De Gegevensbeschermingsautoriteit (GBA) is de onafhankelijke Belgische autoriteit die toeziet op de correcte naleving van de grondbeginselen van de bescherming van persoonsgegevens vervat in onder meer de GDPR, de Camerawet, en het Wetboek Economisch Recht. Iedere onderneming dient deze beginselen in principe na te leven en stelt zich bij inbreuken bloot aan sancties die kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, naargelang welk cijfer hoger is.
Elke betrokkene beschikt ten aanzien van uw onderneming over een aantal rechten op basis van de GDPR, en kan ook het initiatief nemen om deze rechten te laten handhaven door de GBA. Dit betekent dat uw klanten, medewerkers, zakenpartners en enige andere contacten kosteloos de GBA kunnen aanspreken om mogelijk problematische gegevensverwerkingen binnen uw onderneming nader te bekijken en in dit verband zo nodig corrigerende maatregelen te laten treffen en sancties op te leggen. Uiteraard kan de GBA ook volledig zelfstandig optreden, bijvoorbeeld wanneer zij twijfels heeft bij een voorgenomen verwerking (zoals bij de installatie van slimme camera’s aan de Belgische kust).
Welke procedures bestaan er voor de GBA?
Heeft de GBA, al dan niet op vraag van een betrokkene, met uw onderneming contact opgenomen in verband met de manier waarop uw onderneming omgaat met persoonsgegevens? Een dergelijke contactname kan kaderen in verschillende procedures waarbinnen de GBA haar bevoegdheden uitoefent, en die zich afspelen voor haar diverse organen:
Bemiddelingsprocedure voor de Eerstelijnsdienst
Een betrokkene kan de Eerstelijnsdienst van de GBA steeds verzoeken om bemiddelend op te treden in verband met een probleem inzake gegevensbescherming waarmee hij/zij ten aanzien van uw onderneming te maken krijgt. De GBA probeert de betrokkene en uw onderneming er dan toe te brengen om onderling een minnelijke oplossing te bereiken. Een onsuccesvolle bemiddeling kan hierbij steeds omgezet worden in een klacht.
Inspectie door de Inspectiedienst
De Inspectiedienst van de GBA is bevoegd om potentiële inbreuken op de GDPR en andere privacyregelgeving te onderzoeken. De Inspectiedienst kan hiertoe onder meer overgaan op eigen initiatief of op initiatief van het Directiecomité van de GBA, wanneer ernstige aanwijzingen van een inbreuk voorliggen. De Inspectiedienst kan ook handelen op vraag van de Geschillenkamer (zie hieronder), indien een klacht ingediend door een betrokkene verder onderzoek vereist. De Inspectiedienst neemt haar bevindingen op in een inspectieverslag dat zij afhankelijk van het geval overmaakt aan het bevoegde orgaan van de GBA dan wel een extern bevoegd orgaan (zoals de procureur des Konings bij mogelijke strafrechtelijke inbreuken) met het oog op verdere behandeling. In afwachting hiervan kan zij onder bepaalde voorwaarden reeds voorlopige maatregelen opleggen. In sommige gevallen is in dit stadium ook seponering mogelijk.
Procedure ten gronde voor de Geschillenkamer
De Geschillenkamer is het administratief geschillenorgaan van de GBA. Zij treedt handhavend op in zaken die haar worden voorgelegd op grond van een klacht van een burger, naar aanleiding van een inspectie op eigen initiatief van de GBA, en in zaken die haar worden voorgelegd door toezichthoudende autoriteiten van andere EU-lidstaten. Afhankelijk van de complexiteit van het dossier, zal voor de Geschillenkamer de verkorte dan wel een volwaardige procedure gevolgd worden.
Een procedure voor de Geschillenkamer lijkt sterk op een gerechtelijke procedure, waarbij partijen hun argumenten naar voren kunnen brengen door deze schriftelijk mee te delen. Concreet zal uw onderneming verweer moeten voeren tegen de klacht (indien deze er is) en de vaststellingen van de Inspectiedienst van de GBA (enkel wanneer een inspectieonderzoek werd verricht). Daarna kan op verzoek nog een hoorzitting worden gehouden, waarbij de leden van de Geschillenkamer verschillende vragen zullen stellen over het dossier en de standpunten van uw onderneming over bepaalde pijnpunten. Vervolgens analyseert de Geschillenkamer het dossier grondig en spreekt zij zich uit over het al dan niet voorliggen van inbreuken op de wetgeving inzake gegevensbescherming. In dit verband is zij bevoegd om naast corrigerende maatregelen, ook administratieve geldboetes en andere sancties op te leggen. Evenwel behoren ook tot de mogelijkheden: berispingen, waarschuwingen, (gedeeltelijke) seponering en buitenvervolgingstelling.
De Geschillenkamer streeft ernaar om zoveel mogelijk van haar beslissingen te publiceren en kan ervoor kiezen om hierbij de naam van uw onderneming kenbaar te maken in de beslissing wanneer hiertoe specifieke redenen voorliggen.
Wanneer u het niet eens bent met een beslissing van de Geschillenkamer ten aanzien van uw onderneming, beschikt uw onderneming over een termijn van 30 dagen vanaf kennisgeving om beroep in te stellen bij het Brusselse Marktenhof.
Indien u bijstand nodig hebt in het kader van een procedure voor de GBA kan u steeds contact opnemen met Olivier Sustronck via olivier@misterfranklin.be. Meer informatie over onze diensten kan u vinden via deze link.