Op 8 oktober publiceerde de Belgische Gegevensbeschermingsautoriteit (GBA) haar Beheersplan, waarin de langetermijnambities van haar Strategisch Plan worden vertaald naar concrete doelstellingen voor het komende jaar. Het Beheersplan 2027 geeft uitvoering aan het nieuwe Strategisch Plan 2026-2028 van de GBA, dat als algemene doelstelling heeft om een evenwichtige bescherming van persoonsgegevens voor alle burgers te waarborgen in een voortdurend evoluerende digitale omgeving.
Deze e-zine gaat eerst in op de specifieke prioriteiten van de GBA voor 2027, onder meer op het vlak van handhaving, en bekijkt vervolgens de organisatie zelf, met bijzondere aandacht voor de Inspectiedienst en de Geschillenkamer.
1. SPECIFIEKE PRIORITEITEN VAN DE GBA
Om haar concrete prioriteiten te bepalen, hanteert de GBA een zogenaamde circulaire aanpak: de activiteiten van haar verschillende diensten zijn erop gericht op elkaar aan te sluiten en elkaar wederzijds te versterken. De jaarlijkse prioriteiten worden opgesplitst in twee complementaire pijlers: informatie en sensibilisering enerzijds en handhaving anderzijds. Een thema dat in een bepaald jaar prioritair is op het vlak van sensibilisering, wordt in principe twee jaar later een prioritair handhavingsthema. Omgekeerd worden de lessen uit handhavingsacties meegenomen bij de keuze van toekomstige sensibiliseringsthema’s waardoor een continue cyclus ontstaat.
Voor 2027 zullen de informatie- en sensibiliseringsinspanningen van de GBA zich richten op:
- profilering en hergebruik van gegevens in de banksector;
- de verwerking van gezondheidsgegevens, met name via gezondheidsapps; en
- boekingsgegevens in de horecasector.
Daarnaast zal de GBA werken aan een actualisering van haar richtlijnen over technische en organisatorische beveiligingsmaatregelen en aan nieuwe richtlijnen op het niveau van de EDPB en het Coordinated Enforcement Framework.
Op vlak van handhaving zal de GBA proactief twee thema’s aanpakken:
- gegevensverwerking door datahandelaren (data brokers); en
- gegevensverwerking in het kader van videogames.
2. DE GBA ALS ORGANISATIE
2.1 Het Directiecomité
De GBA wordt geleid door haar Directiecomité en bestaat uit vijf diensten. Hun activiteiten kunnen worden samengevat rond vijf complementaire pijlers: informeren, sensibiliseren, adviseren, goedkeuren en sanctioneren. Deze pijlers versterken elkaar volgens dezelfde circulaire logica als hierboven beschreven.
Het Directiecomité, dat bestaat uit de directeurs van de vijf diensten, bepaalt het strategische beleid van de GBA, staat in voor de coördinatie, en vertegenwoordigt de GBA naar buiten toe.
In 2027 zal het zich richten op de opvolging van het Strategisch Plan, een meer collegiale besluitvorming over dossiers in het kader van een verwachte hervorming van de organieke wet van de GBA en een versterking van de externe samenwerking met onder meer de EDPB, internationale instanties en andere toezichthouders.
2.2 Het Algemeen Secretariaat
Het Algemeen Secretariaat biedt horizontale ondersteuning op het vlak van HR, budget, IT, communicatie en juridische zaken, en voert daarnaast inhoudelijke taken uit op het gebied van onder meer certificering, gedragscodes en meldingen van gegevensinbreuken en DPO’s. De prioriteiten voor 2027 omvatten onder meer AI-gestuurde tools om de efficiëntie te verhogen en een gemoderniseerd HR-beleid.
2.3 De Eerstelijnsdienst
De Eerstelijnsdienst, het eerste aanspreekpunt van de GBA voor burgers, verwerkingsverantwoordelijken en verwerkers, behandelt informatieverzoeken, beoordeelt de ontvankelijkheid van klachten en streeft naar een vroegtijdige oplossing ervan.
Het beheersplan bepaalt dat de Eerstelijnsdienst niet langer systematisch elk individueel informatieverzoek zal beantwoorden. In plaats daarvan zal prioriteit worden gegeven aan het eenvoudig toegankelijk maken van algemene informatie. In afwachting van de wetshervorming zal de Eerstelijnsdienst ook nieuwe bevoegdheden krijgen om dossiers te seponeren en meldingen te behandelen.
2.4 De Autorisatie-en Adviesdienst
De Autorisatie- en Adviesdienst brengt adviezen uit over ontwerpwetgeving, formuleert aanbevelingen en verleent bepaalde wettelijk voorziene autorisaties, bijvoorbeeld betreffende toegang tot metadata van communicatie en regelingen voor grensoverschrijdende gegevensstromen.
2.5 De Inspectiedienst
De organieke wet van de GBA omschrijft de Inspectiedienst als het “onderzoeksorgaan” van de GBA.
Krachtens de organieke wet van de GBA beschikt de Inspectiedienst over een uitgebreid arsenaal aan onderzoeksbevoegdheden, gaande van schriftelijke vragenlijsten tot onderzoeken ter plaatse, verhoren, het raadplegen van IT-systemen en het in beslag nemen en verzegelen van goederen en systemen. De dienst bestaat uit inspecteurs met uiteenlopende profielen, waaronder juristen, auditors en experts op het gebied van ICT en informatiebeveiliging, onder leiding van de inspecteur-generaal. Hierdoor is een multidisciplinaire aanpak mogelijk die verder gaat dan een louter juridisch perspectief.
Naast zijn algemene inspectietaak vervult de dienst ook een specifieke auditfunctie. Beide zijn fundamenteel verschillend: een audit is een zachtere, coöperatieve vorm van controle, gecombineerd met begeleiding en uitgevoerd in overleg met de verwerkingsverantwoordelijke om zwakke punten in processen bloot te leggen, terwijl een inspectie een formeler onderzoek betreft. Audits brengen een aanzienlijke werklast met zich mee en zullen naar verwachting steeds belangrijker worden naarmate nieuwe grootschalige en interoperabele EU-databanken worden ontwikkeld.
De werkzaamheden van de Inspectiedienst worden gestuurd door de evenwichtige, proportionele en doeltreffende aanpak van het Strategisch Plan 2026-2028, waarbij rekening wordt gehouden met de aard, ernst en impact van elke inbreuk. Handhaving is daarbij in de eerste plaats gericht op het beëindigen van inbreuken die een aanzienlijk maatschappelijk belang hebben.
Daarnaast evolueert de Inspectiedienst naar een meer proactieve aanpak: controles zullen steeds vaker op eigen initiatief van de GBA worden opgestart in plaats van voornamelijk naar aanleiding van klachten, waarbij meer middelen zullen worden ingezet voor strategische dossiers met een grote impact. Deze verschuiving vindt plaats tegen de achtergrond van uitdrukkelijk geïdentificeerde uitdagingen, waaronder het toenemende aantal en de groeiende complexiteit van dossiers, evenals een door het Parlement aangekondigde aanwervingsstop. Als reactie hierop legt het Strategisch Plan de nadruk op een hervorming van de interne klachtenbehandelingsketen om dossiers rationeler te verdelen tussen de Eerstelijnsdienst, de Inspectiedienst en de Geschillenkamer.
De Inspectiedienst blijft ervan overtuigd dat de inspectiefase op zich een begeleidingsinstrument vormt: onderzoeksmaatregelen zoals vragenlijsten, verhoren, bezoeken ter plaatse of audits leiden vaak al tijdens het lopende onderzoek tot een betere naleving. Om de groeiende werklast van de dienst te beperken, wordt steeds vaker gebruikgemaakt van seponering wanneer de situatie tijdens het onderzoek wordt geregulariseerd. Dit kan zowel de klager, de verwerkingsverantwoordelijke, als de GBA ten goede komen en voorkomt dat de Geschillenkamer een definitieve beslissing moet nemen. De traditionele procedure, waarbij een volledig onderzoeksverslag aan de Geschillenkamer wordt voorgelegd, blijft evenwel beschikbaar voor dossiers die dit rechtvaardigen.
De Inspectiedienst wil onderzoeken of deze seponering in de inspectiefase via een wetswijziging kan worden omgevormd tot een soort formele ingebrekestelling. Daarnaast bereidt de dienst de mogelijkheid voor om schikkingen te treffen in inspectiedossiers. Beide ontwikkelingen zijn afhankelijk van de timing van de geplande hervorming van de organieke wet van de GBA.
Tot slot zal de Inspectiedienst voortdurend aandacht blijven besteden aan verschillende onderwerpen, zoals de rol van de DPO, die nog steeds als een sleutelfiguur wordt beschouwd maar waarbij ruimte voor verbetering blijft bestaan op het vlak van aanstelling, positionering en middelen; datahandelaren, gezien de complexiteit en ondoorzichtigheid van hun gegevensverwerkingen, zoals benadrukt in het Strategisch Plan, en grootschalige gegevensverwerkingen door overheidsinstanties, die bijzonder gevoelig kunnen zijn.
2.6 De Geschillenkamer
De Geschillenkamer ziet toe op de naleving van de regels over gegevensbescherming in zaken die bij haar aanhangig worden gemaakt, op basis van een klacht van een burger, na een inspectie of via het één-loketmechanisme van de AVG voor zaken die door andere Europese toezichthouders worden doorverwezen. Zij vervult een autonome rol binnen de GBA, maar opereert niet geïsoleerd: haar prioriteiten en aanpak worden besproken met de andere diensten van de GBA, in het bijzonder met het Directiecomité.
Tot haar instrumenten behoren corrigerende maatregelen en administratieve geldboeten. Zij past een “verkorte procedure” toe voor eenvoudigere zaken en besteedt bijzondere aandacht aan de procedure van het Informatiesysteem interne markt (IMI) voor grensoverschrijdende zaken met een aanzienlijke impact.
Aangezien de Geschillenkamer niet op eigen initiatief optreedt, maar afhankelijk is van de zaken die bij haar aanhangig worden gemaakt, baseert zij haar beoordeling op de prioriteiten uit het Strategisch Plan en andere strategische documenten van de GBA. Haar seponeringsbeleid omvat negatieve prioriteiten, maar zij hanteert ook positieve prioriteiten waarbij de maatschappelijke impact van een zaak een doorslaggevende rol speelt, met bijzondere aandacht voor de twee prioritaire thema’s van het Strategisch Plan.
Om het hoofd te bieden aan een aanzienlijke instroom van klachten zal een door de GBA opgestart veranderingsproces in 2027 worden voortgezet: een eerdere behandeling van klachten door de Eerstelijnsdienst, gecombineerd met een gestroomlijnde interne geschillenketen, moet de instroom van dossiers bij de Geschillenkamer aanzienlijk verminderen.
Andere prioriteiten voor 2027 zijn onder meer een efficiëntere behandeling van zaken, met kortere beslissingen en waar passend een ruimer gebruik van administratieve geldboeten, het actualiseren van strategische nota’s over seponering, publicatie, dwangsommen, geldboeten en tussenkomst van derden, de ontwikkeling van een vademecum en kennisdatabank, en samenwerking met andere Europese toezichthouders en de EDPB rond het één-loketmechanisme en grensoverschrijdende zaken op grond van de artikelen 60 en 65 van de AVG.
Volgende stappen
Zet in op sensibilisering voordat handhaving volgt: Gelet op de circulaire aanpak van de GBA is het nu al rekening houden met haar richtsnoeren, aanbevelingen en sectorspecifieke sensibiliseringsinitiatieven de meest doeltreffende manier om het risico te beperken dat een organisatie later het voorwerp wordt van een proactief onderzoek wanneer een thema verschuift van informatie en sensibilisering naar handhaving.
Lydian moedigt verwerkingsverantwoordelijken aan om de aanbevelingen van de GBA en de richtlijnen van de EDPB nauwgezet op te volgen, hun inspanningen inzake naleving goed te documenteren en eventuele vastgestelde tekortkomingen aan te pakken voordat een inspectie wordt opgestart.
Contacteer ons
De Information & Communication Technology (ICT)- en Information Governance and Data Protection (Privacy)-teams van Lydian staan tot uw beschikking voor al uw vragen over de meest recente ontwikkelingen op het gebied van gegevensbescherming. Aarzel niet om contact op te nemen met Lydian indien u verdere ondersteuning wenst.
Authors:
- Bastiaan Bruyndonckx, Partner at Lydian
- Olivia Santantonio, Partner at Lydian
- Ines Nibakuze, Associate at Lydian
