Een arrest dat er mag zijn. Op 31 maart 2026 heeft de Raad van State met arrest nr. 266.244 de knoop -ogenschijnlijk- definitief doorgehakt over een vraag die de Vlaamse gegevensbeschermingspraktijk al jaren bezighoudt: kwalificeert de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens (VTC) als toezichthoudende autoriteit in de zin van de AVG? Het antwoord is even kort als verstrekkend: neen. Met de vernietiging van een beslissing waarin de VTC corrigerende maatregelen oplegde aan een lokaal bestuur, trekt de Raad van State een heldere lijn. Voor wie de eerdere rechtspraak van het Grondwettelijk Hof opvolgde, komt dit oordeel niet als een verrassing — maar het zet de puntjes wel definitief op de i.
Een sluimerend bevoegdheidsconflict
Al sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei 2018 worstelt het Belgische institutionele landschap met een fundamentele vraag: wie houdt toezicht op de verwerking van persoonsgegevens door Vlaamse bestuursinstanties? Op het Vlaamse erf bewegen immers twee spelers: enerzijds de federale Gegevensbeschermingsautoriteit (GBA), anderzijds de Vlaamse Toezichtcommissie (VTC), opgericht bij het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer (het “e-govdecreet”).
De VTC werd door de Vlaamse decreetgever gepositioneerd als “toezichthoudende autoriteit” voor Vlaamse instanties, met inbegrip van lokale besturen. Artikel 10/1, § 1, van het e-govdecreet bepaalt immers dat de VTC “als toezichthoudende autoriteit voor de verwerking van persoonsgegevens verantwoordelijk is voor het toezicht op de toepassing van de algemene verordening gegevensbescherming door de instanties.” Tegelijkertijd achtte ook de GBA zichzelf steeds bevoegd ten aanzien van Vlaamse lokale overheden, minstens voor de rechtstreeks toepasselijke bepalingen van de AVG. Beide instanties claimden dus het toezicht over dezelfde actoren — een recept voor conflicten.
Het Grondwettelijk Hof zette de toon
Reeds in 2023 bracht het Grondwettelijk Hof een eerste fundamentele correctie aan.
In de arresten nr. 26/2023 van 16 februari 2023 en nr. 92/2023 van 15 juni 2023 oordeelde het Hof dat de VTC niet als een bevoegde toezichthoudende autoriteit in de zin van de AVG kon worden beschouwd. De redenering was helder: om te kwalificeren als toezichthoudende autoriteit dient een instantie, overeenkomstig artikel 51 van de AVG, te zijn aangemeld bij de bevoegde Europese instellingen. Bovendien moet er, conform artikel 63 van de AVG, een coherentiemechanisme zijn vastgesteld dat de samenwerking met andere toezichthoudende autoriteiten waarborgt.
De VTC voldeed aan geen van beide voorwaarden. “Uit geen enkel gegeven“, zo oordeelde het Hof, “blijkt dat de Vlaamse Toezichtcommissie is aangemeld bij de bevoegde instellingen van de Europese Unie en dat er een procedure is vastgesteld om ervoor te zorgen dat zij de regels in verband met het in artikel 63 bedoelde coherentiemechanisme naleeft.”
Het Grondwettelijk Hof voegde daar nog aan toe dat bij gebreke aan een regeling van de gemeenschappen en de gewesten, de federale GBA bevoegd is om het toezicht uit te oefenen.
De Raad van State bevestigt — en verscherpt
In het arrest van 31 maart 2026 gaat de Raad van State een stap verder. De zaak betrof een beslissing van de VTC van 27 juli 2022, waarbij schendingen van artikel 5, lid 1, b), en artikel 15 van de AVG werden vastgesteld ten aanzien van een lokaal bestuur. De VTC legde daarbij corrigerende maatregelen op: een berisping én een verwerkingsverbod, kwalificeerbaar als maatregelen in de zin van artikel 58, lid 2, b) en f), van de AVG.
De VTC verdedigde haar bevoegdheid met drie argumenten:
- Ten eerste zou artikel 10/7, § 1, van het e-govdecreet een “autonome rechtsgrond” bieden om corrigerende maatregelen op te leggen, ongeacht haar kwalificatie als toezichthoudende autoriteit onder de AVG.
- Ten tweede zou het voorrangsbeginsel van het Unierecht haar zelfs verplichten om schendingen van de AVG vast te stellen en te sanctioneren.
- Ten derde zou de eerdere rechtspraak van het Grondwettelijk Hof enkel betrekking hebben op de adviesbevoegdheid, niet op de corrigerende bevoegdheid.
De Raad van State veegt alle drie de argumenten van tafel.
Geen autonome rechtsgrond in het e-govdecreet
Bijzonder treffend is de taalkundige en juridische analyse die de Raad van State maakt van artikel 10/7, § 1, van het e-govdecreet. Dat artikel bepaalt dat de VTC corrigerende maatregelen neemt “overeenkomstig artikel 58, lid 2, van de algemene verordening gegevensbescherming.” De Raad van State legt het woord “overeenkomstig” nauwgezet uit: het betekent “in overeenkomst met“, “volgens” en dus “op grond van” artikel 58, lid 2, AVG.
Artikel 10/7 vermeldt met andere woorden zélf de AVG als rechtsgrond, en kan dus niet dienen als een daarvan losstaande, autonome grondslag.
Bovendien, zo benadrukt de Raad, ligt in de eis om maatregelen “overeenkomstig artikel 58, lid 2, AVG” te nemen, de waarborg besloten dat dergelijke maatregelen slechts kunnen worden opgelegd door een instantie die als toezichthoudende autoriteit kwalificeert — dat wil zeggen: een autoriteit die aan álle door de AVG gestelde voorwaarden voldoet.
De VTC deed dat ten tijde van de bestreden beslissing niet.
Voorrang van het Unierecht: een boemerang
Ook het argument van het voorrangsbeginsel en het beginsel van loyale samenwerking draait de Raad van State met zwier om.
Meegaan in de redenering van de VTC zou juist afbreuk doen aan diezelfde Europeesrechtelijke voorrang: de AVG is immers bindend in al haar onderdelen en reserveert de bevoegdheid tot het opleggen van corrigerende maatregelen exclusief aan toezichthoudende autoriteiten die aan haar voorwaarden voldoen. Een orgaan dat die toets niet doorstaat, kan zich niet op het Unierecht beroepen om tóch bevoegdheid te claimen. Het zou, aldus de Raad van State, “niet in te zien vallen hoe deze beginselen ertoe kunnen strekken bij een volgens de eigen Europese regels niet-bevoegde instantie bevoegdheid op te wekken.”
Daarbij stelde de Raad ook vast dat de federale GBA zich in dezelfde zaak reeds had uitgesproken, zodat van een lacune in het toezicht geen sprake kon zijn.
Wat betekent dit voor uw bestuur?
De gevolgen van dit arrest zijn niet gering. De conclusie luidt dat beslissingen van de VTC waarbij corrigerende maatregelen werden opgelegd — berispingen, verwerkingsverboden, bevelen — (minstens) in de periode vóór de formele regularisatie van haar status, op gespannen voet staan met het bevoegdheidsbeginsel.
Lokale besturen die in het verleden met dergelijke maatregelen werden geconfronteerd, doen er goed aan hun positie opnieuw te evalueren.
Tegelijk rijst de vraag of de VTC vandaag wél als volwaardige toezichthoudende autoriteit zou kwalificeren. Na de arresten van het Grondwettelijk Hof zijn stappen gezet: de VTC werd aangemeld bij de Europese Commissie, en de Vlaamse decreetgever wijzigde het e-govdecreet om een coherentiemechanisme te faciliteren. Toch blijft de kwestie delicaat. Een bilateraal samenwerkingsakkoord met de GBA ontbreekt vooralsnog, en de GBA erkent de VTC tot op heden niet als “andere toezichthoudende autoriteit” op haar website.
De Geschillenkamer van de GBA oordeelde recent nog, in haar beslissing ten gronde nr. 56/2026 van 12 maart 2026, dat “de VTC momenteel niet de hoedanigheid heeft van volwaardige toezichthoudende autoriteit in de zin van de AVG.”
Ubi lex non distinguit, nec nos distinguere debemus — waar de wet geen onderscheid maakt, mogen ook wij dat niet doen. De AVG stelt haar eisen aan elke toezichthoudende autoriteit, zonder uitzondering. De Raad van State heeft dat met dit arrest glashelder onderstreept. Voor lokale besturen biedt dat houvast: zij mogen verwachten dat wie hen sanctioneert, ook daadwerkelijk de bevoegdheid bezit om dat te doen.
Bij GD&A Advocaten begrijpen we als geen ander het belang van deze materie. Ons team staat dan ook steeds klaar om uw bestuur met kennis van zaken bij te staan.
