ANPR, basisaktes en jagers: de GBA sprak zich in maart opnieuw uit over privacy

De Gegevensbeschermingsautoriteit (GBA) publiceerde de voorbije weken opnieuw verschillende beslissingen over de bescherming van persoonsgegevens. Of het nu gaat over een jager wiens naam online verscheen, een gemeente die ANPR-camera's inzette zonder de juiste voorzorgen, of een syndicus die een basisakte doorstuurde: telkens weer blijkt hoe alledaagse situaties kunnen botsen met de privacyregels. We zetten de drie zaken voor u op een rij.

Op jacht naar privacy - Beslissing 68/2026 van 25 maart 2026

Een jager vroeg samen met enkele collega's een afwijking aan op de bescherming van vogels. Een administratie (het SPW) stuurde die aanvraag, inclusief namen en persoonsgegevens, door naar een adviesorgaan (het CESE). Tot zover niets ongewoons. Maar het CESE publiceerde zijn advies daarna gewoon op het internet, inclusief de volledige naam van de jager.

De jager stapte naar de GBA en vroeg zijn gegevens te laten verwijderen. Het CESE weigerde, met als argument dat het wettelijk verplicht was transparant te zijn.

De GBA gaf de jager gelijk. Een overheidsinstelling kan zich namelijk niet beroepen op "gerechtvaardigd belang" als rechtsgrond voor het verwerken van persoonsgegevens; die mogelijkheid is uitdrukkelijk uitgesloten voor overheden. En de wet verplicht het CESE nergens om namen van betrokkenen te publiceren. Bovendien is het niet onbelangrijk dat de publicatie ook onthulde dat de betrokkene aan de jacht doet en dus vuurwapens bezit, informatie die gevoelig kan liggen.

De uitkomst: het CESE krijgt een waarschuwing en moet de gegevens binnen 30 dagen verwijderen. Ook het SPW krijgt een waarschuwing omdat het te laat reageerde op het toegangsverzoek van de jager.

Wat leert ons dit? Transparantie is een plicht voor overheden, maar dat betekent niet dat alles zomaar online mag. Het publiceren van persoonsgegevens vereist altijd een duidelijke wettelijke grondslag. Heeft u gegevens van uzelf teruggevonden op een overheidspagina zonder dat u daarvoor toestemming gaf? Dan heeft u het recht om verwijdering te vragen.

ANPR-camera's in de straat - Beslissing 56/2026 van 12 maart 2026

De gemeente Dilbeek wilde sluipverkeer aanpakken en koos voor een systeem van ANPR-camera's gekoppeld aan een vergunningensysteem. Wie zonder vergunning door de zone reed tijdens de spitsuren, riskeerde een boete. Een inwoner weigerde zijn gegevens in te geven en reed sindsdien enkel nog met de fiets door de wijk. Hij diende klacht in bij de GBA.

Na een uitgebreid onderzoek door de Inspectiedienst kwamen maar liefst tien inbreuken aan het licht. De voornaamste conclusies:

• De gemeente kon niet aantonen dat ze de noodzakelijkheid en proportionaliteit van deze grootschalige gegevensverwerking vooraf had afgewogen. Alternatieven werden wel verkeerskundig onderzocht, maar niet vanuit een privacyperspectief.

• Er was geen bewaartermijn bepaald voor de verzamelde gegevens. In de praktijk werden sommige gegevens jaren bijgehouden.

• Door bezoekers te koppelen aan bewoners ontstond er onbedoeld een soort contactregistratiesysteem, zonder enige noodzaak daarvoor.

• De gemeente raadpleegde gegevens uit de Kruispuntbank van de Voertuigen waartoe ze geen toegang had, zoals het chassisnummer.

• De wettelijk verplichte logbestanden voor raadplegingen van het Rijksregister waren onvolledig of ontbraken.

De Inspecteur-Generaal had de verwerking al in oktober 2024 tijdelijk opgeschort wegens een onmiddellijk ernstig risico voor de betrokkenen.

De uitkomst: de gemeente Dilbeek krijgt een berisping.

Wat leert ons dit? Technologie mag dan efficiënt zijn, ze ontslaat niemand van de plicht om vooraf na te denken over privacy. Wie grootschalig persoonsgegevens verwerkt, moet dat grondig documenteren én kunnen aantonen waarom er geen minder ingrijpend alternatief mogelijk was.

Syndicus stuurt basisakte door: wie is verantwoordelijk? - Beslissing 43/2026 van 4 maart 2026

Een syndicus stuurde per e-mail een gewijzigde basisakte van een appartementsgebouw door naar alle bewoners. In dat document stonden gevoelige persoonsgegevens van de eigenaars: naam, geboortedatum, geboorteplaats, rijksregisternummer, adres, burgerlijke staat en huwelijksgegevens. Een bewoonster diende klacht in.

De centrale vraag was: is de syndicus verantwoordelijk voor deze gegevensverwerking?

De GBA oordeelde van niet. De syndicus voert enkel uit wat de algemene vergadering van de vereniging van mede-eigenaars beslist. Hij bepaalt zelf niet waarvoor en hoe persoonsgegevens worden verwerkt. Die beslissingsmacht ligt bij de vereniging van mede-eigenaars zelf, die kwalificeert als verwerkingsverantwoordelijke.

De uitkomst: de klacht werd geseponeerd, niet omdat er niets mis was met de verspreiding van die gevoelige gegevens, maar omdat ze gericht was tegen de verkeerde partij.

Wat leert ons dit? Als bewoner of mede-eigenaar die een privacyprobleem ervaart in het kader van het beheer van uw gebouw, moet u zich richten tot de vereniging van mede-eigenaars, niet tot de syndicus. Die is juridisch gezien slechts de uitvoerder.

Conclusie: privacy is geen formaliteit

Deze drie beslissingen tonen aan dat privacyregels geen administratieve rompslomp zijn, maar echte rechten beschermen. Of u nu burger, ondernemer of overheid bent: wie persoonsgegevens verwerkt, moet dat kunnen verantwoorden, met een duidelijke rechtsgrond, een concrete noodzaak en de juiste voorzorgen.

Heeft u vragen over uw privacyrechten of over de verplichtingen van uw organisatie? Mr. Franklin helpt u graag verder.

Bron: https://www.gegevensbeschermingsautoriteit.be