Kan een GBA-boete van €100.000 door het Marktenhof herleid worden naar €5.000?

Wanneer een telecomoperator een verzoek om toegang tot persoonsgegevens veertien maanden onbeantwoord laat, kan de Gegevensbeschermingsautoriteit (GBA) een aanzienlijke boete opleggen. De vraag is echter of een dergelijke sanctie altijd overeind blijft. Ja, een dergelijke boete kan aanzienlijk worden verlaagd als deze als disproportioneel wordt beschouwd. Het Marktenhof te Brussel heeft in een arrest van 22 januari 2025 een boete van €100.000 herleid tot €5.000, omdat de oorspronkelijke sanctie niet in verhouding stond tot de specifieke omstandigheden van de inbreuk.

De feiten

De zaak draaide rond een klant van een grote Belgische telecomoperator. Na enkele fouten in de facturatie en de activatie van diensten, wilde de klant in januari 2022 zijn recht op toegang tot zijn persoonsgegevens uitoefenen, zoals voorzien in artikel 15 van de Algemene Verordening Gegevensbescherming (AVG). Hij stelde zijn vraag via de Facebook Messenger-chat van de operator, maar de medewerker kon hem niet helpen en weigerde de contactgegevens van de Functionaris voor Gegevensbescherming (DPO) door te geven.

Ondanks een herinnering in maart 2022, bleef een antwoord uit. De klant diende daarop in juni 2022 een klacht in bij de Gegevensbeschermingsautoriteit. Pas in maart 2023, veertien maanden na het oorspronkelijke verzoek en nadat de GBA-procedure was opgestart, bezorgde de operator de gevraagde informatie. De GBA oordeelde in een beslissing van 23 augustus 2024 (nr. 107/2024) dat de operator de AVG had geschonden en legde een administratieve geldboete op van €100.000.

De beslissing van het Marktenhof

De telecomoperator ging in beroep tegen de beslissing van de GBA. Het Marktenhof bevestigde dat de operator wel degelijk de AVG had geschonden. Het laattijdig reageren op een verzoek tot toegang is een duidelijke inbreuk op artikel 15 AVG, in combinatie met de procedureregels van artikel 12 AVG. Het feit dat de contactgegevens van de DPO elders op de website te vinden waren, deed niets af aan de plicht van het bedrijf om een eenmaal gesteld verzoek correct te behandelen.

Het cruciale punt in het arrest was echter de beoordeling van de sanctie. Het Hof oordeelde dat een boete van €100.000 manifest disproportioneel was in het licht van de feiten. De beslissing van de GBA werd op dit punt vernietigd. Gebruikmakend van zijn volheid van bevoegdheid, legde het Hof zelf een nieuwe, veel lagere boete op van €5.000.

Juridische analyse en duiding

Dit arrest is een belangrijke illustratie van het proportionaliteitsbeginsel bij het opleggen van AVG-sancties. Volgens artikel 83 van de AVG moet elke geldboete “doeltreffend, evenredig en afschrikkend” zijn. Het Marktenhof fungeert hier als een cruciale controle op de discretionaire bevoegdheid van de GBA.

Het Hof overliep de criteria uit artikel 83 AVG om de evenredigheid van de boete te toetsen en kwam tot de volgende vaststellingen:

• Aard en ernst van de inbreuk: De inbreuk betrof slechts één persoon en was een geïsoleerd incident.
• Opzet of nalatigheid: Er was geen sprake van opzet, maar van nalatigheid van twee medewerkers. Hoewel niet onbelangrijk, werd de nalatigheid niet als ‘ernstig’ gekwalificeerd.
• Gelede schade: De schade voor de klant was beperkt tot het ongemak van het laattijdige antwoord.
• Maatregelen door de overtreder: Het bedrijf had de inbreuk rechtgezet tijdens de procedure en had nadien interne opleidingen georganiseerd om herhaling te voorkomen.
• Mate van medewerking: De operator had adequaat meegewerkt met de GBA.

Op basis van deze elementen besloot het Hof dat de GBA haar beoordelingsmarge had overschreden. Een boete van €100.000 was niet noodzakelijk om de doelstellingen van bestraffing en preventie te bereiken. De uiteindelijke boete van €5.000 werd als passender beschouwd, rekening houdend met alle omstandigheden.

Wat dit concreet betekent

• Voor ondernemingen: Dit arrest toont aan dat het negeren van AVG-verzoeken ernstige gevolgen heeft en een boete onvermijdelijk is. Zorg voor waterdichte interne procedures, ook voor eerstelijnsmedewerkers zoals social media managers. Tegelijkertijd bevestigt de uitspraak dat u een beslissing van de GBA niet zomaar hoeft te aanvaarden. Een grondige analyse van de proportionaliteit van de boete kan lonen en een beroep bij het Marktenhof kan leiden tot een aanzienlijke verlaging.
• Voor burgers: Uw rechten onder de AVG zijn afdwingbaar. Zowel de GBA als de Belgische rechtscolleges bevestigen dat bedrijven verplicht zijn om correct en tijdig op uw verzoeken te reageren. Hoewel de uiteindelijke boete lager kan uitvallen, wordt het principe van uw recht op toegang wel degelijk gehandhaafd en gesanctioneerd.

FAQ (Veelgestelde vragen)

Binnen welke termijn moet een bedrijf reageren op een verzoek tot toegang?
Een bedrijf moet in principe “zo spoedig mogelijk” en in ieder geval binnen één maand na ontvangst van het verzoek reageren. Deze termijn kan, indien nodig, met twee maanden worden verlengd, op voorwaarde dat de betrokkene hiervan binnen de eerste maand op de hoogte wordt gebracht.

Kan een bedrijf een verzoek weigeren als het meent dat ik de informatie al heb?
Nee, niet zonder meer. Als een bedrijf een verzoek niet inwilligt, moet het de betrokkene uiterlijk binnen een maand informeren over de redenen voor die weigering. Zomaar niet reageren omdat men aanneemt dat de informatie al bekend is, is een schending van de AVG.

Wordt de boete altijd bepaald op basis van de omzet van een bedrijf?
De financiële draagkracht en de omzet van een onderneming zijn belangrijke factoren bij het bepalen van de maximale boete. Het proportionaliteitsbeginsel vereist echter dat alle omstandigheden van het specifieke geval worden meegewogen, zoals de ernst, de duur en het al dan niet opzettelijke karakter van de inbreuk. Een hoge omzet leidt dus niet automatisch tot een hoge boete voor een beperkte inbreuk.

Conclusie

De uitspraak van het Marktenhof is een duidelijke herinnering aan het belang van het evenredigheidsbeginsel in het gegevensbeschermingsrecht. Een inbreuk op de AVG zal worden bestraft, maar de sanctie moet in verhouding staan tot de feiten. Bedrijven worden eraan herinnerd dat interne processen voor dataverzoeken cruciaal zijn, terwijl burgers de bevestiging krijgen dat hun rechten worden beschermd.