Wie is verantwoordelijk voor een foutieve publicatie van persoonsgegevens in het Belgisch Staatsblad?

Een publicatie in het Belgisch Staatsblad lijkt in steen gebeiteld. Maar wat als die publicatie, door een menselijke fout, gevoelige persoonsgegevens bevat die er nooit in hadden mogen staan, zoals uw bankrekeningnummer? Een recente juridische procedure heeft deze vraag tot op het bot uitgebeend. De zaak, die begon met een ongelukkige vergissing bij een notaris, legde een fundamenteel conflict bloot tussen de Algemene Verordening Gegevensbescherming (AVG) en een van de hoekstenen van ons Belgisch recht: de onveranderlijkheid van het Belgisch Staatsblad.

De aanleiding

De zaak kwam aan het rollen na de publicatie van een uittreksel van een akte van kapitaalvermindering van een vennootschap. De notaris die de akte had opgesteld, maakte een fout en nam in het uittreksel voor het Staatsblad niet enkel de wettelijk verplichte gegevens op, maar ook de terugbetaalde bedragen én de bankrekeningnummers van de betrokken aandeelhouders. De publicatie van deze financiële gegevens was op geen enkele manier wettelijk vereist.

Toen de aandeelhouder dit ontdekte, ondernam hij via zijn notaris onmiddellijk stappen om deze uiterst gevoelige informatie te laten verwijderen, beroepend op zijn “recht op gegevenswissing” uit de AVG. Het leek een eenvoudige rechtzetting, maar dat was het allerminst. De FOD Justitie, als beheerder van het Belgisch Staatsblad, weigerde de oorspronkelijke publicatie te verwijderen. De dienst beriep zich op het principe van onveranderlijkheid: wat in het Staatsblad staat, kan niet met terugwerkende kracht gewijzigd of gewist worden. Als alternatief stelde de FOD Justitie voor om een nieuw, gecorrigeerd uittreksel te publiceren, maar dat was geen oplossing, aangezien de oorspronkelijke, foute publicatie met de bankgegevens gewoon online beschikbaar zou blijven.

Hierop diende de aandeelhouder een klacht in bij de Gegevensbeschermingsautoriteit (GBA).

De juridische stappen: GBA, Marktenhof en Hof van Justitie

De Gegevensbeschermingsautoriteit (GBA) volgde de redenering van de FOD Justitie niet. In haar beslissing (nr. 38/2021) van 23 maart 2021 oordeelde de GBA dat het Belgisch Staatsblad wel degelijk als verwerkingsverantwoordelijke moest worden beschouwd en legde een berisping op, alsook het bevel om alsnog gevolg te geven aan het verzoek van de klager en de persoonsgegevens binnen de 30 dagen te wissen. De GBA stelde dat volgens de definitie in de AVG, de verwerkingsverantwoordelijke de entiteit is die het doel en de middelen voor de gegevensverwerking bepaalt. Hoewel de plicht tot publicatie in de wet staat, is het de FOD Justitie die de concrete invulling beheert: de website, de databanken, en de manier waarop de gegevens online worden gepresenteerd en doorzoekbaar gemaakt. Door deze controle over het “hoe” van de publicatie, voldeed het Staatsblad aan de definitie.

De Belgische Staat, optredend voor de FOD Justitie, tekende beroep aan tegen deze beslissing bij het Marktenhof. Het Marktenhof besloot in een arrest van 22 februari 2022 twee prejudiciële vragen aan het Hof van Justitie van de Europese Unie te stellen:

1. Kan een orgaan zoals het Belgisch Staatsblad, dat wettelijk verplicht is om door derden aangeleverde akten te publiceren zonder de inhoud ervan te controleren, worden beschouwd als een “verwerkingsverantwoordelijke”?
2. Indien ja, is het Staatsblad dan als enige verantwoordelijk, of deelt het die verantwoordelijkheid met de partijen (in casu de notaris) die de gegevens hebben aangeleverd?

Het arrest van het Hof van Justitie: een keten van aparte verantwoordelijkheden

In zijn arrest van 11 januari 2024 (C-231/22) gaf het Hof van Justitie een helder en genuanceerd antwoord.

• Ja, het Belgisch Staatsblad is een verwerkingsverantwoordelijke. Het Hof oordeelde dat het Staatsblad het doel (wettelijke openbaarmaking) en de middelen (de publicatie zelf) van de verwerking bepaalt en dus aan de definitie voldoet.
• Neen, er is geen gezamenlijke verantwoordelijkheid. Dit was de cruciale nuance. Het Hof stelde dat er sprake is van een keten van afzonderlijke, opeenvolgende verwerkingen. De notaris is de verwerkingsverantwoordelijke voor het opstellen en correct aanleveren van de akte. De griffie voert een tweede verwerking uit. Het Staatsblad is de derde en laatste verwerkingsverantwoordelijke, en is exclusief en alleen verantwoordelijk voor de verwerking die het zélf uitvoert: de finale publicatie en het online beschikbaar stellen.

Vernietiging GBA-uitspraak door het Marktenhof

Dit is waar de zaak complex wordt. In navolging van het arrest van het Hof van Justitie, vernietigde het Marktenhof in een arrest van 16 april 2025 de beslissing van de GBA. Hoewel het Hof van Justitie de GBA gelijk gaf dat het Staatsblad een verwerkingsverantwoordelijke is, werd de sanctie toch van tafel geveegd.

De reden hiervoor is de lacune in de Belgische wetgeving, zoals ook de Advocaat-Generaal bij het Hof van Justitie had opgemerkt. De Belgische wetgever heeft de FOD Justitie in een onmogelijke spagaat geplaatst:

• Enerzijds verplicht de Belgische wet het Staatsblad tot integrale en onveranderlijke publicatie van wat wordt aangeleverd.
• Anderzijds verplicht de AVG diezelfde entiteit om, als verwerkingsverantwoordelijke, foute of overtollige gegevens te kunnen wissen.

De Belgische wet voorziet simpelweg niet in een “delete-knop” of een procedure om deze twee verplichtingen met elkaar te verzoenen. Het Marktenhof oordeelde daarom dat de GBA geen sanctie kon opleggen aan de FOD Justitie voor het niet naleven van een AVG-verplichting (wissen van gegevens), wanneer de nationale wetgeving die handeling expliciet leek te verbieden en er geen wettelijk kader was om dit conflict op te lossen. De juridische basis voor de sanctie was dus, door deze complexiteit, onvoldoende.

Wat betekent dit voor u als notaris of onderneming?

Dit arrest is een waarschuwing die de verantwoordelijkheid van diegene die de gegevens aanlevert, nog zwaarder maakt. Nu blijkt dat een gedupeerde burger in de praktijk zijn AVG rechten niet kan afdwingen bij FOD Justitie (Belgisch Staatsblad), zal hij zich onvermijdelijk richten tot de bron van de fout:

• U bent en blijft de eerste, en nu de facto enige, aanspreekbare partij. Als notaris, accountant, adviseur of bestuurder van een onderneming die een akte opstelt voor publicatie, bent u de primaire verwerkingsverantwoordelijke. De juridische impasse bij het Staatsblad betekent dat de volledige last om de schade te herstellen of te vergoeden op uw schouders terechtkomt. U moet er dus absoluut zeker van zijn dat enkel de strikt noodzakelijke persoonsgegevens in het uittreksel worden opgenomen.
• Een fout is een datalek met directe gevolgen. Het per vergissing publiceren van overtollige gegevens (zoals een bankrekeningnummer) is een datalek dat gemeld moet worden aan de Gegevensbeschermingsautoriteit, conform artikel 33 van de AVG. Waar het Staatsblad momenteel aan een sanctie ontsnapt, bent u als aanleveraar wél direct en volledig blootgesteld aan de gevolgen.
• Zware sancties zijn een reëel risico. De AVG voorziet in zware administratieve boetes, die kunnen oplopen tot € 20 miljoen of 4% van de totale jaaromzet. De kans dat een klacht of schadeclaim zich nu rechtstreeks tegen de notaris of de onderneming zelf richt, is door dit arrest aanzienlijk toegenomen.