Feiten:
Wanneer een persoon na een vraag tot wissen van zijn gegevens nog steeds e-mails met vacatures ontvangt van een uitzendkantoor beslist hij om klacht in te dienen bij de GBA. Daarenboven had het uitzendkantoor eveneens een account aangemaakt op hun nieuwe online platform voor deze persoon.
De GBA beslist dat naar aanleiding van een solicitatie de onderneming de contactgegevens van de werkzoekende kan opnemen op een contactlijst en deze persoon mag contacteren met toekomstige vacatures.
Geen gevolg geven aan een verzoek tot wissen van gegevens
Ondanks meerdere verzoeken en een uitdrukkelijke bevestiging dat de gegevens gewist waren, bleef de klager e-mails ontvangen van het uitzendkantoor.
Het uitzendkantoor ontkent de fout niet maar stelt dat de interne procedure omtrent het wissen van gegevens niet werd nagekomen door een menselijke fout. Doordat het een eenmalig feit lijkt te zijn, het uitzendkantoor zich reeds verontschuldigd heeft bij de klager en bevestigd heeft dat de gegevens thans gewist zijn, beperkt de GBA zich tot het uitspreken van een berisping.
Mag een account aangemaakt worden voor bestaande klanten op een nieuw online platform?
Wat de aanmaak van een account op naam van de klager betreft, stelt de arbeidsbemiddelaar dat zij sinds 2020 werkt met een door de kandidaten zelf te bedienen sollicitatieportaal. Voor de toen reeds ingeschreven kandidaten zoals de klager werd hiervoor automatisch een account aangemaakt en geactiveerd, waarover zij geïnformeerd werden via e-mail.
Voor deze verwerking beroept de arbeidsbemiddelaar zich op de uitvoering van de overeenkomst met de werkzoekenden, net zoals voor het versturen van de vacaturemails. De Geschillenkamer stelt hierbij vast dat de arbeidsbemiddelaar geen bewijs kan voorleggen van het bezorgen van de nodige informatie via e-mail voorafgaand aan de aanmaak van het account, maar stelt vast dat de portaalsite een dienst is die de klager in een moderne online omgeving had moeten verwachten, in het bijzonder gelet op de beschikbare privacyverklaring op het moment van zijn (online) inschrijving voor de diensten van de arbeidsbemiddelaar in april 2019.
De Geschillenkamer stipt ook aan dat de klager geen bewijs inbrengt van zijn eerste (mondelinge) verzoek tot gegevenswissing, hoewel de privacyverklaring uitdrukkelijk verwijst naar het online portaal en twee functionele e-mailadressen voor de uitoefening van AVG-rechten. Onder deze omstandigheden stelt de Geschillenkamer vast dat de persoonsgegevens van de klager vóór diens schriftelijke verzoek tot gegevenswissing werden overgebracht naar de nieuwe portaalsite van de arbeidsbemiddelaar in het kader van haar dienstverlening, waarover de klager werd geïnformeerd bij zijn inschrijving. Het schriftelijke verzoek tot gegevenswissing kwam er immers pas als antwoord op de melding via e-mail aan de klager dat voor hem een account was aangemaakt op de portaalsite in maart 2020. De Geschillenkamer seponeert de klacht voor wat betreft de mogelijke schending van het rechtmatigheids- en transparantiebeginsel voor de verwerking die bestaat uit de aanmaak van het account.
Conclusie
Deze beslissing toont opnieuw aan dat bij het bepalen van een sanctie na het vaststellen van inbreuken tegen de GDPR, de GBA er een groot belang aan hecht dat een onderneming kan aantonen dat zij schriftelijke interne procedures had geimplementeerd rond GDPR. De inbreuken werden enkel bestraft met een berisping.