Het Belgisch Staatsblad als verwerkings-verantwoordelijke (aternio)

Auteur: Silke Rogiers (aternio)

Het Hof van Justitie heeft op 11 januari 2024 uitspraak gedaan inzake de rol van het Belgisch Staatsblad als verwerkingsverantwoordelijke bij de publicatie van persoonsgegevens.

Bij de statutenwijziging van een besloten vennootschap namen de aandeelhouders de beslissing om het vennootschapskapitaal te verminderen. In lijn met de wetgeving stuurde de notaris het besluit naar de griffie van de bevoegde ondernemingsrechtbank voor publicatie in de bijlagen bij het Belgisch Staatsblad.

De gepubliceerde informatie bevatte naast de wettelijk verplichte informatie ook onnodige vermeldingen zoals de namen van de aandeelhouders en de bijbehorende terugbetaalde bedragen met bankrekeningnummers. Deze onbedoelde onthullingen waren te wijten aan een onzorgvuldigheid van de notaris.

In een dergelijke situatie rijst de vraag in hoeverre de aandeelhouders zich kunnen beroepen op hun rechten die volgen uit de algemene verordening gegevensbescherming (AVG). Kunnen zij de verwijdering van hun gegevens bekomen? Tot wie moeten ze zich daartoe wenden? In deze blogpost bespreken we het bovengenoemde arrest van het Hof van Justitie en bekijken we de verschillende beschermingsmogelijkheden die de AVG biedt.

AVG

De AVG voorziet verschillende actiemiddelen voor de betrokkene, in het kader van de verwerking van zijn persoonsgegevens. In deze zaak moeten we ons verschillende vragen stellen:

• Houdt de publicatie van de naam en het rekeningnummer van de aandeelhouders van een vennootschap in het Belgisch Staatsblad een ‘verwerking’ van ‘persoonsgegevens’ in?
• Wie is in deze zaak de verwerkingsverantwoordelijke: de notaris, de griffie of het Belgisch Staatsblad?
• Is de verwerking rechtmatig? Op welke verwerkingsgrondslag kan de verwerkingsverantwoordelijke zich beroepen?
• Kan de betrokkene zich in deze situatie beroepen op zijn recht op gegevenswissing?

Verwerking van persoonsgegevens

De AVG is slechts van toepassing indien het gaat om ‘verwerking’ van ‘persoonsgegevens’. Er bestaat geen discussie over het feit dat de naam en het rekeningnummer ‘persoonsgegevens’ zijn die vallen onder de bescherming van de AVG. Het begrip ‘verwerking’ is in de AVG duidelijk gedefinieerd. Vertaald naar deze zaak zit de verwerking in het verzamelen van de gegevens, deze vastleggen, ordenen, structureren, opslaan, raadplegen en vervolgens het doorsturen.

Verwerkingsverantwoordelijke

Wanneer je als betrokkene je rechten wil laten gelden, moet je je richten tot de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke wordt in de AVG gedefinieerd als:

• een natuurlijke of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan
• die/ dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

Voor de bodemrechter was de concrete invulling van het begrip in deze zaak onduidelijk, aangezien de gegevens werden verwerkt door meerdere potentiële opeenvolgende verwerkingsverantwoordelijken:

• de notaris die de persoonsgegevens heeft verzameld en doorgegeven,
• de griffie van de ondernemingsrechtbank die het besluit heeft neergelegd en de persoonsgegevens heeft doorgegeven, en
• het Belgisch Staatsblad die de controle en wijzigingsbevoegdheid over de gegevens heeft.

In de zaak voor het Hof van Justitie van de Europese Unie oordeelde het Hof over de kwalificatie van het Belgisch Staatsblad als verwerkingsverantwoordelijke. De doelstelling van en middelen voor de verwerking worden niet bepaald door het Belgisch Staatsblad zelf maar door het nationale recht. Als overheidsinstantie, dienst of ander orgaan van de overheid, is dit voldoende om te kwalificeren als verwerkingsverantwoordelijke indien het Belgisch recht (direct of indirect) bepaalt wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen. In de wetgeving valt dit niet expliciet terug te vinden, maar kan er wel impliciet worden afgeleid dat het als orgaan of dienst belast is met de uitvoering van de verwerking. Om deze reden kwalificeert het Belgisch Staatsblad volgens het Hof als verwerkingsverantwoordelijke.

Het Hof oordeelde daarnaast dat het tevens mogelijk is om in een keten van verwerking meerdere, gezamenlijke verwerkingsverantwoordelijken te hebben. Het is voldoende dat een persoon een ingrijpende invloed heeft uitgeoefend op de verwerking van persoonsgegevens en ten gevolge daarvan deelneemt aan de vaststelling van het doel van en de middelen voor de verwerking. De kwalificatie van de notaris en de griffie van de ondernemingsrechtbank als verwerkingsverantwoordelijk werd overgelaten aan de bodemrechter.

Verwerkingsgrondslag

Om rechtmatig te zijn moet de verwerking van persoonsgegevens berusten op een verwerkingsgrondslag. In het kader van deze zaak kan men opwerpen dat de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. In de gegeven casus was dat echter niet het geval. Bovendien hadden de aandeelhouders geen toestemming gegeven om hun naam én rekeningnummer te publiceren. De verwerking was bijgevolg onrechtmatig.

Recht op gegevenswissing

Los van het feit dat de verwerking onrechtmatig is, kan de betrokkene zich ook beroepen op zijn recht op gegevenswissing. De persoon in kwestie heeft het recht om de verwerkingsverantwoordelijke te vragen zijn persoonsgegevens onmiddellijk te verwijderen, zonder onnodige vertraging.

De verwerkingsverantwoordelijke is verplicht deze verwijdering meteen uit te voeren in volgende gevallen:

• de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld;
• de betrokkene trekt de toestemming waarop de verwerking als grondslag berust in en er is geen andere rechtsgrond voor de verwerking; of
• de betrokkene heeft bezwaar gemaakt tegen de verwerking en er zijn geen prevalerende, dwingende, gerechtvaardigde gronden voor de verwerking, of de betrokkene heeft bezwaar gemaakt tegen de verwerking in het kader van direct marketing.

Wanneer in deze zaak de aandeelhouders in eerste instantie wel toestemming hadden gegeven, hadden zij alsnog hun naam en rekeningnummer kunnen laten verwijderen door hun toestemming overeenkomstig de vereisten uit de AVG in te trekken.

Recht op bezwaar

Naast het recht op gegevenswissing kan de betrokkene zich ook beroepen op het recht op bezwaar. De betrokkene heeft te allen tijde het recht om, omwille van specifiek met zijn situatie verband houdende redenen, bezwaar te maken tegen de verwerking, ook al is de verwerkingsgrondslag gebaseerd op een gerechtvaardigd belang of taak van algemeen belang. De verwerkingsverantwoordelijke dient de verwerking onmiddellijk stop te zetten tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

Conclusie

In het kort kunnen aandeelhouders onthouden dat bij ongewenste opname van gegevens in de publicatie, die niet wettelijk verplicht zijn, het Belgisch Staatsblad als verwerkingsverantwoordelijke aangesproken kan worden. Hierbij kan men de onrechtmatigheid aanvechten, gebruik maken van het recht op gegevenswissing, of bezwaar indienen tegen de verwerking.

Bron: aternio