Blijft een GBA-boete overeind als de datahandel intussen is gestopt?

Wie persoonsgegevens verhandelt zonder geldige toestemming, riskeert een boete van de Gegevensbeschermingsautoriteit (GBA). Maar wat als de betrokken database al jaren niet meer wordt gebruikt tegen de tijd dat de toezichthouder beslist? In een arrest van 3 juni 2026 bevestigt het Marktenhof dat datamakelaar Infobel de Algemene Verordening Gegevensbescherming (AVG/GDPR) schond, maar het herleidt de boete van 40.000 naar 5.000 euro en vernietigt de bevelen tot wissing en kennisgeving omdat die elk concreet voorwerp misten. De zaak toont waar de grens ligt tussen de vaststelling van een inbreuk en de proportionaliteit van de sanctie.

De feiten

De zaak vindt haar oorsprong in een klacht die een burger op 18 oktober 2023 bij de GBA indiende tegen Infobel, een commerciële gegevensmakelaar. De klager stelde vast dat zijn persoonsgegevens werden verwerkt en doorverkocht voor direct marketing, zonder dat hij daar ooit rechtstreeks aan Infobel toestemming voor had gegeven. De gegevens waren oorspronkelijk afkomstig van een telecomoperator, die ze aan Infobel had doorgegeven; Infobel leverde ze op haar beurt aan een mediabureau dat marketing naar de klager stuurde.

De Geschillenkamer van de GBA splitste het dossier en behandelde het luik tegen Infobel afzonderlijk. Op 27 november 2025 oordeelde zij in beslissing nr. 199/2025 dat Infobel de artikelen 5.1.a), 6 en 24 AVG had geschonden, legde zij een administratieve geldboete van 40.000 euro op en beval zij de wissing van de gegevens waarvoor geen geldige rechtsgrond kon worden aangetoond, met kennisgeving aan alle afnemers. Infobel stelde beroep in bij het Marktenhof.

Een feitelijk gegeven bleek doorslaggevend: Infobel had de volledige van de operator verkregen database al in 2023 verwijderd, op de gegevens na van personen die uitdrukkelijk hadden gevraagd niet meer te worden gecontacteerd. Die verwijdering was tijdens de hoorzitting van 25 juni 2025 voor de Geschillenkamer bevestigd en niet betwist.

De beslissing

Het Marktenhof verklaart het beroep ontvankelijk en gedeeltelijk gegrond. De inhoudelijke AVG-vaststelling blijft overeind, maar de sanctie wordt grondig bijgestuurd.

De inbreuk op de AVG wordt bevestigd

Het Hof bevestigt dat Infobel als verwerkingsverantwoordelijke zelf moet kunnen aantonen dat de betrokkene geldig heeft toegestemd. Op grond van art. 7.1 AVG rust de bewijslast van een geldige toestemming op de verwerkingsverantwoordelijke, en art. 24 AVG verplicht hem aan te tonen dat de verwerking rechtmatig gebeurt. Een loutere verwijzing naar contractuele verklaringen of garanties van de leverancier volstaat niet. De toestemming uit 2006, gegeven via de algemene voorwaarden van de operator, voldeed niet aan de vereisten van art. 4.11 AVG: zij was niet vrij (de marketingfinaliteit was verweven met het telecomcontract), niet specifiek (er was geen afzonderlijke opt-in voor doorverkoop), niet geïnformeerd (de klager kon niet weten dat juist Infobel zijn gegevens commercieel zou exploiteren) en niet ondubbelzinnig (het ging om een opt-outsysteem). De schending van art. 5.1.a) juncto art. 6 en art. 24 AVG staat dus vast.

Het Hof verwerpt ook de stelling dat de GBA de artikelen 24 en 7 AVG anachronistisch zou hebben toegepast door een situatie uit 2006 te beoordelen onder later ingevoerde normen. De litigieuze verwerking is een voortdurende verwerking die zich na 25 mei 2018 voortzette; de geldigheid van de toestemming wordt beoordeeld op het ogenblik van die voortgezette verwerking, niet op het ogenblik van de oorspronkelijke verzameling.

De bevelen tot wissing en kennisgeving worden vernietigd

Hier wijkt het Hof af van de Geschillenkamer. Omdat Infobel de betrokken gegevens al in 2023 had verwijderd, mist het wissingsbevel elk concreet voorwerp. Het Hof oordeelt bovendien dat een bevel dat algemeen geldt voor “alle gegevens waarvoor Infobel geen geldige rechtsgrond kan aantonen” de bevoegdheid van de Geschillenkamer overschrijdt: een toezichthouder kan geen algemeen wissingsbevel uitvaardigen zonder voorafgaand, geïndividualiseerd onderzoek en zonder klacht. Het bevel is dus zonder voorwerp en wordt vernietigd. Het accessoire bevel tot kennisgeving aan de afnemers volgt datzelfde lot.

De boete wordt herleid tot 5.000 euro

Het Hof oefent volle rechtsmacht uit over de sanctie. Het verwerpt eerst het argument dat de boete drie afzonderlijke inbreuken zou bestraffen: de schendingen van de artikelen 5.1.a), 6 en 24 AVG vormen één samenhangende inbreuk, en art. 83.3 AVG laat toe daarvoor één boete op te leggen, geplafonneerd op het bedrag voor de zwaarste inbreuk.

Wel oordeelt het Hof dat de Geschillenkamer de ernst verkeerd had ingeschat. Zij kwalificeerde de verwerking als “aanzienlijk” en “grootschalig”, terwijl het exacte aantal betrokkenen niet vaststond en er slechts één klacht was. Zij hield onvoldoende rekening met verzachtende omstandigheden: Infobel had geen eerdere inbreuken of klachten, had meegewerkt aan de procedure, en had de database al in 2023 verwijderd, een maatregel die de schade voor de betrokkenen beperkte. Met toepassing van de EDPB-richtsnoeren 04/2022 over de berekening van administratieve geldboeten herleidt het Hof de boete tot 5.000 euro.

Juridische analyse en duiding

De zelfstandige bewijslast van de datamakelaar blijft de kern

De principiële verdienste van deze zaak ligt niet in de boetereductie maar in de bevestiging van de zelfstandige verantwoordingsplicht van wie aangekochte data exploiteert. Het Hof verankert die plicht uitdrukkelijk in de samenhang tussen art. 7.1 en art. 24 AVG, en sluit daarmee aan bij het Proximus-arrest van het Hof van Justitie, waarin werd geoordeeld dat wie gegevens van een abonnee of van een derde ontvangt en voor andere doeleinden wil gebruiken, opnieuw de toestemming van de betrokkene moet verkrijgen (HvJ 27 oktober 2022, C-129/21). De redenering bevestigt dat een B2B-keten van databescherming niet werkt als doorgeefluik: elke schakel die als verwerkingsverantwoordelijke optreedt, draagt een eigen bewijslast en kan zich niet verschuilen achter contractuele garanties van de bron.

Het is een misverstand om dit arrest te lezen als een verzachting van die lijn. De inbreuk wordt integraal bevestigd; enkel de sanctie wordt geproportionaliseerd. De boodschap aan de databrokeragesector blijft dus streng.

De grens van de herstelmaatregelen: geen abstract wissingsbevel

Juridisch het interessantst is de afbakening van de bevelsbevoegdheid van de toezichthouder. Het Hof maakt een principieel onderscheid tussen herstelmaatregelen onder art. 58.2 AVG en de geldboete onder art. 83 AVG, en oordeelt dat een wissingsbevel niet abstract en open mag worden geformuleerd. Een bevel dat zich uitstrekt tot alle gegevens “waarvoor geen geldige rechtsgrond kan worden aangetoond”, zonder geïndividualiseerd onderzoek en zonder onderliggende klacht, valt buiten de bevoegdheid van de Geschillenkamer.

Dat is een betekenisvolle inperking. Toezichthouders neigen ertoe hun bevelen ruim te formuleren om herhaling te voorkomen, maar het Hof bindt de herstelmaatregel aan het concrete voorwerp van het dossier. Een bevel zonder actueel voorwerp, omdat de verwerking al is gestaakt, kan niet in stand blijven louter als principiële stellingname.

Proportionaliteit als volwaardige toetssteen, niet als formaliteit

De boetereductie van 40.000 naar 5.000 euro illustreert dat het Marktenhof zijn volle rechtsmacht reëel invult. Het Hof toetst niet enkel of de motivering formeel toereikend is, maar herbeoordeelt de ernst en de verzachtende omstandigheden zelf. Dat de toezichthouder de inbreuk als “grootschalig” had bestempeld zonder het aantal betrokkenen vast te stellen, en het tijdig verwijderen van de database onvoldoende had gehonoreerd, volstond om de sanctie met factor acht te verlagen. Voor wie een GBA-boete aanvecht, bevestigt dit dat de proportionaliteitstoets een zelfstandige en vruchtbare grond voor hervorming is, ook wanneer de inbreuk zelf onbetwistbaar vaststaat.

Wat betekent dit concreet?

Voor datamakelaars en marketingbureaus. De kern van beslissing nr. 199/2025 overleeft het beroep: wie aangekochte bestanden exploiteert, moet zelf de opt-in kunnen bewijzen en kan zich niet beroepen op contractuele garanties van de leverancier. Een due diligence naar de oorsprong en de geldigheid van de toestemming blijft onmisbaar. Tegelijk biedt het arrest een concreet verweerspoor: wie een problematische database tijdig en aantoonbaar verwijdert nog vóór de toezichthouder beslist, beperkt niet alleen de schade maar verkrijgt daarmee een reële verzachtende omstandigheid die de boete fors kan drukken en bevelen tot wissing zonder voorwerp kan maken.

Voor wie een GBA-boete aanvecht. Het beroep bij het Marktenhof is meer dan een marginale wettigheidstoets. Het Hof oefent volle rechtsmacht uit en herbeoordeelt de ernst, de verzachtende omstandigheden en de proportionaliteit zelfstandig. Het loont dus om niet alleen de inbreuk te betwisten, maar ook, en vaak met meer kans op succes, de evenredigheid van de sanctie en de reikwijdte van de opgelegde herstelmaatregelen aan te vechten. Bevelen die abstract zijn geformuleerd of die hun voorwerp hebben verloren, zijn bijzonder kwetsbaar.

Voor betrokkenen. De vaststelling dat een datamakelaar de AVG schond, blijft overeind: u kunt met succes de onrechtmatigheid van een verwerking laten vaststellen. Houd er wel rekening mee dat een individuele klacht geen algemeen wissingsbevel oplevert tegen de volledige database van de verwerker; de toezichthouder blijft gebonden aan het concrete voorwerp van uw dossier.

Veelgestelde vragen (FAQ)

Kan een GBA-boete worden verlaagd door de rechter, ook als de inbreuk vaststaat?
Ja. Het Marktenhof oefent volle rechtsmacht uit en kan de boete zelfstandig herbeoordelen op grond van de ernst van de inbreuk en de verzachtende omstandigheden, ook wanneer de schending van de AVG zelf niet wordt betwist. In deze zaak werd de boete van 40.000 euro herleid tot 5.000 euro.

Helpt het om een problematische database te verwijderen voordat de GBA beslist?
Ja. Het tijdig en aantoonbaar verwijderen van de betrokken gegevens geldt als een verzachtende omstandigheid die de boete kan drukken. Bovendien kan een nadien opgelegd wissingsbevel zonder voorwerp worden verklaard, omdat er niets meer te wissen valt.

Mag de Gegevensbeschermingsautoriteit een algemeen bevel tot wissing opleggen?
Niet onbeperkt. Een bevel dat algemeen geldt voor alle gegevens waarvoor geen rechtsgrond kan worden aangetoond, zonder geïndividualiseerd onderzoek en zonder onderliggende klacht, overschrijdt de bevoegdheid van de Geschillenkamer. Het bevel moet gebonden zijn aan het concrete voorwerp van het dossier.

Conclusie

Dit arrest bevestigt de strenge lijn over de handel in persoonsgegevens: een datamakelaar draagt een zelfstandige bewijslast voor de geldigheid van de toestemming en kan zich niet verschuilen achter de garanties van zijn leverancier. Tegelijk toont het Marktenhof dat de sanctie een volwaardige en afzonderlijke toetssteen is. De inbreuk bleef overeind, maar de boete werd met factor acht verlaagd en de te ruim geformuleerde bevelen sneuvelden omdat zij hun concrete voorwerp hadden verloren. De vaststelling van een inbreuk en de evenredigheid van de sanctie zijn dus twee onderscheiden vragen, met elk hun eigen verweersmogelijkheden.