Gegevensinbreuken: niet alle verwerkingen leiden tot de GBA

Wanneer we aan “persoonsgegevens” denken, denken we spontaan aan de AVG. En als we een onrechtmatige verwerking of het uitblijven van een reactie op de uitoefening van onze rechten willen aanvechten, lijkt de Gegevensbeschermingsautoriteit (GBA) de aangewezen gesprekspartner.

In het Belgische recht weerspiegelt deze intuïtieve vergelijking echter niet altijd de juridische realiteit: de AVG is niet de enige norm die gegevensverwerkingen regelt, en de GBA is niet als enige bevoegd.

Talrijke activiteiten waarbij persoonsgegevens betrokken zijn, worden namelijk geregeld door specifieke sectorale wetgeving die vóór of na de AVG is aangenomen. Wanneer een speciale wet bepaalt dat een bepaalde autoriteit toezicht houdt op een verwerking – of het nu gaat om een gereguleerde sector, een taak van openbaar belang of een activiteit op het gebied van veiligheid – kan de bevoegdheid worden overgedragen aan deze sectorale actor, met voorrang op de GBA.

Dit geldt met name voor veiligheidsmachtigingen. Verwerkingen die worden uitgevoerd in het kader van de wet van 11 december 1998 betreffende de classificatie, de veiligheidsmachtigingen, de veiligheidsadviezen en de publiek gereguleerde dienst (hierna de “wet van 11 december 1998”) vallen buiten het toepassingsgebied van de AVG en vallen dus niet onder de klassieke controle van de GBA.

Deze bevoegdheid berust bij het Vast comité I, overeenkomstig de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.

Maar er rees een delicate vraag: wat gebeurt er wanneer een betrokkene beweert dat de betwiste behandeling in werkelijkheid niet kan worden gebaseerd op de bijzondere wet (zoals de wet van 11 december 1998) of op enige andere geldige rechtsgrond?

Blijft de sectorale autoriteit in een dergelijk scenario bevoegd om de situatie te onderzoeken of moet worden aangenomen dat de GBA haar bevoegdheid terugkrijgt en dat de verwerking volledig onder het toepassingsgebied van de AVG valt?

Het Marktenhof heeft zich over die kwestie uitgesproken in een arrest van 3 september 2025, door te verwijzen naar de institutionele logica. Ze maakt een einde aan de discussie over de kip of het ei en geeft aan dat de kwestie van de bevoegdheid altijd voorrang heeft op die van het recht.

Dit principe, dat op het eerste gezicht eenvoudig lijkt, heeft verstrekkende gevolgen:

• een verwerkingsverantwoordelijke kan niet zelf beoordelen of een verwerking al dan niet op een speciale wet is gebaseerd om zijn toezichthouder te kiezen;
• de GBA krijgt niet automatisch diens bevoegdheid terug omdat een burger beweert dat de speciale wet in dit geval niet van toepassing is;
• het is de sectorale autoriteit, indien die bestaat, die eerst moet bepalen of de verwerking al dan niet onder het toepassingsgebied van haar speciale wet valt;
• pas wanneer deze bevoegdheid is bevestigd of ontkend, kan worden onderzocht in hoeverre de AVG van toepassing is.

Uiteindelijk zijn het niet de gevoeligheid van de verwerking of de subjectiviteit van de analyse van de verwerkingsverantwoordelijke die het toepassingsgebied van de AVG bepalen, maar wel de autoriteit die wettelijk is aangewezen om de wettigheid ervan te onderzoeken. En alleen binnen dit institutionele kader kan de vraag of de AVG van toepassing is, correct worden onderzocht.