Mag de GBA bepalen welke toezichthouder in uw privacyverklaring staat?

Nee. Het Marktenhof oordeelde op 7 oktober 2026 dat de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) haar bevoegdheid te buiten ging toen zij een organisatie beval de Vlaamse Toezichtcommissie uit haar privacyverklaring te schrappen. De Algemene Verordening Gegevensbescherming (hierna: AVG) vraagt enkel dat de betrokkene weet dat hij klacht kan indienen bij een toezichthoudende autoriteit, niet welke autoriteit bevoegd is. De zaak was ingeleid door de Vlaamse Toezichtcommissie zelf, die geen partij was geweest voor de Geschillenkamer maar als derde-belanghebbende in beroep ging tegen de beslissing over het CAW Oost-Vlaanderen.

In het kort:

• Het hof van beroep te Brussel (sectie Marktenhof) vernietigde op 7 oktober 2026 beslissing 205/2025 van de Geschillenkamer van 8 december 2025, in zoverre die het CAW Oost-Vlaanderen beval zijn privacyverklaring aan te passen zodat enkel de GBA als toezichthoudende autoriteit wordt vermeld.
• Volgens het Marktenhof verleent geen enkele wetsbepaling de Geschillenkamer de bevoegdheid om, bij wijze van bevel aan een verwerkingsverantwoordelijke, te oordelen of de Vlaamse Toezichtcommissie een toezichthoudende autoriteit is.
• Het arrest beslist niets over de status van de Vlaamse Toezichtcommissie zelf; die vraag ligt bij de Raad van State, die op 31 maart 2026 nog oordeelde dat de commissie in 2022 geen toezichthoudende autoriteit was.

De feiten

Het Centrum Algemeen Welzijnswerk Oost-Vlaanderen kreeg in 2020 en 2021 twee klachten tegen zich bij de GBA. Die klachten gingen over inzage in gespreksnota’s die verband hielden met het professioneel functioneren van een klager. De Inspectiedienst van de GBA deed daarnaast enkele vaststellingen die buiten de klachten vielen. Een daarvan betrof de privacyverklaring van het CAW.

Die privacyverklaring verwees op 2 februari 2022 niet naar de GBA, maar naar de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens (VTC). Een oudere versie had de GBA wel genoemd. Bij een nieuwe raadpleging van de website op 28 november 2025 stelde de Geschillenkamer vast dat de verklaring intussen beide instanties vermeldde, met adres, telefoonnummer en e-mailadres: eerst de VTC, daarna de GBA.

De VTC is de toezichthouder die het Vlaams Parlement in 2018 heeft opgericht voor de verwerking van persoonsgegevens door de Vlaamse instanties, de lokale besturen en de instellingen met een publieke taak. Zij is een autonome dienst met rechtspersoonlijkheid op grond van artikel 10/1 van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer (hierna: e-Govdecreet). De vraag of zij ook een toezichthoudende autoriteit is in de zin van de AVG, is sinds 2023 voorwerp van discussie tussen de federale en de Vlaamse toezichthouder.

In haar beslissing 205/2025 van 8 december 2025 berispte de Geschillenkamer het CAW voor de geweigerde inzage en legde zij enkele bevelen op. Eén daarvan luidde dat het CAW zijn privacyverklaring moest aanpassen overeenkomstig de artikelen 13, lid 2, d) en 14, lid 2, d) van de AVG, zodat duidelijk wordt dat de GBA de enige toezichthoudende autoriteit is voor zijn verwerkingen, en niet (ook) de Vlaamse Toezichtcommissie. De Geschillenkamer motiveerde dat bevel met de vaststelling dat er geen samenwerkingsakkoord over de taakverdeling tussen de GBA en de VTC bestaat, zodat de VTC volgens haar vandaag niet de hoedanigheid van volwaardige toezichthoudende autoriteit heeft.

De VTC was geen partij in de procedure voor de Geschillenkamer. Zij stelde op 7 januari 2026 toch beroep in bij het Marktenhof, de sectie van het hof van beroep te Brussel die de beroepen tegen beslissingen van de GBA behandelt. Haar beroep was beperkt tot het bevel over de privacyverklaring. De GBA vroeg in ondergeschikte orde prejudiciële vragen aan het Grondwettelijk Hof en het Hof van Justitie.

De beslissing

Het hof van beroep te Brussel (sectie Marktenhof) behandelde twee vragen: mocht de VTC als buitenstaander beroep instellen, en mocht de Geschillenkamer het bevel over de privacyverklaring opleggen. Het arrest werd uitgesproken op 7 oktober 2026 (HvB Brussel (Marktenhof) 7 oktober 2026, 2026/AR/43).

Het beroep van een derde die geen partij was voor de Geschillenkamer

Artikel 108, § 3 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (hierna: WOG) laat iedere derde-belanghebbende toe om binnen dertig dagen na de bekendmaking van een beslissing op de website van de GBA beroep in te stellen bij het Marktenhof. Een derde-belanghebbende is de persoon die geen partij was in de procedure voor de Geschillenkamer, maar door de beslissing een persoonlijk, rechtstreeks, zeker, actueel en wettig nadeel lijdt.

Het Marktenhof oordeelde dat de VTC aan die omschrijving beantwoordt. Een bevel dat zegt dat zij niet in een privacyverklaring mag staan als toezichthoudende overheid, tast volgens het hof van beroep onmiskenbaar haar rechtspositie aan. Het beroep was ook tijdig, en dus ontvankelijk.

De bevoegdheid van de Geschillenkamer om de privacyverklaring te laten aanpassen

Het Marktenhof vertrok van een beginsel van openbare orde: een bestuurlijke overheid heeft enkel de bevoegdheden die de wet haar toekent. Het hof van beroep verwees daarvoor naar een arrest van de Raad van State (RvS 9 mei 2019, nr. 244.424). Vervolgens liep het de bevoegdheden van de Geschillenkamer af: artikel 4, § 1 WOG geeft de GBA het toezicht op de naleving van de AVG, artikel 95, § 1 WOG regelt de opvolging van een klacht en artikel 100, § 1 WOG somt zestien maatregelen op die de Geschillenkamer na een behandeling ten gronde kan nemen. Daaronder valt het bevel om een verwerking in overeenstemming te brengen (artikel 100, § 1, 9° WOG).

Het hof van beroep legde dat bevel naast de transparantieplicht van de AVG. De artikelen 13, lid 2, d) en 14, lid 2, e) AVG (de Geschillenkamer had per vergissing naar artikel 14, lid 2, d) verwezen) verplichten de verwerkingsverantwoordelijke om de betrokkene te informeren dat hij het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit. Volgens het Marktenhof vereisen die bepalingen kennelijk niet dat de privacyverklaring zegt welke autoriteit op dat ogenblik precies bevoegd is. De AVG laat per lidstaat meerdere toezichthoudende autoriteiten toe, en dat was volgens het hof van beroep onbetwist. Precieze identificatie vraagt de AVG wel voor de verwerkingsverantwoordelijke zelf en voor de contactgegevens van de functionaris voor gegevensbescherming (artikelen 13, lid 1 en 14, lid 1 AVG), maar niet voor de toezichthouder.

Daaruit volgde voor het Marktenhof dat het bevel om de VTC uit de privacyverklaring te schrappen geen bevel is in de zin van artikel 100, § 1, 9° WOG, gelezen samen met de artikelen 13, lid 2, d) en 14, lid 2, e) AVG. De Geschillenkamer had het CAW kunnen bevelen om het klachtrecht te vermelden als dat ontbrak. Maar geen enkele bepaling geeft haar de bevoegdheid om te beoordelen of de VTC een toezichthoudende autoriteit is, en om daaraan lastens het CAW een bevel te koppelen omdat er geen samenwerkingsakkoord over de taakverdeling bestaat.

Die vraag hoort volgens het hof van beroep thuis in een procedure ten gronde tegen een beslissing van de ene of de andere toezichthouder. Het Marktenhof verwees als voorbeeld naar het arrest RvS 31 maart 2026, nr. 266.244 en naar een beroep dat bij de afdeling bestuursrechtspraak van de Raad van State hangt onder rolnummer 243.534/X-18.926.

Het besluit was dat de Geschillenkamer manifest buiten haar materiële bevoegdheid was getreden. De bestreden beslissing werd op dat punt vernietigd. De overige grieven van de VTC behandelde het hof van beroep niet, omdat die niet tot een ruimere vernietiging konden leiden. Het zag evenmin reden om het Grondwettelijk Hof of het Hof van Justitie te bevragen. De GBA werd veroordeeld tot de kosten: een rechtsplegingsvergoeding van 1.883,72 euro en een bijdrage van 26 euro aan het Begrotingsfonds voor de juridische tweedelijnsbijstand.

Juridische analyse en duiding

Waarom de Geschillenkamer het CAW niet mocht gebruiken om de VTC te treffen

De privacyverklaring van het CAW noemde op 28 november 2025 zowel de VTC als de GBA, elk met volledige contactgegevens. Een betrokkene die wilde klagen, vond dus in elk geval de federale toezichthouder. Toch beval de Geschillenkamer de VTC te schrappen, en zij motiveerde dat niet met een tekort aan informatie voor de betrokkene, maar met haar eigen oordeel over de status van de VTC. Het Marktenhof zag daarin de kern van het probleem: het bevel diende niet de transparantie, maar besliste een institutioneel geschil ten koste van een verwerkingsverantwoordelijke.

De GBA had een verdedigbaar tegenargument. Artikel 13, lid 2, d) AVG is een transparantieregel, en wie de betrokkene naar een instantie stuurt die geen klachten mag behandelen, geeft onjuiste informatie. Onjuiste informatie is geen behoorlijke verwerking, en artikel 100, § 1, 9° WOG laat de Geschillenkamer toe te bevelen dat een verwerking in overeenstemming wordt gebracht. In die lezing is de schrapping van de VTC niets meer dan het rechtzetten van een fout in de privacyverklaring. De Geschillenkamer had deze redenering al eerder gevolgd in haar beslissing 56/2026 van 12 maart 2026, met dezelfde formulering over het ontbrekende samenwerkingsakkoord.

Die lezing houdt om twee redenen niet stand. De eerste is de tekst van de AVG: de bepaling spreekt van “een” toezichthoudende autoriteit en vraagt enkel dat het klachtrecht wordt vermeld. Zolang dat recht in de verklaring staat, is er geen inbreuk die de Geschillenkamer kan laten herstellen. De tweede is de rechtsbescherming. Een bevel aan het CAW raakt de VTC in haar bestaansreden, terwijl de VTC voor de Geschillenkamer niet kon worden gehoord. Het Marktenhof maakte dat procedureel goed door haar als derde-belanghebbende toe te laten, maar de juiste plaats voor zo’n geschil is de rechter die over de bevoegdheid van toezichthouders oordeelt, niet een bevel in een individueel klachtdossier. Dat sluit aan bij een eerder arrest waarin het Marktenhof een GBA-beslissing vernietigde omdat de GBA voor de betrokken verwerking niet bevoegd was, zoals we bespraken in onze analyse over veiligheidsmachtigingen en het recht op een kopie.

Wat de Raad van State en het Grondwettelijk Hof al wél over de VTC beslisten

Het arrest van 7 oktober 2026 zegt niets over de vraag of de VTC een toezichthoudende autoriteit is. Wie het arrest leest als een erkenning van de VTC, leest te veel. De rechtspraak van de andere hoven wijst voorlopig de andere kant uit.

Het Grondwettelijk Hof oordeelde in 2023 tweemaal dat de VTC niet kan worden geacht een bevoegde toezichthoudende autoriteit te zijn in de zin van artikel 36, lid 4 AVG, omdat zij niet was aangemeld bij de Europese instellingen en er geen procedure bestond om haar deelname aan het coherentiemechanisme te verzekeren (GwH 16 februari 2023, nr. 26/2023 en GwH 15 juni 2023, nr. 92/2023). Het coherentiemechanisme is de procedure van artikel 63 AVG waarmee de toezichthoudende autoriteiten van de lidstaten tot een eenvormige toepassing van de verordening komen.

De Raad van State trok die lijn in 2026 door naar de handhaving. In het arrest RvS 31 maart 2026, nr. 266.244 vernietigde hij een beslissing van de VTC van 27 juli 2022 die een stad en een OCMW berispte en een verwerkingsverbod oplegde. De VTC kon op dat ogenblik niet als toezichthoudende autoriteit worden beschouwd, en artikel 10/7, § 1 van het e-Govdecreet bood haar geen zelfstandige rechtsgrond, omdat die bepaling zelf naar artikel 58, lid 2 AVG verwijst. De Raad van State merkte wel op dat er na de arresten van het Grondwettelijk Hof stappen waren gezet om de VTC in regel te stellen, maar dat die stappen van na de bestreden beslissing dateerden.

Die stappen zijn er inderdaad. Het decreet van 29 maart 2024 voegde aan artikel 10/7, § 3 van het e-Govdecreet toe dat de VTC samenwerkt met de GBA en haar medewerking verleent aan de rol van gezamenlijke vertegenwoordiger in het coherentiemechanisme. Wat volgens de Geschillenkamer nog ontbreekt, is een samenwerkingsakkoord over de taakverdeling. Zolang dat er niet is, blijven twee standpunten naast elkaar bestaan: de GBA houdt vol dat de VTC geen volwaardige autoriteit is, en de VTC blijft klachten behandelen op grond van het e-Govdecreet. De rechtsleer had die spanning al bij de oprichting benoemd. DE BOT leidde uit artikel 10/1 van het e-Govdecreet af dat de GBA voor het toezicht op Vlaamse instanties niet langer bevoegd zou zijn, maar wees er tegelijk op dat tijdens de parlementaire behandeling al werd opgemerkt dat de VTC niet voldoende aan de vereisten van de AVG beantwoordt (D. DE BOT, De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context, Mechelen, Wolters Kluwer, 2020, 980-981, nrs. 2509-2510). Het arrest van het Marktenhof beslist die vraag niet; het verwijst ze naar de Raad van State, waar de zaak met rolnummer 243.534/X-18.926 hangt.

Een toezichthouder die als derde-belanghebbende naar het Marktenhof stapt

De VTC stond in december 2025 voor een praktisch probleem. Zij was geen partij voor de Geschillenkamer, zij kon dus niet concluderen, en toch werd in het dictum over haar beslist. Tot begin 2024 had zij daar weinig tegen kunnen doen. Artikel 108, § 3 WOG, ingevoegd bij de wet van 7 september 2023 en in werking sinds 17 februari 2024, opent het beroep bij het Marktenhof voor elke derde-belanghebbende, binnen dertig dagen na de bekendmaking van de beslissing op de website van de GBA.

Het Marktenhof paste die bepaling hier ruim toe. Het nadeel van de VTC was niet financieel en niet feitelijk, maar institutioneel: een bevel dat zegt dat zij niet in een privacyverklaring thuishoort, raakt haar positie als toezichthouder. Dat volstond. Voor de praktijk betekent dit dat niet alleen de verwerkingsverantwoordelijke en de klager een GBA-beslissing kunnen aanvechten, maar ook wie in de beslissing wordt genoemd zonder er partij in te zijn geweest. De termijn van dertig dagen begint dan te lopen bij de publicatie op de website, niet bij een kennisgeving, en dat vraagt dat die partij de publicaties van de GBA zelf opvolgt.

Wat betekent dit concreet?

Voor Vlaamse instanties, lokale besturen en organisaties met een publieke taak. Een CAW, een OCMW, een stad of een door Vlaanderen erkende welzijnsorganisatie mag de VTC in haar privacyverklaring blijven noemen. Het arrest belet de GBA om die vermelding via een bevel te laten schrappen. Wie zekerheid wil, vermeldt beide toezichthouders, zoals het CAW uiteindelijk deed: zo ontbreekt het klachtrecht nooit, welke lezing ook de bovenhand haalt. Wat het arrest niet doet, is garanderen dat een beslissing van de VTC tegen uw organisatie overeind blijft; de Raad van State vernietigde er in maart 2026 nog een wegens onbevoegdheid. Krijgt uw organisatie een corrigerende maatregel van de VTC of een bevel van de GBA, dan is de bevoegdheid van die toezichthouder het eerste wat wij voor u nagaan.

Voor elke verwerkingsverantwoordelijke die een privacyverklaring opstelt. De verplichte inhoud van de artikelen 13 en 14 AVG is beperkter dan vaak wordt gedacht. De identiteit en contactgegevens van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming moeten exact kloppen. Voor de toezichthouder volstaat de vermelding dat de betrokkene het recht heeft om klacht in te dienen bij een toezichthoudende autoriteit. De naam en het adres van de GBA zijn nuttig en gebruikelijk, maar het arrest bevestigt dat een dubbele vermelding, of het ontbreken van de naam van de bevoegde toezichthouder, op zich geen inbreuk oplevert zolang het klachtrecht vermeld staat. Laat u uw privacyverklaring nakijken door een advocaat gespecialiseerd in GDPR of AVG, concentreer de aandacht dan op de rechtsgronden, de bewaartermijnen en de rechten van de betrokkene, waar de Geschillenkamer in dezelfde beslissing wél tekortkomingen vaststelde.

Voor wie in een GBA-beslissing wordt genoemd zonder partij te zijn. Een beslissing van de Geschillenkamer kan gevolgen hebben voor een verwerker, een andere overheid of een toezichthouder die nooit aan de procedure deelnam. Artikel 108, § 3 WOG geeft die partij dertig dagen na de publicatie op de website van de GBA om beroep in te stellen. Wie pas reageert na een brief of een klacht van een klant, is doorgaans te laat. Het arrest toont ook wat zo’n beroep kan opleveren: een gedeeltelijke vernietiging, met de kosten ten laste van de GBA. Dat sluit aan bij een bredere lijn waarin het Marktenhof bevelen van de Geschillenkamer vernietigt wanneer zij hun wettelijke grondslag of hun concrete voorwerp missen, zoals in de zaak over de boete en de bevelen tegen een datamakelaar. Meer over de regels zelf leest u op onze pagina’s over het gegevensbeschermingsrecht.

Veelgestelde vragen (FAQ)

Welke toezichthoudende autoriteit moet ik in mijn privacyverklaring vermelden?

De AVG verplicht u enkel om de betrokkene te melden dat hij het recht heeft om een klacht in te dienen bij een toezichthoudende autoriteit. U hoeft niet te bepalen welke autoriteit precies bevoegd is. In de praktijk vermeldt u best de Gegevensbeschermingsautoriteit met haar contactgegevens. Een Vlaamse instantie of een organisatie met een publieke taak mag daarnaast de Vlaamse Toezichtcommissie noemen; het Marktenhof oordeelde op 7 oktober 2026 dat de GBA die vermelding niet kan laten schrappen.

Is de Vlaamse Toezichtcommissie een toezichthoudende autoriteit onder de AVG?

Daarover bestaat geen definitief antwoord. Het Grondwettelijk Hof en de Raad van State oordeelden in 2023 en 2026 dat de VTC op de betrokken ogenblikken niet als toezichthoudende autoriteit kon worden beschouwd, omdat zij niet was aangemeld bij de Europese instellingen en niet deelnam aan het coherentiemechanisme. Sindsdien wijzigde het Vlaams Parlement het e-Govdecreet, maar een samenwerkingsakkoord met de GBA ontbreekt nog. Het arrest van het Marktenhof van 7 oktober 2026 beslist over die vraag niets.

Kan ik in beroep gaan tegen een beslissing van de GBA als ik geen partij was?

Ja. Sinds 17 februari 2024 kan iedere derde-belanghebbende op grond van artikel 108, § 3 WOG beroep instellen bij het Marktenhof tegen een beslissing van de Geschillenkamer. U moet aantonen dat de beslissing u een persoonlijk, rechtstreeks, zeker, actueel en wettig nadeel berokkent. De termijn van dertig dagen loopt vanaf de publicatie van de beslissing op de website van de GBA, niet vanaf een kennisgeving aan u.

Mijn organisatie kreeg een bevel van de GBA of van de VTC; moet ik dat uitvoeren?

Een beslissing van de Geschillenkamer is in de regel uitvoerbaar bij voorraad, ook als u beroep instelt. Toch loont het om eerst na te gaan of de toezichthouder bevoegd was. Het Marktenhof vernietigde op 7 oktober 2026 een bevel van de GBA omdat het buiten de bevoegdheid van de Geschillenkamer viel, en de Raad van State vernietigde op 31 maart 2026 een berisping en een verwerkingsverbod van de VTC omdat zij geen toezichthoudende autoriteit was. Een bevel van een onbevoegde instantie houdt geen stand.

Conclusie

Het Marktenhof zet een grens aan wat de Geschillenkamer via een bevel aan een verwerkingsverantwoordelijke kan regelen. De artikelen 13 en 14 AVG vragen dat de privacyverklaring het klachtrecht vermeldt, niet dat zij de bevoegde toezichthouder aanwijst, en de WOG geeft de Geschillenkamer geen bevoegdheid om in een individueel dossier te beslissen of de Vlaamse Toezichtcommissie een toezichthoudende autoriteit is. Die vraag blijft in België open zolang de Raad van State er niet definitief over heeft geoordeeld en er geen samenwerkingsakkoord tussen beide toezichthouders bestaat.

---

ICT Rechtswijzer is het kennisplatform van het departement intellectuele eigendom, IT-recht, AI-recht, gegevensbescherming en mediarecht van Everest Advocaten, onder leiding van mr. Joris Deene. Onze advocaten begeleiden overheden, welzijnsorganisaties en ondernemingen bij klachten en onderzoeken van de GBA en de VTC, bij het beroep voor het Marktenhof en bij het nazicht van hun privacyverklaring.