kantoren kon beluisteren. De klager stelde dat zijn rechten niet gefaciliteerd werden en dat hij recht had op een kopie van deze gesprekken en dus zijn recht op inzage was geschonden, wat leidde tot het indienen van een klacht bij de Gegevensbeschermingsautoriteit (GBA).

Beslissing Geschillenkamer

De Geschillenkamer was van oordeel dat verschillende bepalingen van de GDPR werden geschonden door de verweerder, waaronder het beginsel van transparantie en het recht op inzage.

Artikel 12, lid 1 AVG vereist dat de verwerkingsverantwoordelijke “passende maatregelen” neemt om ervoor te zorgen dat de betrokken persoon beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke informatie ontvangt over de verwerking, vooral wanneer deze informatie specifiek voor een kind bedoeld is.

De Geschillenkamer merkt op dat de overeenkomsten en de privacyverklaring de klager weliswaar informeerden over het opnemen van telefoongesprekken voor de uitvoering van de overeenkomst, maar dat niet alle essentiële informatie adequaat was verstrekt. De privacyverklaring vermeldde bijvoorbeeld niet duidelijk welke persoonsgegevens voor welke doeleinden werden verwerkt en op welke rechtsgrond, zoals vereist door artikel 13 AVG. Idealiter voorziet de verwerkingsverantwoordelijke een oplijsting van de verschillende doeleinden waarvoor hij persoonsgegevens verwerkt, met telkens de aanduiding welke (categorieën van) persoonsgegevens hiervoor worden verwerkt, via welke bron zij werden verkregen, voor hoelang zij worden bewaard en met welke (categorieën van) ontvangers ze (kunnen) worden gedeeld.

Daarnaast vermeldde de privacyverklaring niet duidelijk de bewaartermijnen van de persoonsgegevens, noch de criteria voor de bepaling ervan, zoals voorgeschreven door artikel 13, lid 2 a) AVG. De verklaring stelde slechts dat de gegevens binnen de wettelijke termijnen werden bewaard, wat volgens de Richtsnoeren van de Groep Gegevensbescherming niet voldoende is. Als gevolg hiervan concludeert de Geschillenkamer dat er sprake is van schendingen van verschillende bepalingen van de AVG, waaronder artikel 5, lid 1, a), artikel 12, lid 1 en lid 2, artikel 13, lid 1, c) en lid 2 a).

Wat betreft de inbreuk op het recht op inzage, had de klager meermaals zijn recht op inzage ex artikel 15 AVG uitgeoefend ten aanzien van de verweerster door te verzoeken om hem een kopie te bezorgen van de opnames van de telefoongesprekken waaraan de klager had deelgenomen. Volgens artikel 15, lid 1 van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, indien dat het geval is, welke persoonsgegevens concreet van hem/haar worden verwerkt. Het doel van het recht tot inzage is de betrokkene in staat te stellen om te begrijpen hoe zijn persoonsgegevens worden verwerkt en wat de gevolgen daarvan zijn alsook de juistheid van de verwerkte gegevens te controleren zonder dat hij zijn voornemen hoeft te rechtvaardigen.

Wanneer een klager zich op zijn/haar recht op inzage wenst te beroepen, dient de verwerkingsverantwoordelijke dergelijke uitoefening te faciliteren en moet hij onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet geven over de maatregelen die naar aanleiding van zijn verzoek zijn genomen. In casu had de klager enkel de mogelijkheid om ter plaatse op de hoofdzetel van de verwerkingsverantwoordelijke de klankopnames te beluisteren, terwijl de Geschillenkamer meent dat een kopie van de klankopnames had moeten worden overgemaakt aan de klager. Ook transcripten van de telefoongesprekken zouden niet volstaan aangezien het stemgeluid van de klager, hetgeen ook een persoonsgegeven is, daaruit niet kan blijken. Om die reden oordeelde de Geschillenkamer dat de verweerster geen correct en rechtmatig gevolg gegeven heeft aan de uitoefening van het recht op inzage van de klager. De verweerder werd veroordeeld tot een geldboete van 40.000 euro.

Bron: Mr. Franklin