De bevoegdheden van de Vlaamse Toezichtcommissie (VTC) onder de loep

Op 31 maart 2026 heeft de Raad van State uitspraak gedaan in een beroep tegen een beslissing van de Vlaamse Toezichtcommissie om corrigerende maatregelen op te leggen aan een stad en een OCMW. Dit beroep is van belang omdat het ingaat op de bevoegdheid van de VTC om corrigerende maatregelen op te leggen, alsook onlosmakelijk is verbonden met haar status als toezichthoudende instantie. Dit artikel geeft een overzicht van de feiten van de zaak, de argumenten die door de verweerder (VTC) naar voren zijn gebracht en de beslissing van de Raad van State. Ten slotte biedt het een analyse van de zaak en de huidige stand van zaken voor de Vlaamse overheidsentiteiten. 

De zaak betreft een beroep ingesteld op 26 september 2022 door de stad X en OCMW van stad X* (verzoekende partijen) voor de nietigverklaring van een beslissing van de Vlaamse Toezichtcommissie (VTC oftewel de verwerende partij).  

De partijen zijn geanonimiseerd in het arrest. 

De feiten zijn als volgt:

• Het OCMW van stad X baat een woonzorgcentrum uit. Naar aanleiding van bezorgheden die door het personeel naar voren zijn gebracht, bestond binnen het woonzorgcentrum de wens om een organisatieaudit te laten uitvoeren.  

   

• Op 20 februari 2020 werd het auditrapport voorgelegd aan het bestuur en besloot de gemeenteraad de gemeentesecretaris en de secretaris van het OCMW uit te nodigen om zich kandidaat te stellen voor de functie van algemeen directeur van het OCMW. Beiden stemden hiermee in en stelden zich kandidaat.

   

• Enkele maanden later, in mei 2020, besloot de gemeenteraad om de gemeentesecretaris te benoemen tot algemeen directeur. Bij de analyse van beide kandidaturen baseerde de gemeenteraad zich op het rapport van de bovengenoemde audit, met name wat betreft de beoordeling van de leiderschapskwaliteiten en de inzet van de OCMW-secretaris. 

   

• In juli 2020 diende de (voormalige) secretaris van het OCMW bij de stad, het OCMW en het auditbureau een verzoek om zijn persoonsgegevens te verwijderen uit het rapport van de organisatieaudit. In de daaropvolgende maand stelden de verzoekende partijen, alsook het auditbureau, dat er geen gronden zijn om de persoonsgegevens te wissen. 

   

• Op basis van deze beslissing diende de voormalige secretaris in september 2020 een formele klacht in bij de Gegevensbeschermingsautoriteit (GBA). De GBA oordeelde dat er geen sprake was van een inbreuk op artikel 6, lid 1 van de AVG dat de voorwaarden schetst voor een rechtmatige persoonsgegevensverwerking. 

De Geschillenkamer van de GBA verklaarde dat het niet mogelijk was om een beeld te geven van de organisatiestructuur en de leidinggevenden van het woonzorgcentrum, indien de leidinggevenden niet in het rapport werden genoemd (met inbegrip van de OCMW-secretaris). Het was van groot belang dat de beschrijving zo duidelijk en volledig mogelijk was. Er werd bijgevolg voldaan aan de rechtsgrondslag uit artikel 6, lid 1, e) van de AVG (algemeen belang), waardoor een inbreuk op artikel 6, lid 1 van de AVG werd vermeden.  

Bovendien achtte de Geschillenkamer zich niet bevoegd om uitspraak te doen over de beweringen van de voormalige OCMW-secretaris dat de audit werd gebruikt om hem in een negatief daglicht te stellen en bijgevolg zijn benoeming tot algemeen directeur te verhinderen. De Geschillenkamer oordeelde echter wel dat er sprake was van een inbreuk op artikel 28, lid 3 van de AVG vanwege het ontbreken van een verwerkersovereenkomst tussen de verzoekende partijen enerzijds en het bedrijf dat de organisatieaudit heeft uitgevoerd anderzijds.  

Dit leidde ertoe dat de voormalige secretaris van het OCMW in april 2022 besloot een klacht in te dienen bij de VTC. De VTC achtte de klacht gedeeltelijk gegrond en stelde een schending van het beginsel van doelbinding (artikel 5, lid 1, b) AVG) vast. De gemeenteraad gebruikte de persoonsgegevens uit het auditrapport voor andere doeleinden dan voor de organisatieanalyse, namelijk voor het treffen van een beslissing over de kandidatuur van de OCMW-secretaris. Bijgevolg besloot de VTC dat de verwerking op basis van het auditrapport onmiddellijk moest worden stopgezet. Er was ook sprake van een inbreuk op artikel 15 van de AVG (recht van inzage van de betrokkene) vanwege de ‘extreem vertraagde reactie’ van de verzoekende partijen op onder meer het verzoek om toegang tot persoonsgegevens. Deze inbreuken leidden onder andere tot berispingen van het OCMW en een bevel om de verwerkingen gebaseerd op het auditverslag onmiddellijk stop te zetten. Dit zijn corrigerende maatregelen, overeenkomstig artikel 58, lid 2 AVG.  

De bovengenoemde feiten waren aanleiding voor het instellen van beroep bij de Raad van State tegen de VTC-beslissing. 

Standpunt van de VTC 

In de voornoemde beslissing van de VTC wordt gesteld dat de VTC over een eigen, afzonderlijke en onafhankelijke bevoegdheid beschikt ten aanzien van de Vlaamse overheidsinstanties. De uitspraak van de Geschillenkamer van de GBA over een bepaald aspect van de klacht vormt volgens de VTC geen beletting om over de zaak te oordelen dat binnen de reikwijdte van haar eigen bevoegdheid valt (met inbegrip van artikel 10/7 van het e-govdecreet). 

Volgens de VTC is het duidelijk dat de bestreden beslissing inbreuken op de AVG vaststelt. In deze specifieke context kunnen het opleggen van een berisping en een verwerkingsverbod worden beschouwd als corrigerende maatregelen. De VTC stelt dat zij effectief over de vereiste bevoegdheid beschikte om tot de beslissing te komen, met inbegrip van het opleggen van de corrigerende maatregelen. De volgende twee rechtsgronden liggen ten grondslag aan dit besluit: 

1. Artikel 58, lid 2, van de AVG: 

Elk toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen: […]. 

1. Artikel 10/7, §1, van het e-govdecreet: 

De Vlaamse toezichtcommissie neemt de corrigerende maatregelen overeenkomstig artikel 58, lid 2, van de algemene verordening gegevensbescherming. […] 

De VTC bepaalt dat, indien haar entiteit niet kan worden beschouwd als een toezichthoudende autoriteit in de zin van de AVG, haar onafhankelijke rechtsgrondslag krachtens het e-govdecreet van kracht blijft voor het nemen van corrigerende maatregelen in de zin van artikel 58, lid 2 van de AVG. 

Daarnaast stelt de VTC dat haar bevoegdheid om corrigerende maatregelen op te leggen van toepassing is, ongeacht of zij (reeds) kan worden aangemerkt als een bevoegde toezichthoudende autoriteit in de zin van de AVG. De verwijzing in artikel 10/7, §1 e-govdecreet naar artikel 58, lid 2 van de AVG is in dit geval niet relevant. De VTC stelt dat het artikel louter dient ter verduidelijking van de mogelijke corrigerende maatregelen die kunnen worden genomen. Deze opmerking doet op geen enkele wijze afbreuk aan de normatieve kracht van artikel 10/7, §1 van het e-govdecreet. 

Het Grondwettelijk Hof heeft daarnaast bevestigd dat de decreetgevers bevoegd zijn om een instantie op te richten die belast is met het toezicht op de naleving van de verwerking van persoonsgegevens in de zaken waarvoor de gewesten en gemeenschappen bevoegd zijn. 

In dit verband verwijst de VTC naar de parlementaire voorbereidende werkzaamheden voor het e-govdecreet, waarin wordt bepaald dat zij deze bevoegdheid al had voordat in het e-govdecreet naar artikel 58, lid 2 van de AVG werd verwezen. De VTC stelt dat deze uitkomst aantoont dat zij in staat is corrigerende maatregelen op te leggen, niet alleen op grond van de AVG, maar ook op grond van het e-govdecreet. 

Ten slotte stelt de VTC dat de bevoegdheid om een inbreuk op de AVG vast te stellen en de beëindiging van de verwerking te gelasten geenszins uitsluitend gekoppeld is aan de identiteit van de toezichthoudende autoriteit in de zin van artikel 58, lid 2 van de AVG. De VTC verwijst naar het voorrangsbeginsel, dat alle autoriteiten van de lidstaten van de EU verplicht het Unierecht ten volle ten uitvoer te leggen. Op vergelijkbare wijze verwijst het VTC ook naar het beginsel van loyale samenwerking dat nationale autoriteiten voorschrijft om onrechtmatige gevolgen van inbreuken op het Unierecht aan te pakken.  

De hamvraag is of de VTC op het moment van haar beslissing daadwerkelijk bevoegd was om corrigerende maatregelen op te leggen. 

Oordeel van de Raad van State

Allereerst verwijst de Raad van State naar twee eerdere arresten van het Grondwettelijk Hof: het eerste, nr. 26/2023, van 16 februari 2023 en het tweede, nr. 92/2023, van 15 juni 2023. Deze arresten hebben onder andere betrekking op de verplichting tot samenwerking met andere toezichthoudende autoriteiten (artikel 57, lid 1, onder c) en g) AVG). In de bovengenoemde arresten is geoordeeld dat de VTC niet kan worden beschouwd als een bevoegde toezichthoudende autoriteit in de zin van artikel 36, lid 4 van de AVG.  

Het Grondwettelijk Hof oordeelde dat toezichthoudende autoriteiten aangemeld dienen te worden bij de bevoegde instellingen van de EU om te voldoen aan de AVG. Een van deze autoriteiten moet ook worden aangewezen als vertegenwoordiger van de verschillende autoriteiten binnen het Europees Comité voor gegevensbescherming. Bovendien moet een procedure worden vastgesteld om de naleving van het in artikel 63 beschreven coherentiemechanisme te waarborgen. In deze zaak zijn er geen aanwijzingen dat aan een van deze elementen is voldaan. Bijgevolg kan de VTC niet worden beschouwd als een toezichthoudende autoriteit die bevoegd was om de in artikel 58, lid 2 AVG vermelde corrigerende maatregelen op te leggen.  

Dat er na de twee arresten van het Grondwettelijk Hof stappen zijn gezet om het VTC aan te melden en een coherentiemechanisme in te stellen, doet hier geen afbreuk aan. 

Bovendien is het van belang na te gaan of artikel 10/7, §1 van het e-govdecreet een zelfstandige rechtsgrondslag vormt. Het artikel bepaalt dat de VTC als “toezichthoudende autoriteit voor de verwerking van persoonsgegevens verantwoordelijk [is] voor het toezicht op de toepassing van de AVG door de instanties”. 

Op basis van de parlementaire voorbereiding wordt de VTC omschreven als de toezichthoudende autoriteit conform de AVG. 

Zoals uiteengezet in artikel 10/7 e-govdecreet duidt de term “overeenkomstig artikel 58, lid 2 van de AVG”, volgens de Raad van State, op een toestand “in overeenkomst met” en bijgevolg “niet in strijd met” het eerder vermelde artikel 58 AVG. Volgens Van Dale Groot Woordenboek van de Nederlandse taal betekent “in overeenkomst met” ook wel “volgens” en dus “op grond van”. De corrigerende maatregelen die genomen worden door de VTC, op basis van artikel 10/7, §1 van het e-govdecreet steunen dus explicitiet zelf op de rechtsgrond van artikel 58, lid 2 van de AVG. De Raad van State stelt echter dat het daarbij belangrijk is op te merken dat zulke maatregelen alleen mogen worden opgelegd door een autoriteit die voldoet aan de voorwaarden die zijn vastgelegd in de AVG. Het is duidelijk dat dit ten tijde van het bestreden besluit niet het geval was voor de verwerende partij. 

Daarnaast stelt de Raad van State dat de beginselen van voorrang en loyale samenwerking niet ertoe leiden dat de VTC hieruit bevoegdheden kan uitputten om schendingen van de AVG vast te stellen en de schendingen stop te zetten. Indien de verweerder geen bevoegde toezichthoudende autoriteit is in de zin van de AVG, is de Gegevensbeschermingsautoriteit verantwoordelijk voor het toezicht op de naleving van de AVG en het voorkomen van schendingen van  de Europese verplichtingen. 

Op grond van het voorgaande oordeelt de Raad van State met andere woorden dat het beroep, dat betrekking heeft op de (ontbrekende) bevoegdheid van VTC, gegrond is.  

Deze beslissing illustreert het reeds bestaand spanningsveld tussen de GBA en de VTC, dat de voorbije jaren het onderwerp uitmaakte van verschillende rechterlijke uitspraken over de bevoegdheid van de VTC. 

Ondanks de maatregelen die zijn genomen om de VTC als toezichthoudende autoriteit bij de bevoegde autoriteiten van de Europese Unie aan te melden en om het in artikel 63 van de AVG beschreven coherentiemechanisme na te leven (zie: het decreet van 29 maart 2024 tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, wat betreft de taken van de Vlaamse Toezichtcommissie), heeft de Geschillenkamer van de GBA onlangs, op 8 december 2025, een uitspraak gedaan waarin wordt vastgesteld dat de VTC toch niet als toezichthoudende autoriteit onder de AVG kan worden gekwalificeerd. 

De GBA baseert deze beslissing op het ontbreken van een samenwerkingsovereenkomst tussen de GBA en de VTC. Deze overeenkomst dient rekening te houden met de bevoegdheden van beide instellingen, de nodige procedures voor de behandeling van klachten, het uitbrengen van adviezen en het vertegenwoordigen van België in Europese en internationale organen, overeenkomstig artikel 51, lid 1 van de AVG. De GBA stelt dat het gebrek aan de overeenkomst “… met zich mee [brengt] dat de VTC momenteel niet de hoedanigheid heeft van volwaardige toezichthoudende autoriteit in de zin van de AVG." In een eerdere parlementaire vraag daterend van 2022 stelde toenmalig minister-president Jan Jambon (N-VA) echter dat “de VTC reeds pogingen ondernomen [heeft] om een ontwerp van samenwerkingsakkoord met de GBA te bespreken”. Hierbij werd verwezen naar het gebrek van eensgezindheid binnen de GBA om tot een akkoord te komen en de intentie van de VTC om opnieuw een ontwerp van samenwerkingsakkoord op te leggen. Op het moment van schrijven is er nog steeds geen samenwerkingsovereenkomst tussen de VTC en de GBA op de website van de VTC en de GBA gepubliceerd. Dit is opmerkelijk, aangezien de GBA onlangs wél een overeenkomst heeft gesloten met haar Britse tegenhanger, de ICO en ook verwijst naar het feit dat er “samenwerkingsprotocollen worden voorbereid met de BMA, Belac en het BIPT met het oog op een efficiënte samenwerking in het kader van de toepassing van de DMA, de AI Act, de DSA en de Data Act”. 

De komende periode is dan ook van cruciaal belang voor de Vlaamse overheid. Op dit moment lijkt de belangrijkste prioriteit te liggen bij het afwachten van de uitkomst van het beroep dat de VTC heeft ingesteld tegen de uitspraak van de Geschillenkamer van de GBA van 8 december 2025. Er moet echter worden opgemerkt dat het hoogst onwaarschijnlijk is dat dit tot een onmiddellijke oplossing zal leiden, gezien de langdurige aard van de beroepsprocedures bij het Hof van Beroep. 

Wat de gevolgen van de recente uitspraak van de Raad van State betreft, verklaart de VTC op haar website dat de huidige operationele werking van de VTC niet ter discussie staat, aangezien haar aanmelding bij de Europese instellingen gebeurd is op 2 maart 2023, en dat de beslissingen die genomen werden sinds die datum dus niet beïnvloed worden door het arrest. Beslissingen die dateren van vóór 2 maart 2023, die niet werden aangevochten voor de Raad van State binnen de daarvoor wettelijke termijn, blijven ook overeind. 

In dit verband moet worden opgemerkt dat de VTC stelt dat zij al haar verantwoordelijkheden als toezichthoudende autoriteit in het kader van de AVG nakomt, volledige bevoegdheid uitoefent en, wat Vlaamse entiteiten betreft, exclusieve bevoegdheid bezit. Het is echter ook belangrijk op te merken dat de recente beslissing van de GBA (van 8 december 2025) om een Vlaamse instantie te sanctioneren louter omdat deze de VTC als toezichthoudende autoriteit in haar privacyverklaring vermeldde, tot aanzienlijke verwarring kan leiden bij de Vlaamse instanties over de nakoming van hun verplichtingen. Ondanks de recente beslissing is het opvallend dat de Vlaamse autoriteiten in hun gegevensbeschermingsverklaringen echter steevast naar de VTC blijven verwijzen.  

Deze aanhoudende onduidelijkheid brengt het risico mee van een afbrokkelend vertrouwen onder verschillende belanghebbenden (waaronder burgers en de Vlaamse entiteiten). De oproep tot een snelle oplossing voor deze onzekerheid – die mogelijk voortkomt uit een terughoudendheid om tot overeenstemming te komen – is dus niet enkel retorisch. Het is in de eerste plaats bedoeld om de rechten van de betrokkenen te waarborgen, die de hoeksteen van de AVG blijven vormen, en tegelijkertijd oprechte samenwerking te bevorderen, niet enkel tussen de EU en lidstaten maar ook tussen instanties op lidstatelijk niveau.  

Sultan Erdogan

Afbeelding door wutzkoh via Adobe Stock