Gegevensbeschermingsautoriteit - Klacht met betrekking tot de verplichting van een fotografische afbeelding van de identiteitskaart bij de afgifte van een aangetekende zending door Bpost.

Bron

Onderwerp: Klacht met betrekking tot de verplichting van een fotografische afbeelding van de identiteitskaart bij de afgifte van een aangetekende zending door Bpost.

Hoofdthema's:

• De rechtmatigheid van de praktijk van Bpost om een foto van de identiteitskaart te vragen bij de afgifte van aangetekende zendingen in het licht van de Algemene Verordening Gegevensbescherming (AVG).
• De rechtmatigheid van de gegevens die Bpost via haar online klachtenformulier verzamelt.
• De beoordeling van de informatieverstrekking door Bpost met betrekking tot de verwerking van persoonsgegevens.
• De beoordeling van de naleving van de principes van verantwoordelijkheid en gegevensbescherming door ontwerp en door standaardinstellingen door Bpost.
• De procedurele bezwaren van Bpost tegen de behandeling van de klacht door de GBA.

Belangrijkste Ideeën en Feiten:

I. Feiten en Procedure:

• Een klager (X) weigerde op 28 oktober 2022 om een foto van zijn identiteitskaart te laten nemen bij de ontvangst van een aangetekende zending van Bpost. Ondanks het aanbieden van inzage, volhardde de postbode (na overleg met een verantwoordelijke) dat een fotografische afbeelding noodzakelijk was.
• De klager diende hierop een klacht in bij de GBA.
• De klager diende later een aanvullende klacht in met betrekking tot het online klachtenformulier van Bpost, waarbij hij een kopie van zijn identiteitskaart en privéadres moest verstrekken. Hij stelde dat dit formulier niet voldeed aan artikel 5.1.c) van de AVG (dataminimalisatie).
• De GBA verklaarde de klacht ontvankelijk en de Geschillenkamer besloot dat de zaak ten gronde kon worden behandeld.
• De Geschillenkamer formuleerde verschillende vermeende schendingen van de AVG door Bpost, waaronder schendingen van artikel 5.1.a) en 6 (rechtmatigheid van de verwerking), artikel 5.1.c) (dataminimalisatie), artikel 12 en 13 (informatieplicht), en artikel 5.2 (verantwoordingsplicht) in samenhang met artikel 24 en 25 (gegevensbescherming door ontwerp en door standaardinstellingen).
• Er vond een schriftelijke uitwisseling van argumenten plaats tussen de klager en Bpost, en een hoorzitting op 21 januari 2025.

II. Motivatie:

• Procedurele bezwaren van Bpost: De Geschillenkamer verwierp de argumenten van Bpost dat de procedure onrechtmatig was.
• De klacht werd niet beschouwd als een "actio popularis" omdat de klager een persoonlijk en direct belang had (niet langer aan de praktijk onderworpen willen worden). De anonimiteit van de klager werd gerechtvaardigd geacht en vormde geen schending van de rechten van verdediging van Bpost. De GBA wees op een arrest van het Hof van Cassatie dat stelt dat een betrokkene het recht heeft een klacht in te dienen tegen een verwerking die hij strijdig acht met de wet, zelfs als zijn gegevens niet direct werden verwerkt.
• "[…] qu’une personne concernée a le droit d’introduire une réclamation auprès de l’autorité de protection des données contre un traitement dont elle estime qu’il viole les droits que lui confère la [loi du 30 juillet 2018]6, tel que le droit à un traitement minimal de ses données à caractère personnel, conformément à l’article 5, paragraphe 1, point c), de la [loi du 30 juillet 2018], afin qu’elle puisse bénéficier d’une prestation ou d’un service. C’est également le cas lorsque les données des personnes concernées n’ont pas été traitées elles-mêmes, mais qu’elles sont l’objet d’un traitement » (Verwijzend naar het arrest van het Hof van Cassatie van 7 oktober 2021).
• De formulering van de griefen werd als voldoende duidelijk beschouwd.
• De Geschillenkamer stelde dat de beoordeling van de ontvankelijkheid van de klacht uitsluitend bij de Eerstelijn Dienst (SPL) van de GBA ligt en dat zij niet bevoegd is om hierop terug te komen. De beleidslijn inzake het niet verderzetten van klachten (sepotbeleid) is slechts een richtlijn en schept geen afdwingbaar recht.
• Het principe van "ne bis in idem" (niet twee keer voor hetzelfde feit) was niet van toepassing, aangezien de eerdere beslissingen van de GBA (102/2021 en 38/2023) betrekking hadden op feiten die niet identiek waren aan de huidige zaak. Wel werd aangegeven dat de inhoud van deze eerdere beslissingen in de beoordeling van de huidige griefen zou worden meegenomen.
• De Geschillenkamer bevestigde haar bevoegdheid om de zaak te beoordelen op basis van artikel 57.1.f) van de AVG en artikel 32 van de Wet op de Gegevensbeschermingsautoriteit (LCA). De publicatie op de website van de GBA werd beschouwd als algemene informatie en niet bindend voor de beoordeling van deze specifieke zaak.
• Eerste grief: Rechtmatigheid van de praktijk van het nemen van een foto van de identiteitskaart:De Geschillenkamer erkende dat de praktijk van Bpost is voorgeschreven door artikel 9, §1 van het Koninklijk Besluit van 14 maart 2022, wat een geldige rechtsgrondslag vormt in overeenstemming met artikel 5.1.a) en 6.1.c) van de AVG. De bepaling werd als duidelijk, precies en voorspelbaar beschouwd.
• Echter, de Geschillenkamer oordeelde dat de door artikel 9, §1 van het Koninklijk Besluit van 14 maart 2022 geïnduceerde verwerking van gegevens (het nemen van een foto van de identiteitskaart) een schending van het principe van dataminimalisatie (artikel 5.1.c) van de AVG inhoudt.
• De Geschillenkamer merkte op dat een postbode enkel beschikt over de naam, voornaam en adres op de aangetekende zending ter verificatie. Een identiteitskaart bevat echter veel meer gegevens die niet allemaal noodzakelijk zijn voor de verificatie.
• Het feit dat Bpost een alternatief aanbiedt (het noteren van het kaartnummer op het afhaalbericht) toont aan dat niet alle gegevens op de identiteitskaart nodig zijn voor de identiteitscontrole.
• "De Kamer is bijgevolg van oordeel dat de finaliteit beschreven in artikel 9, §1 van het koninklijk besluit van 14 maart 2022 niet de verzameling vereist van alle gegevens die op een identiteitskaart voorkomen."
• De Geschillenkamer concludeerde dat de verwerking die voortvloeit uit artikel 9, §1 van het Koninklijk Besluit van 14 maart 2022 een excessieve verzameling van gegevens impliceert en daarmee artikel 5.1.c) van de AVG schendt. Deze specifieke verwerking moet worden terzijde geschoven of verholpen door passende technische en organisatorische maatregelen.
• Tweede grief: Rechtmatigheid van het online klachtenformulier:De Geschillenkamer stelde vast dat het online klachtenformulier van Bpost het uploaden van een kopie van een identiteitsbewijs vereiste.
• Zij oordeelde dat deze bijkomende vraag naar een kopie van een identiteitsbewijs leidt tot een verzameling van gegevens (naam, voornaam, handtekening, geboorteplaats en -datum) die niet pertinent en niet noodzakelijk zijn voor de verificatie van de identiteit van de klager. De identiteit zou ook enkel aan de hand van naam, voornaam en geboortedatum geverifieerd kunnen worden.
• De Geschillenkamer concludeerde dat Bpost artikel 5.1.c) van de AVG schendt door het onvoldoende evalueren van het principe van dataminimalisatie bij het toevoegen van de verplichting tot het indienen van een kopie van een identiteitsbewijs bij het contactformulier.
• Derde grief: Informatieverstrekking (artikel 12 en 13 AVG):De Geschillenkamer stelde vast dat Bpost informatie over de gegevensverwerking verstrekt via verschillende kanalen (afhaalbericht met link naar privacybeleid, link in de mobiele applicatie van de postbode, en een uitgebreid privacybeleid op de website).
• Zij oordeelde dat de informatie gemakkelijk toegankelijk is en dat Bpost daarmee voldoet aan de vereisten van artikel 12.1 van de AVG. Er werden geen schendingen van artikel 12 en 13 van de AVG vastgesteld.
• Vierde grief: Verantwoordingsplicht en gegevensbescherming door ontwerp en door standaardinstellingen (artikel 5.2, juncto 24 en 25 AVG):Bpost voerde aan technische en organisatorische maatregelen te hebben getroffen om de veiligheid en vertrouwelijkheid van de verzamelde gegevens te waarborgen (beveiligde apparaten, beperkte toegang voor de postbode, veilige en versleutelde opslag, automatische verwijdering na 13 maanden, mogelijkheid tot het voorleggen van andere identiteitsbewijzen, regelmatige opleiding van werknemers).
• Hoewel de Geschillenkamer een schending van artikel 5.1.c) AVG had vastgesteld met betrekking tot de omvang van de verzamelde gegevens, werd er geen afzonderlijke schending van artikel 5.2 juncto 24 en 25 AVG vastgesteld, bij gebrek aan concrete bewijzen van een tekortkoming in de implementatie van de vereiste verplichtingen.
• Desondanks achtte de Geschillenkamer het gezien de schending van artikel 5.1.c) AVG gerechtvaardigd om een waarschuwing aan Bpost te richten om ervoor te zorgen dat zij in de toekomst de effectieve implementatie van passende technische en organisatorische maatregelen kan aantonen om de conformiteit met artikel 5.1.c) AVG te waarborgen.

III. Correctieve Maatregelen:

• De Geschillenkamer beveelt Bpost om de gegevensverzameling via haar online klachtenformulier in overeenstemming te brengen met artikel 5.1.c) van de AVG, zodat enkel pertinente en noodzakelijke gegevens worden verzameld.
• De Geschillenkamer formuleert een waarschuwing aan Bpost op basis van artikel 100, 5° van de LCA, zodat Bpost in de toekomst kan aantonen dat de gegevens die via haar praktijk van de afgifte van aangetekende zendingen worden verzameld, tot een minimum beperkt blijven (dataminimalisatie).

IV. Publicatie van de Beslissing:

• De beslissing zal op de website van de GBA worden gepubliceerd, waarbij de directe identificatiegegevens van de partijen (behalve Bpost) zullen worden verwijderd. De identificatie van Bpost wordt noodzakelijk geacht voor de informatie van het publiek en een goed begrip van de beslissing, gezien de juridische verwijzingen.

Conclusie:

De Geschillenkamer van de GBA oordeelt dat Bpost inbreuk maakt op het principe van dataminimalisatie (artikel 5.1.c) van de AVG zowel bij de praktijk van het nemen van een foto van de identiteitskaart bij de afgifte van aangetekende zendingen (hoewel de onderliggende verplichting in het Koninklijk Besluit als rechtmatig wordt beschouwd) als bij het online klachtenformulier. Bpost wordt bevolen het klachtenformulier aan te passen en ontvangt een waarschuwing met betrekking tot de praktijk bij aangetekende zendingen. De overige griefen met betrekking tot de informatieplicht en de algemene verantwoordingsplicht leidden niet tot een vaststelling van een inbreuk, hoewel een waarschuwing werd geacht opportuun te zijn. De procedurele bezwaren van Bpost werden verworpen.