De Geschillenkamer van de Belgische gegevensbeschermingsautoriteit (“GBA”) behandelde midden dit jaar twee feitelijk gelijkaardige zaken waarbij een overheidsinstantie resp. vakbondsafgevaardigde van een onderneming e-mails had verstuurd aan een mailinglijst waarbij de bestemmelingen niet in ‘bcc’ werden geplaatst (maar in ‘aan’ of ‘cc’). Hierdoor werden de contactgegevens (e-mailadressen) van alle bestemmelingen voor elk van hen zichtbaar en werden de gegevens op onrechtmatige manier verspreid. Wegens gebrek aan een geldige rechtsgrondslag voor deze verwerking van persoonsgegevens, maakt deze handeling een inbreuk uit op de Algemene Verordening Gegevensbescherming (“AVG”).

In de eerste zaak (Beslissing Geschillenkamer bij de GBA nr. 80/2022 van 13 mei 2022) verstuurde een stad in het kader van een stadsvernieuwingsproject een e-mail naar verschillende burgers die werden geselecteerd om deel te nemen aan workshops. De ontvangers van de mailinglijst werden niet verborgen in ‘bcc’ geplaatst maar in ‘cc’. De stad verstuurde verschillende e-mails aan de ontvangers op deze manier. De Geschillenkamer oordeelde dat de stad hiermee de AVG heeft geschonden omdat ze geen rechtsgrondslag had voor de verspreiding/verwerking van deze gegevens. De stad in kwestie werd gesanctioneerd met een berisping.

In de tweede zaak (Beslissing Geschillenkamer bij de GBA nr. 86/2022 van 1 juni 2022) bracht een vakbondsafgevaardigde van een onderneming verslag uit over de resultaten van de sociale verkiezingen aan het personeel van die onderneming en informeerde zij hen over de contactgegevens en -modaliteiten van de personeelsafgevaardigden. De vakbondsafgevaardigde had alle werknemers in het veld ‘aan’ opgenomen en de vakbonden (extern aan de onderneming) in ‘cc’ waardoor deze laatsten over de identiteitsgegevens en e-mailadressen van het volledige personeelsbestand beschikten. De verspreiding van de e-mailadressen maakte een verwerking uit zonder wettige basis, die een inbreuk vormt op de AVG. De vakbondsafgevaardigde – die in dit geval als verwerkingsverantwoordelijke werd beschouwd, en niet de onderneming zelf – kwam er van af met een waarschuwing voor de toekomst.