Samenwerkingsplicht GDPR: leidt het missen van post van de GBA tot een boete?

De samenwerkingsplicht (artikel 31 Algemene Verordening Gegevensbescherming – AVG/GDPR) verplicht elke verwerkingsverantwoordelijke om actief mee te werken met de Gegevensbeschermingsautoriteit. De Geschillenkamer maakte in haar Beslissing ten gronde 94/2026 van 28 april 2026 duidelijk dat het missen van officiële post — zelfs door vakanties of een gebrekkige interne organisatie — geen excuus vormt en kan leiden tot een administratieve geldboete. In deze zaak kreeg een vzw 1.000 euro boete omdat zij niet had gereageerd op aangetekende brieven en niet was verschenen op de zitting. De boodschap is duidelijk: wie persoonsgegevens verwerkt, moet zorgen voor een werkend kanaal voor officiële communicatie.

De feiten: een grensoverschrijdende klacht over een wisverzoek

Op 28 augustus 2022 diende een natuurlijk persoon een klacht in bij de Franse toezichthouder CNIL. Hij verweet een Belgische stichting dat zij geen gevolg had gegeven aan zijn verzoek tot wissing van zijn persoonsgegevens (artikel 17 AVG).

Omdat het ging om een grensoverschrijdende verwerking, startte de CNIL op 15 maart 2023 de procedure voorzien in artikel 56 AVG om de leidende toezichthouder aan te wijzen. De Belgische Gegevensbeschermingsautoriteit verklaarde zichzelf bevoegd als leidende autoriteit.

Op 24 april 2023 stelde de Geschillenkamer beide partijen per aangetekend schrijven in kennis van de procedure en van de termijnen om conclusies neer te leggen (artikelen 95, § 2 en 99 Wet Verwerking Persoonsgegevens – WVP). Geen van beide partijen reageerde. De Geschillenkamer riep de partijen op voor een zitting op 30 oktober 2025; ook deze oproeping bleef zonder gevolg.

Pas na ontvangst van het proces-verbaal van de zitting reageerde de stichting op 14 november 2025. Zij wiste die dag de gegevens van de klager en leverde daarvan het bewijs aan. Als verklaring voor haar stilzwijgen voerde zij aan dat de aangetekende zendingen tijdens vakantie- of afwezigheidsperiodes waren toegekomen, waardoor de postbehandeling tekortschoot.

De samenwerkingsplicht onder artikel 31 AVG

Artikel 31 AVG bepaalt dat “de verwerkingsverantwoordelijke en de verwerker en, in voorkomend geval, hun vertegenwoordigers op verzoek met de toezichthoudende autoriteit samenwerken bij het vervullen van haar taken”.

De Geschillenkamer kwalificeert het niet-verschijnen op de zitting als een schending van die samenwerkingsplicht. De redenering is opmerkelijk: het indienen van conclusies blijft een vrije keuze (een uitoefening van het recht van verdediging), maar wanneer de Geschillenkamer ambtshalve een zitting belegt op grond van artikel 95 WVP is dat omdat zij bijkomende informatie nodig heeft. Niet verschijnen op een dergelijke ambtshalve oproeping is dan ook geen passieve uitoefening van het recht van verdediging, maar een schending van een actieve verplichting.

De Geschillenkamer stelt vast dat een verwerkingsverantwoordelijke moet zorgen voor een organisatie die toelaat om officiële communicatie via post of e-mail effectief te ontvangen en te beantwoorden. Het niet kennisnemen van de inhoud van die communicatie kwalificeert als nalatigheid in de zin van artikel 83.2.b) AVG.

Voor de oorspronkelijke hoofdklacht — het wisverzoek — oordeelt de Geschillenkamer dat de inbreuk als opgelost moet worden beschouwd. De gegevens werden immers, zij het met grote vertraging, gewist op 14 november 2025. De Geschillenkamer herinnert er wel aan dat de verwerkingsverantwoordelijke een dergelijk verzoek principieel binnen één maand moet beantwoorden (artikel 12.3 AVG).

Juridische analyse en duiding

Nalatigheid volstaat sinds Deutsche Wohnen

Een belangrijk element in de motivering is de uitdrukkelijke verwijzing naar het arrest Deutsche Wohnen van het Hof van Justitie. Dat arrest stelde dat een GDPR-boete kan worden opgelegd zodra de verwerkingsverantwoordelijke nalatig handelt; opzet is geen vereiste (HvJ 5 december 2023, C-807/21, ECLI:EU:C:2023:950, “Deutsche Wohnen”).

De Geschillenkamer past dit principe nu strikt toe op een procedurele tekortkoming. Het feit dat de stichting de aangetekende zendingen niet daadwerkelijk had geopend, ontslaat haar niet van haar verplichtingen. Een verwerkingsverantwoordelijke heeft een eigen, organisatorische plicht om bereikbaar te zijn via de communicatiekanalen die hij gebruikt of publiek bekend maakt. De drempel voor verwijtbaarheid ligt dus bewust laag.

Boeteberekening volgens de EDPB-richtsnoeren

De boeteberekening volgt strikt de Richtsnoeren 04/2022 van de European Data Protection Board De Geschillenkamer kwalificeert de inbreuk als van geringe ernst en bepaalt het startbedrag op 5% van het wettelijk maximum (artikel 83.4.a) AVG, zijnde 10 miljoen euro), wat 500.000 euro oplevert.

Omdat de jaaromzet onder de 2 miljoen euro ligt, past zij de correctie uit punt 65 van de Richtsnoeren toe: het startbedrag wordt herleid tot 0,3% ervan, ofwel 1.500 euro. Twee verzachtende omstandigheden — de gegevens werden uiteindelijk gewist en het ging om een eerste klacht — verminderen het bedrag met nog eens 500 euro, tot uiteindelijk 1.000 euro. De berekening illustreert hoe de schaalcorrecties van de EDPB de wettelijke maxima nuanceren naar de financiële realiteit van kleine entiteiten, zonder de inbreuk evenwel te neutraliseren.

Geen winstoogmerk is geen vrijbrief

De Geschillenkamer hield uitdrukkelijk geen rekening met het sociaal doel van de stichting. De stichting voerde aan dat zij geen personeel had, geen winstoogmerk nastreefde en in financiële moeilijkheden verkeerde, en bepleitte een loutere vermaning op grond van considerans 148 AVG.

Cruciaal in het oordeel was dat de stichting geen recente boekhoudkundige stukken had aangeleverd om haar beweerde financiële kwetsbaarheid hard te maken — ondanks een uitdrukkelijk verzoek daartoe op 18 februari 2026. Het laatst bekende balanscijfer dateerde uit 2010 (omzet 106.665 euro) en werd dan maar als rekenbasis genomen. Wie de proportionaliteitsdiscussie wil voeren, moet dus actuele cijfers op tafel kunnen leggen.

Wat dit concreet betekent voor uw organisatie

Voor verwerkingsverantwoordelijken

Zorg voor een sluitende procedure voor inkomende officiële post — ook tijdens vakantieperiodes. Plan vervanging in, gebruik vakantieautomatisering en richt een centraal kanaal in voor briefwisseling van toezichthouders. Behandel verzoeken tot uitoefening van rechten (inzage, wissing, rectificatie…) binnen één maand, ook wanneer ze via een onofficieel kanaal worden ingediend. En reageer steeds op een oproeping van de Geschillenkamer: niet-verschijnen wordt apart bestraft, ongeacht het lot van de hoofdklacht.

Voor non-profits en kleine organisaties

De GDPR maakt geen onderscheid tussen winstgevende en niet-winstgevende verwerkingsverantwoordelijken. Een vzw of stichting moet dezelfde organisatorische waarborgen treffen als een commerciële onderneming. Een beroep op financiële zwakte werkt enkel als u recente jaarrekeningen kunt voorleggen die de precaire situatie objectief staven; een loutere bewering volstaat niet.

Voor betrokkenen die hun rechten uitoefenen

Een klacht via de Gegevensbeschermingsautoriteit blijft effectief, ook wanneer de tegenpartij stilzwijgend reageert. De Geschillenkamer dwingt de uitoefening van het recht op gegevenswissing af, zelfs jaren na de oorspronkelijke feiten. Het lange procedureverloop in dit dossier toont wel aan dat zo’n traject geduld vergt.

Veelgestelde vragen

Wat is de samenwerkingsplicht onder de GDPR?
Artikel 31 AVG verplicht elke verwerkingsverantwoordelijke en verwerker om op verzoek mee te werken met de Gegevensbeschermingsautoriteit. Dit omvat onder meer het reageren op brieven, het neerleggen van conclusies wanneer dat gevraagd wordt en het aanwezig zijn op zittingen waarop de Geschillenkamer u oproept. Het is een autonome verplichting: een schending leidt tot een afzonderlijke sanctie, los van de inhoudelijke klacht.

Kan een vzw of stichting een GDPR-boete krijgen?
Ja. De GDPR maakt geen onderscheid tussen winstgevende en niet-winstgevende verwerkingsverantwoordelijken. De Geschillenkamer houdt wel rekening met de jaaromzet bij het bepalen van het boetebedrag — voor entiteiten met een omzet onder 2 miljoen euro past zij specifieke schaalcorrecties toe. Een beroep op financiële zwakte werkt echter enkel als u recente jaarrekeningen voorlegt die de precaire situatie objectief staven.

Wat als ik een brief van de GBA mis door vakantie?
Vakantie of personeelsgebrek vormt geen geldig excuus. De Geschillenkamer beschouwt het niet kennisnemen van officiële communicatie als een organisatorische tekortkoming en kwalificeert dit als nalatigheid in de zin van artikel 83.2.b) AVG. U bent verplicht om uw post- en e-mailbehandeling zo te organiseren dat officiële communicatie u tijdig bereikt en wordt beantwoord — ook tijdens afwezigheidsperiodes.

Conclusie

Deze beslissing bevestigt dat de samenwerkingsplicht in de GDPR een autonome verplichting is die los staat van de inhoudelijke inbreuk. Een verwerkingsverantwoordelijke in België die zijn organisatorische bereikbaarheid niet op orde heeft, riskeert een afzonderlijke boete — ook bij geringe ernst en zelfs zonder winstoogmerk. Voor kleine entiteiten blijft het bedrag beperkt, maar het signaal is duidelijk: officiële communicatie van de toezichthouder negeren wordt niet ongestraft gelaten, en de drempel voor verwijtbare nalatigheid ligt sinds het Deutsche Wohnen arrest laag.