Geen nood aan concrete gegevensverwerking voor inbreuk op AVG

Welk belang heeft het Cassatiearrest van 7 oktober 2021?

Een recent Cassatiearrest van 7 oktober 2021 (nr. C.20.0323.N) heeft andermaal het belang aangetoond van de eerbiediging van de AVG in alle stadia van praktijken die zouden kunnen leiden tot inbreuk op de AVG.

Het arrest van het Marktenhof dat gedeeltelijk vernietigd werd, bleek te impliceren dat er geen sprake zou zijn van een schending van de AVG wanneer er geen concrete verwerking van persoonsgegevens is.

Is er een concrete gegevensverwerking nodig om de conformiteit met de AVG te onderzoeken?

Nee. Het Hof van Cassatie stelde echter dat een concrete gegevensverwerking geen voorwaarde is voor het onderzoeken of een bepaalde praktijk een schending van de AVG zou inhouden.

In de zaak die aanleiding gaf tot de arresten, vereiste een onderneming het lezen van de eID van een klant voor de aanmaak van een klantenkaart.

Bij een weigering die eID te geven, worden de persoonsgegevens niet verwerkt.

Zelfs zo er in een bepaalde zaak dus geen concrete verwerking van persoonsgegevens is, dient men dus steeds de naleving van de AVG in de bredere context te onderzoeken.

Zo de eID wordt afgegeven, stelt zich echter de vraag of de toestemming voor het verwerken van de persoonsgegevens wel vrij gegeven is omdat de klant anders het voordeel van de kortingen verliest.

In de concrete zaak, stelde ook het principe van minimale gegevensverwerking een probleem. Er werden teveel onnodige gegevens van de eID verwerkt (zoals geboortedatum, geslacht…).