Conform de GDPR heeft een persoon wiens persoonsgegevens onrechtmatig worden verwerkt het recht om bij de toezichthoudende authoriteit een klacht in te dienen.

Maar is het enkel de betrokkene zelf die een klacht of een verzoek kan indienen, of kunnen derden ook in naam van deze betrokkene of betrokkenen een klacht of een verzoek bij de toezichthoudende authoriteit indienen?

Te onthouden

• Niet alleen de betrokkene kan bij de GBA een klacht of een verzoek indienen wegens het onrechtmatig verwerken van persoonsgegevens, ook derden kunnen dit.
• Opdat het ingediende verzoek of klacht ontvankelijk is moet de klacht of het verzoek voldoen aan voorwaarden.
• Zelfs indien de niet toegestane verwerkingen van persoonsgegevens achter de rug van de verwerkingsverantwoordelijke gebeuren blijft de meldingsplicht bij de GBA bestaan.
• De verwerkingsverantwoordelijke blijft verantwoordelijk voor het hebben van gepaste technische en organisatorische maatregelen.
• Organisaties met een partner relatie doen er best aan een doorgifte aan een partner vooraf goed te doordenken alvorens over te gaan tot de voorgenomen doorgifte.

Achtergrond

Soms ontdekt men dat er verwerkingen van persoonsgegevens zijn gebeurd zonder dat men als verwerkingsverantwoordelijke daarvoor de toestemming heeft gegeven.

Dit gebeurt bijvoorbeeld doordat een derde die operationeel geen uitstaans heeft met de organisatie van de verwerkingsverantwoordelijke, of in sommige gevallen zelfs een insider van de verwerkingsverantwoordelijke, op een of andere manier persoonsgegevens die de verwerkingsverantwoordelijke verwerkt in handen kreeg en doorspeelt naar een derde voor gebruik.

We praten hier niet over de klassieke use-cases, zoals bijvoorbeeld een kwaadwillige inbraak waarbij persoonsgegevens werden buitgemaakt die dan onrechtmatig worden gebruikt, maar wel over organisaties of instellingen die min of meer een partner relatie met elkaar hebben; en waarbij doorgiftes van persoonsgegevens soms onbesuisd gebeuren voor allerlei op voorhand niet voorziene doeleinden.

In een dergelijk geval kan het voorkomen, en is het trouwens ook de plicht van de verwerkingsverantwoordelijke, dat de verwerkingsverantwoordelijke zelf bij de GBA een klacht indient voor een onrechtmatige verwerking.

Klacht of verzoek van een derde

De Wet inzake de oprichting van de Gegevensbeschermingsauthoriteit (GBA) laat toe dat een andere dan de betrokkene of betrokkenen zelf een klacht indienen bij de GBA wegens ongeoorloofde verwerkingen van persoonsgegevens.

” Art. 58. Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een verzoek indienen bij de Gegevensbeschermingsautoriteit. ”

Het indienen van een klacht is voor de klager weliswaar kosteloos, maar moet wel aan enkele voorwaarden voldoen.

Het feit dat eenieder een klacht of een verzoek kan indienen betekent dat ook een natuurlijk persoons een klacht of een verzoek kan indienen.

Het is dus niet noodzakelijk dat het verzoek of de klacht uitgaat van een rechtspersoon, bijvoorbeeld een organisatie die de rechten van personen wiens persoonsgegevens onrechtmatig worden gebruikt verdedigt.

Voorwaarden voor ontvankelijkheid

Om ontvankelijk te zijn moet de klacht zijn opgesteld:

• in één van de drie landstalen;
• een uiteenzetting bevatten van de feiten, evenals de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft;
• door een daartoe bevoegd persoon zijn ondertekend.

Ook voor een verzoek zijn er voorwaarden opdat het verzoek ontvankelijk is.

Zo moet het verzoek:

• zijn opgesteld is in één van de drie landstalen;
• door een daartoe bevoegd persoon zijn ondertekend.

De eerstelijnsdienst van de GBA kan de klager of de verzoeker uitnodigen om zijn klacht of zijn verzoek verder toe te lichten.

Wordt er aan deze voorwaarden niet voldaan, dan zal de klacht of het verzoek onontvankelijk worden verklaard.

Technische en organisatorische maatregelen

De ontvankelijkheid van de klacht of het verzoek, belet echter niet dat de verwerkingsverantwoordelijke de nodige maatregelen, zowel op technisch als op organisatorisch vlak, had moeten nemen om te voorkomen dat er een inbreuk op persoonsgegevens is gebeurd.

Hoewel de verwerkingsverantwoordelijke er zelf belang bij heeft om onrechtmatige verwerkingen die achter haar rug gebeuren te melden bij de GBA, onslaat dit haar immers niet te allen tijde ervoor te zorgen dat de persoonsgegevens die zij verwerkt voldoende beschermd zijn.

Bloep, 30 augustus 2026.

OPGELET: deze blog is geen juridisch advies. De verwerking van persoonsgegevens is vaak een case-by-case verhaal, en dient daarom ook op die basis te worden beoordeeld. Aarzel daarom niet om contact op te nemen om uw specifieke situatie te bespreken via ons Contact Formulier.