Kan een school een boete krijgen wegens overtreding van de GDPR?

Een school die het welbevinden van haar leerlingen wil meten via een digitale enquête, een bezorgde ouder die aan de alarmbel trekt over privacy, en een juridisch steekspel dat uitmondt in een belangrijke vraag voor het Europees Hof van Justitie. Een recente zaak, die startte met een klacht bij de Gegevensbeschermingsautoriteit (GBA), illustreert perfect de complexiteit van de GDPR in de Belgische onderwijscontext. De kernvraag: kan een vrije gesubsidieerde school, die in België als ‘overheid’ wordt beschouwd, ontsnappen aan een administratieve geldboete voor inbreuken op de gegevensbeschermingswetgeving? Onze advocaten, gespecialiseerd in onderwijs- en gegevensbeschermingsrecht, volgen dit dossier op de voet en lichten de historiek en de inzet voor u toe.

Het begon allemaal in 2019 met een klacht van een ouder tegen een vrije secundaire school. De school had via het digitale platform Smartschool een enquête over het ‘welbevinden’ afgenomen bij minderjarige leerlingen. Volgens de klager gebeurde dit zonder geldige toestemming van de ouders, werd er te veel informatie opgevraagd en was er een gebrek aan transparantie.

De beslissing van de GBA: school in de fout en een boete

De Geschillenkamer van de GBA onderzocht de zaak en stelde op 16 juni 2020 diverse inbreuken op de Algemene Verordening Gegevensbescherming (AVG, beter bekend als de GDPR) vast. De voornaamste vaststellingen waren:

• Geen geldige rechtsgrond (Art. 6.1 AVG): De school baseerde zich op een decretale verplichting rond leerlingenbegeleiding. De GBA oordeelde echter dat deze algemene verplichting niet de concrete, niet-anonieme bevraging rechtvaardigde. De medewerking van de leerlingen vereiste een actieve toestemming.
• Miskenning regels voor toestemming van kinderen (Art. 8 AVG): Aangezien de enquête via Smartschool, een “dienst van de informatiemaatschappij”, werd aangeboden aan kinderen jonger dan 13 jaar, was de expliciete toestemming van de ouders of wettelijke vertegenwoordigers vereist. Deze was niet gevraagd.
• Schending van minimale gegevensverwerking (Art. 5.1.c AVG): De enquête was niet anoniem en verzamelde meer gegevens dan strikt noodzakelijk voor het doel. De GBA stelde dat het doel ook met anonieme gegevens bereikt kon worden.
• Gebrek aan transparantie (Art. 12 en 13 AVG): De leerlingen en ouders waren onvoldoende helder en volledig geïnformeerd.

De Geschillenkamer legde de school een administratieve geldboete van € 2.000 op.

De saga voor de Belgische rechtscolleges: kan de overheid beboet worden?

De school legde zich niet neer bij deze beslissing en stapte naar het Marktenhof, de bevoegde beroepsinstantie voor beslissingen van de GBA. Hier begint een complexe juridische discussie die de kern van de zaak raakt.

De Belgische Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens voert artikel 83.7 van de GDPR uit. Dit artikel laat lidstaten toe om te bepalen of en in hoeverre “overheidsinstanties en overheidsorganen” administratieve geldboetes kunnen krijgen. De Belgische wetgever heeft in artikel 221, §2, bepaald dat “de overheid” in principe is vrijgesteld van boetes, tenzij het gaat om een “publiekrechtelijke rechtspersoon die goederen of diensten aanbiedt op een markt”.

Het juridische steekspel verliep als volgt:

1. Eerste arrest Marktenhof (18 november 2020): Het Hof volgde de GBA grotendeels wat de inbreuken betrof, maar oordeelde dat de GBA onvoldoende had gemotiveerd waarom zij de school, die als “een overheid” kan worden gezien, toch een boete kon opleggen. De beslissing werd deels vernietigd en teruggestuurd naar de GBA voor een betere motivering.
2. Tweede beslissing GBA (15 maart 2021): De GBA herbekeek de zaak, motiveerde uitvoerig waarom een vrije gesubsidieerde school volgens haar wél een boete kan krijgen en legde een boete van € 1.000 op. De GBA argumenteerde dat hoewel de school onder de brede Belgische definitie van ‘overheid’ valt, zij toch een dienst aanbiedt op de onderwijs’markt’ waar ook privéscholen actief zijn en dus onder de uitzondering van art. 221, §2, Gegevensbeschermingswet valt.
3. Tweede arrest Marktenhof (6 oktober 2021): De school ging opnieuw in beroep. Ditmaal vernietigde het Marktenhof de boete volledig. Het Hof oordeelde dat het aanbieden van wettelijk gesubsidieerd onderwijs geen economische activiteit is en niet gelijkgesteld kan worden met het aanbieden van een “dienst op een markt”. Bijgevolg gold de vrijstelling en kon er geen boete worden opgelegd^.
4. Eerste arrest Hof van Cassatie (9 januari 2023): De GBA liet het hier niet bij en trok naar het Hof van Cassatie. Het hoogste rechtscollege vernietigde het arrest van het Marktenhof. De Cassatierechters oordeelden dat het Marktenhof de argumenten van de GBA verkeerd had geïnterpreteerd. De GBA had wel degelijk betwist dat een vrije school als een ‘overheidsinstantie’ in de zin van de GDPR zelf kon worden beschouwd, een punt dat het Marktenhof moest onderzoeken. De zaak werd terugverwezen naar een anders samengesteld Marktenhof.
5. Derde arrest Marktenhof (27 februari 2024): Het Marktenhof boog zich opnieuw over de zaak en kwam tot dezelfde conclusie: geen boete mogelijk. Het Hof analyseerde de Belgische wet en de voorbereidende werken en stelde dat een vrije gesubsidieerde school, die een taak van algemeen belang vervult en grotendeels door de overheid wordt gefinancierd, niet kan worden beschouwd als een rechtspersoon die ‘diensten op de markt’ aanbiedt. Het Hof oordeelde bovendien dat deze Belgische regeling niet in strijd is met het Europees recht, omdat een dergelijke school functioneel als een ‘overheidsorgaan’ in de zin van de GDPR kan worden gezien.

De ultieme vraag voor het Hof van Justitie

De GBA, ontevreden met deze uitkomst, heeft opnieuw cassatieberoep aangetekend. Dit leidt ons tot het meest recente en cruciale hoofdstuk in deze saga. Het Hof van Cassatie heeft op 27 juni 2025 beslist de knoop niet zelf door te hakken, maar een prejudiciële vraag te stellen aan het Hof van Justitie van de Europese Unie (HvJ-EU).

De vraag luidt, vrij vertaald:

“Verzet artikel 83.7 van de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG, in samenhang gelezen met punten 38 en 58 van de considerans en de artikelen 6.1, f), 8, 57.1, b), van deze verordening, zich tegen een nationaalrechtelijke regeling waarbij de toezichthoudende autoriteit geen administratieve geldboete kan opleggen aan rechtspersonen met een privaatrechtelijk statuut die gesubsidieerd vrij onderwijs verstrekken?

Het Hof van Cassatie vraagt het Europees Hof dus of de Belgische uitzondering voor scholen wel verenigbaar is met het doel van de GDPR om een effectieve en afschrikkende handhaving te garanderen, zeker wanneer de gegevensbescherming van kwetsbare groepen zoals kinderen in het geding is.

Wat betekent dit voor uw school of organisatie?

De uitspraak van het Europees Hof van Justitie zal van groot belang zijn.

• Indien het Hof oordeelt dat de Belgische vrijstelling toegelaten is, zullen vrije gesubsidieerde scholen in België in principe geen administratieve boetes van de GBA kunnen krijgen. Let wel: andere corrigerende maatregelen zoals een bevel om de gegevensverwerking aan te passen, een berisping of een tijdelijk verbod blijven wel mogelijk.
• Indien het Hof oordeelt dat de Belgische vrijstelling in strijd is met de GDPR, zal de GBA de bevoegdheid hebben om ook aan vrije gesubsidieerde scholen (en mogelijk andere gesubsidieerde vzw’s met een overheidstaak) effectief boetes op te leggen. Dit zou de handhavingspraktijk in de Belgische non-profit- en onderwijssector drastisch veranderen.

Ongeacht de uitkomst, benadrukt deze zaak het cruciale belang voor elke onderwijsinstelling in Vlaanderen om haar gegevensverwerkingen grondig te evalueren en te zorgen voor volledige conformiteit met de GDPR. De risico’s zijn immers niet enkel financieel, maar betreffen ook reputatieschade en het vertrouwen van ouders en leerlingen.