PVResponse.be
Contact Steden GBA & AVG JustOnWeb FAQ Beveiliging Inloggen Registreren

GAS Rivierenland Analyse beschikbaar

Website: gasrivierenland.be — Zetel: Grote Markt 21, 2800 Mechelen.

Aangesloten gemeenten (15): Berlaar, Bonheiden, Boortmeerbeek, Bornem, Duffel, Heist-op-den-Berg, Herent, Kortenberg, Lier, Mechelen, Nijlen, Putte, Puurs-Sint-Amands, Sint-Katelijne-Waver, Willebroek.

1. Vastgestelde AVG- en ePrivacy-schendingen

Een technische controle van gasrivierenland.be en de gelinkte privacy- en cookiepagina’s toont verschillende tekortkomingen ten opzichte van de AVG, de Belgische Wet van 30 juli 2018 en de Wet Elektronische Communicatie (art. 129 WEC).

BevindingJuridische grondslagRisico
Geen cookiebanner bij eerste bezoekArt. 129 WEC — voorafgaande toestemming vereistePrivacy-schending
YouTube-trackingcookies (YSC, PREF 10 jaar, VISITOR_INFO1_LIVE 240 dagen) zonder toestemmingArt. 129 WEC + Art. 6 AVGPersistente derde-partij tracking
“Cookies weigeren via browserinstellingen” als toestemmingsmechanismeGBA-richtlijnen 2023 — niet aanvaard als geldige toestemmingOngeldig toestemmingsmodel
Privacybeleid laatste update 30/12/2019Art. 5(2) AVG — verantwoordingsplichtVerouderde documentatie
Geen contactgegevens DPO (Functionaris voor Gegevensbescherming)Art. 37 & 38 AVG — verplicht voor overheidsinstantieFormele niet-naleving
Verbroken interne privacy-link (/jouw-privacy → HTTP 410)Art. 12 AVG — transparantieInformatieplicht geschonden
Formulier verzamelt rijksregisternummer zonder informatie bij verzamelingArt. 13 AVG + Wet 8 aug. 1983 (rijksregister)Hoogrisico-verwerking
Geen vermelding recht op klacht bij de GBAArt. 13(2)(d) AVGBetrokkene niet geïnformeerd
Geen retentietermijnen vermeldArt. 13(2)(a) AVGOnbeperkte opslag mogelijk
Geen informatie over internationale doorgiften (YouTube → Google US)Art. 13(1)(f) + H.V AVGOnvolledige transparantie
Geen specifieke bepaling voor minderjarigenArt. 8 AVGBijzondere bescherming ontbreekt

2. Geschonden AVG-artikelen (samengevat)

Artikel 5(1)(a) — Transparantiebeginsel

Het privacybeleid uit 2019 dekt de huidige verwerkingsactiviteiten niet. De betrokkene wordt niet correct geïnformeerd.

Artikel 13 — Informatieplicht

Op het moment van gegevensverzameling (formulieren voor “andere bestuurder”, contestatie, enz.) wordt geen afzonderlijke privacy-mededeling getoond. Dit is vereist op het ogenblik van de verzameling, niet enkel op een aparte pagina.

Artikelen 37 & 38 — DPO

Als overheidsinstantie is GAS Rivierenland wettelijk verplicht een DPO aan te stellen en de contactgegevens publiek te maken. Die ontbreken op de website.

Artikel 129 WEC / ePrivacy — Cookies

Niet-essentiële cookies (YouTube-trackers) worden geplaatst zonder voorafgaande, geïnformeerde, granulaire toestemming. Er is geen weigerknop en geen gelaagde consent-categorieën.

3. Online formulieren — beveiliging

Bevindingen uit een technische controle van het contestatieformulier /snelheidsboete/andere-bestuurder en de startpagina (april 2026).

BevindingDetailRisico
Geen CSRF-token op het POST-contestatieformulierDe hidden inputs zijn pageNumber, pageName, __formName, MAX_FILE_SIZE, g-recaptcha-response — er is géén anti-forgery token (csrf, _token, authenticity_token)Cross-Site Request Forgery mogelijk
Google reCAPTCHA op contestatieformulierVeld g-recaptcha-response + laden van www.google.com/recaptcha; doorgifte naar Google USNiet vermeld in privacyverklaring — art. 13 + Hfd. V AVG
Meerdere US-CDNs op formulierpaginafonts.googleapis.com, fonts.gstatic.com, cdnjs.cloudflare.com, maxcdn.bootstrapcdn.com, cdn.tiny.cloudInternationale doorgifte (US) zonder disclosure
Geen Content-Security-Policy response-headerDe server stuurt geen Content-Security-PolicyGeen defence-in-depth tegen XSS / injected scripts
Rijksregisternummer als <input type="text">Zonder autocomplete="off" op het gevoelige veldBrowser-caching; art. 32 AVG (beveiliging)
HSTS aanwezig (1 jaar, includeSubDomains)Positief; geen preload, maar solide basisOK

4. Aanbevolen verweer in een bezwaarschrift

  • Beroep op Artikel 82 AVG (recht op schadevergoeding) bij gebruik van onrechtmatig verwerkte gegevens.
  • Vermelding dat de verwerkingsverantwoordelijke zelf de informatieplicht niet naleeft, wat de rechtmatigheid van de gegevensinzameling aantast.
  • Klacht mogelijk bij de Gegevensbeschermingsautoriteit (www.gegevensbeschermingsautoriteit.be).
Opmerking: Deze analyse is gebaseerd op een openbare controle van gasrivierenland.be (april 2026), inclusief de privacy-, cookie- en contestatieformulierpagina’s. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Download deze analyse als PDF-bijlage bij uw bezwaarschrift:

Haviland (Halle-Vilvoorde) Analyse beschikbaar

Website: haviland.be — Verwerkingsverantwoordelijke: Haviland Regiopartners, Poverstraat 75 bus 47, 1731 Asse — Contact informatieveiligheid: informatieveiligheid@haviland.be.

Aangesloten gemeenten (23): Affligem, Asse, Beersel, Dilbeek, Grimbergen, Kampenhout, Kapelle-op-den-Bos, Lennik, Liedekerke, Londerzeel, Machelen, Meise, Merchtem, Opwijk, Pepingen, Roosdaal, Sint-Pieters-Leeuw, Steenokkerzeel, Ternat, Vilvoorde, Wemmel, Zaventem, Zemst. Niet elke gemeente neemt deel aan elke GAS-categorie (GAS 1-2-3, blauwe zone, GAS 4, GAS 5).

1. Vastgestelde AVG- en ePrivacy-schendingen

Een technische controle van haviland.be op 17 april 2026 toont de volgende tekortkomingen ten opzichte van de AVG, de Belgische Wet van 30 juli 2018 en art. 129 van de Wet Elektronische Communicatie.

BevindingJuridische grondslagRisico
Driedubbele analytics-stack: Google Analytics (_ga, _gat, _gid), Hotjar (_hjid) én Matomo (_pk_id, _pk_ses, ...) gelijktijdig actiefArt. 5(1)(c) AVG — proportionaliteit & dataminimalisatieBovenmatige verwerking
Rechtstreekse tegenstrijdigheid: het privacybeleid stelt expliciet “geen gegevens buiten de EU”, terwijl Google Analytics en Hotjar gegevens naar de Verenigde Staten overdragenArt. 5(1)(a) AVG — transparantie & juistheid; Hfd. V AVGValse verklaring / schending transparantie
AddThis-cookies (__atuvc, __atuvs) vermeld in het cookiebeleid — AddThis is sinds mei 2023 door Oracle beëindigdArt. 5(2) AVG — verantwoordingsplichtOnjuiste/verouderde documentatie
Universal Analytics-cookies (__utma, __utmb, __utmc, __utmz) in cookielijst — UA is door Google uitgefaseerd op 1 juli 2023Art. 5(2) AVGNiet bijgewerkte documentatie
Geen bewaartermijnen voor één enkele cookieArt. 13(2)(a) AVGOnbeperkte opslag mogelijk
Geen DPO-naam of -mailadres gepubliceerd (enkel een generiek adres informatieveiligheid@)Art. 37 & 38 AVGFormele niet-naleving (overheidsinstantie)
Geen gecertificeerde CMP; geen IAB TCF-integratieGBA-richtlijnen inzake cookies 2023Geen aantoonbare toestemmingsregistratie
Verwijzing naar “browserinstellingen” om toestemming in te trekkenGBA-advies 2023 — niet aanvaard als geldig mechanismeOngeldige intrekking
Geen afzonderlijke vermelding van internationale doorgiften, ondanks gebruik van GA/Hotjar/YouTube (doorgifte Google US)Art. 13(1)(f) + Hfd. V AVGOnvolledige transparantie
Geen vermelding van de concrete verwerkers (enkel categorieën “hosting/logistiek/beveiliging”)Art. 13(1)(e) AVGOntbrekende recipient-informatie

2. Kernschendingen samengevat

Artikel 5(1)(a) — Transparantie en juistheid

De privacyverklaring bevat een feitelijk onjuiste bewering: “Haviland Regiopartners deelt geen persoonsgegevens met partijen buiten de EU”. Dit is onverenigbaar met de aanwezigheid van Google Analytics, Hotjar en YouTube-embeds, die allemaal gegevens doorgeven aan Amerikaanse verwerkers.

Artikel 5(1)(c) — Dataminimalisatie

Het gelijktijdig inzetten van drie analytics-systemen (Google Analytics + Hotjar + Matomo) is per definitie niet het minimum dat nodig is voor statistische doeleinden.

Artikel 129 WEC / ePrivacy — Cookies

Niet-essentiële cookies (statistiek, social-sharing) worden in de beschrijving gekoppeld aan een “pop-up”, maar zonder granulaire categorie-knoppen, zonder aanwijsbare weigerknop op gelijke voet met de aanvaardknop en zonder gedocumenteerde pre-tick status.

Artikelen 37 & 38 — DPO

Haviland is een intercommunale (publiekrechtelijk) en moet een DPO aanstellen én de contactgegevens publiek maken. Een generiek mailadres informatieveiligheid@haviland.be voldoet niet aan artikel 37(7) AVG.

3. Online formulieren — beveiliging

Bevindingen uit een technische controle van haviland.be/nl en haviland.be/nl/contact (april 2026). Opmerking: het contactformulier wordt waarschijnlijk client-side gerenderd (Paddle CMS); alleen de pagina-wrapper kan statisch geïnspecteerd worden.

BevindingDetailRisico
Social- en tracking-embeds laden op elke pagina (inclusief de contactpagina)Voor toestemming worden www.facebook.com, www.linkedin.com, www.youtube.com, www.googletagmanager.com en cdn.jsdelivr.net geladenArt. 129 WEC (voorafgaande toestemming) + Hfd. V AVG (US-doorgifte)
Google Tag Manager op elke paginaGTM laadt Google Analytics runtime — dit verklaart de GA-cookies in het cookiebeleid, maar contradicteert tegelijk de bewering “geen gegevens buiten de EU”Art. 5(1)(a) AVG — transparantie & juistheid
Geen Content-Security-Policy response-headerDe server stuurt geen CSPGeen defence-in-depth tegen XSS / injected scripts
Eigen “cookieConsent”-implementatie (Drupal contrib / custom)Geen IAB TCF-integratie; geen zichtbare granulaire categorieën in de markupGBA-richtlijnen 2023 niet gerespecteerd
Drupal form-API anti-CSRF (form_build_id + form_id)Aanwezig op de zoekformulieren; standaard Drupal beschermingPositief
HSTS aanwezig (2 jaar, includeSubDomains)Sterke HSTS-instellingPositief

4. Aanbevolen verweer in een bezwaarschrift

  • Verwijzing naar de aantoonbare tegenstrijdigheid tussen privacybeleid en cookieverklaring — tast de rechtmatigheid van de verwerking aan (art. 6 AVG).
  • Beroep op artikel 82 AVG (schadevergoeding) wegens onrechtmatig gebruik van tracking zonder geldige toestemming.
  • Klacht mogelijk bij de Gegevensbeschermingsautoriteit en de Vlaamse Toezichtcommissie (beide in het privacybeleid zelf vermeld).
Opmerking: Controle uitgevoerd op 17 april 2026 op de openbaar beschikbare pagina’s /nl/privacy, /nl/home/cookieverklaring en /nl/home/gas-overtredingen. Privacybeleid laatste update 5 januari 2026; cookielijst bevat echter sinds 2023 afgeschafte trackers. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Download deze analyse als PDF-bijlage bij uw bezwaarschrift:

Stad Brussel / Ville de Bruxelles Analyse beschikbaar

Website: brussel.be — Bezwaarportaal: brucity.cityenforcement.com — Verwerkingsverantwoordelijke: Stad Brussel (KBO 0207.373.429), Hallenstraat 4, 1000 Brussel — DPO: dpo@brucity.be.

Aangesloten gemeente: Stad Brussel. Bezwaartermijn: 10 kalenderdagen na ontvangst uitnodiging tot betalen. Bezwaar ontslaat niet van de betaalverplichting; niet-betaling brengt +15 EUR administratiekosten mee. Online kanaal brucity.cityenforcement.com, postadres Cel Parkeren, Hallenstraat 4, 1000 Brussel, telefoon 02 279 22 11 (optie 3, dan 1), ma-vr 8u30-12u30.

1. Vastgestelde AVG- en ePrivacy-schendingen

Controle op 17 april 2026 van de publieke pagina's brussel.be/parkeren-bezwaar-tegen-retributie, brussel.be/wettelijke-vermeldingen en het portaal brucity.cityenforcement.com.

BevindingJuridische grondslagRisico
« Anoniem »-claim op bezwaarformulier terwijl kenteken + PV-referentie worden verzameldArt. 4(1), 12 & 13 AVG — GBA-beslissing 56/2026Misleidende informatie aan de betrokkene
Privacyverklaring dateert van 2020, geen specifieke parkeerhandhavingArt. 5(2), 12 & 13 AVGVerouderde transparantie
Cookiebeleid /cookiebeleid geeft HTTP 404Art. 129 WECInformatieplicht geschonden
Social-embeds (Facebook, Instagram, YouTube, TikTok, Twitter/X, Bluesky, Calaméo) op de publieke paginaArt. 129 WECTracking voor toestemming
Geen Strict-Transport-Security, geen Content-Security-Policy, geen Referrer-Policy, geen Permissions-Policy op brussel.beArt. 32 AVGOntbrekende defence-in-depth
Portaal laadt Microsoft Azure Application Insights (dc.services.visualstudio.com)Hfd. V AVGDoorgifte naar Amerikaanse verwerker, niet gedocumenteerd
Externe verwerker cityenforcement; verwerkersovereenkomst niet publiekArt. 28(3) AVG — GBA 29 sep. 2023Retroactieve overeenkomsten zijn ongeldig
Geen DPIA voor ANPR / scanauto's gepubliceerdArt. 35 AVG — GBA 129/2023, 56/2026Hoogrisico-verwerking zonder beoordeling
Portaal heeft wél sterke beveiligingsheaders (CSP, HSTS preload, Referrer-Policy, Permissions-Policy)Art. 32 AVGPositief

2. Geschonden AVG-artikelen (samengevat)

Artikel 12 & 13 AVG — transparantie en informatieplicht

Door het formulier als « anoniem » te presenteren terwijl kenteken en PV-referentie worden verzameld, wordt de betrokkene misleid. Een kentekenplaat is persoonsgegeven (art. 4(1) AVG).

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke verkeersbevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet als rechtsgrondslag dienen voor de overdracht van kentekengegevens of het gebruik van ANPR zonder specifieke wettelijke basis en DPIA.

Artikel 28(3) AVG — verwerkersovereenkomsten

De GBA (29 sep. 2023) oordeelde dat retroactieve verwerkersovereenkomsten ongeldig zijn. De overeenkomst met cityenforcement moet publiek en dateren van vóór de verwerking.

Artikel 32 AVG / Art. 129 WEC — beveiliging en cookies

Het ontbreken van HSTS/CSP/Referrer-Policy/Permissions-Policy op brussel.be, gecombineerd met een 404-cookiebeleid en social-trackers die laden voor toestemming, vormt een structurele schending.

3. Online formulieren — beveiliging

BevindingDetailRisico
Bezwaarportaal brucity.cityenforcement.com gebruikt HSTS + preloadmax-age=31536000; includeSubDomains; preloadPositief
Portaal heeft een strikte CSP (default-src 'none') met form-action beperkt tot self + Worldline-paymentGoede defence-in-depth; betaling via payment-webinit.sips-services.comPositief
Portaal is een SPA: inhoud wordt client-side gerenderdFormulierstructuur niet statisch inspecteerbaar; audit vereist runtime DevToolsInformatief
Portaal laadt Microsoft Azure telemetriedc.services.visualstudio.com — doorgifte naar MicrosoftHfd. V AVG
brussel.be zonder HSTS/CSP/Referrer-Policy/Permissions-PolicySessie-cookie cookiesession1 zonder gedocumenteerde Secure of SameSite-attributenArt. 32 AVG

4. Aanbevolen verweer in een bezwaarschrift

  • Verwijzing naar de feitelijke tegenstrijdigheid tussen de anonimiteitsclaim en de verzameling van kenteken + PV-referentie.
  • Beroep op GBA-beslissing 56/2026 en 129/2023.
  • Eis tot voorlegging van de DPIA voor ANPR-/scanauto-inzet en van een geldige verwerkersovereenkomst met cityenforcement.
  • Klacht mogelijk bij de Gegevensbeschermingsautoriteit (Drukpersstraat 35, 1000 Brussel).
Opmerking: Controle op 17 april 2026. De bestreden handhavingsmaatregel is een parkeerretributie (geen GAS-boete of strafrechtelijke boete). Retributies vallen volledig onder de AVG en kunnen zich niet op de uitzonderingen van de Richtlijn Rechtshandhaving (2016/680) beroepen. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Download deze analyse als PDF-bijlage bij uw bezwaarschrift:

Province de Hainaut / Provincie Henegouwen Analyse beschikbaar

Verwerkingsverantwoordelijke: Province de Hainaut — Bureau provincial des Amendes Administratives — Avenue Général de Gaulle 102, 7000 Mons — Website: www.hainaut.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Province de Hainaut / Provincie Henegouwen aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.hainaut.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS max-age=15552000 (~180 dagen) zonder includeSubDomains of preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
CSP enkel frame-ancestors 'self' — geen volledige content-beleidArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen Permissions-Policy-header (sensors/geolocatie niet afgeperkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, LinkedIn, TikTok, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
tarteaucitron.io (gecertificeerde CMP) — reject-all op gelijke voetArt. 129 WEC / LCE / GEK / ECA✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Province de Liège / Provincie Luik Analyse beschikbaar

Verwerkingsverantwoordelijke: Province de Liège — Fonctionnaires sanctionnateurs provinciaux — Rue Ernest Solvay 11, 4000 Liège — Website: www.provincedeliege.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Province de Liège / Provincie Luik aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.provincedeliege.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Permissions-Policy-header (sensors/geolocatie niet afgeperkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Drupal 7 — einde levenscyclus sinds januari 2025, niet meer ondersteundArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook Pixel (facebook.net/fbevents.js + /tr?id=...) — directe VS-doorgifteHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Verouderde Google Analytics ga.js-bibliotheek — uitgefaseerd door Google sinds 2023Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, YouTube, Bluesky-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
tarteaucitron.io (gecertificeerde CMP) — reject-all op gelijke voetArt. 129 WEC / LCE / GEK / ECA✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Province de Namur / Provincie Namen Analyse beschikbaar

Verwerkingsverantwoordelijke: Province de Namur — Bureau des amendes administratives — Rue Henri Blès 190C, 5000 Namur — Website: www.province.namur.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Province de Namur / Provincie Namen aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.province.namur.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS max-age=15552000 (~180 dagen) zonder includeSubDomains of preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Permissions-Policy-header (sensors/geolocatie niet afgeperkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen X-Frame-Options-header (clickjacking-risico)Art. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen X-Content-Type-Options: nosniff-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Fonts (fonts.googleapis.com) — US-doorgifte zonder disclosureHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
jQuery geladen via ajax.googleapis.com (Google CDN) — VS-doorgifte zonder lokale proxyHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, LinkedIn, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
Custom cookie-banner (niet IAB-gecertificeerd) — reject-all aanwezig maar wording niet gestandaardiseerdArt. 129 WEC / LCE / GEK / ECAInformatief

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Province de Luxembourg / Provincie Luxemburg Analyse beschikbaar

Verwerkingsverantwoordelijke: Province de Luxembourg — Service des amendes administratives — Place Léopold 1, 6700 Arlon — Website: www.province.luxembourg.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Province de Luxembourg / Provincie Luxemburg aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.province.luxembourg.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS max-age=63072000 (2 jaar) + includeSubDomains + preload — uitstekendArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Permissions-Policy-header (sensors/geolocatie niet afgeperkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Hotjar session-replay tracker — gedragsanalyse, opname van toetsenbord- en muisinteractiesArt. 129 WEC / LCE / GEK / ECA + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, LinkedIn, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
tarteaucitron.io (gecertificeerde CMP) — reject-all op gelijke voetArt. 129 WEC / LCE / GEK / ECA✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Province du Brabant wallon / Provincie Waals-Brabant Analyse beschikbaar

Verwerkingsverantwoordelijke: Province du Brabant wallon — Fonctionnaire sanctionnateur — Place du Brabant wallon 1, 1300 Wavre — Website: www.brabantwallon.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Province du Brabant wallon / Provincie Waals-Brabant aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.brabantwallon.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Permissions-Policy-header (sensors/geolocatie niet afgeperkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen X-Content-Type-Options: nosniff-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen externe trackers op de homepagina — positiefArt. 129 WEC / LCE / GEK / ECA✓ Conform
Facebook, Instagram, Twitter/X, LinkedIn, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Mechelen Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Mechelen — Grote Markt 21, 2800 Mechelen — Website: www.mechelen.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Mechelen aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.mechelen.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Permissions-Policy-header (sensors/geolocatie niet afgeperkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen X-Frame-Options-header (clickjacking-risico)Art. 32 AVG / RGPD / DSGVO / GDPRSchending
Matomo Cloud analytics — consent-gated, disableCookies + setDoNotTrackArt. 5(1)(c) + Art. 129 WEC / LCE / GEK / ECA✓ Conform
Cookiesjsr-CMP (Drupal-module) — reject-all op gelijke voetArt. 129 WEC / LCE / GEK / ECA✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville d'Arlon Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville d'Arlon — Rue Paul Reuter 8, 6700 Arlon — Website: www.arlon.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville d'Arlon aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.arlon.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS max-age=31536000; includeSubDomains (1 jaar, geen preload)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Permissions-Policy-header (sensors/geolocatie niet afgeperkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
iA.Smartweb @@accept_or_refuse_all — drie knoppen op gelijke voetArt. 129 WEC / LCE / GEK / ECA✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node — Avenue de l'Astronomie 13, 1210 Saint-Josse-ten-Noode — Website: www.sjtn.brussels.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.sjtn.brussels op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Drupal 7 (end-of-life sinds 5 januari 2025) — niet meer ondersteundArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Zwakke Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Analytics (GA4) + analytics.js laden vóór toestemmingArt. 129 WEC / LCE / GEK / ECA + Art. 6 AVGSchending
Mapbox-accessToken hard-coded in de pagina (doorgifte naar VS)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
jQuery 2.2.4 via code.jquery.com CDN (verouderde bibliotheek, externe CDN)Art. 32 AVG / RGPD / DSGVO / GDPRSchending
eu_cookie_compliance-banner aanwezig maar decoratief (trackers laden toch)Art. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Provincie Vlaams-Brabant / Province du Brabant flamand Analyse beschikbaar

Verwerkingsverantwoordelijke: Provincie Vlaams-Brabant — Provincieplein 1, 3010 Leuven — Website: www.vlaamsbrabant.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Provincie Vlaams-Brabant / Province du Brabant flamand aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.vlaamsbrabant.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS aanwezig maar max-age < 1 jaar — onder de aanbevolen duurArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
CSP aanwezig maar te permissief ('unsafe-inline' 'unsafe-eval' https:)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Matomo Cloud analytics (EU-hosted) — aanvaardbaar, geen US-doorgifteArt. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
Drupal EU Cookie Compliance — custom CMP, reject-all knop aanwezigArt. 129 WEC / LCE / GEK / ECA✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Provincie Oost-Vlaanderen / Province de Flandre-Orientale Analyse beschikbaar

Verwerkingsverantwoordelijke: Provincie Oost-Vlaanderen — Gouvernementstraat 1, 9000 Gent — Website: oost-vlaanderen.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Provincie Oost-Vlaanderen / Province de Flandre-Orientale aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op oost-vlaanderen.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Matomo Cloud analytics (EU-hosted) — aanvaardbaar, geen US-doorgifteArt. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Twitter, Instagram, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
Custom cookie-banner zonder “Weigeren alles”-knop op gelijke voetArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Provincie Limburg / Province de Limbourg Analyse beschikbaar

Verwerkingsverantwoordelijke: Provincie Limburg — Universiteitslaan 1, 3500 Hasselt — Website: www.limburg.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Provincie Limburg / Province de Limbourg aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.limburg.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
CSP enkel als report-uri (report-only) — geen effectieve mitigatieArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Zwakke Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Piwik PRO analytics op eigen container-URL — EU-hosting meestal maar verifieer DPAArt. 5(1)(c) + Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRInformatief
Facebook, Instagram, LinkedIn, X-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Ieper Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Ieper (KBO 0207.518.630) — Grote Markt 34, 8900 Ieper — Website: www.ieper.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Ieper aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.ieper.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Slechts gedeeltelijke Content-Security-Policy (enkel connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Eeklo Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Eeklo (KBO 0207.461.616) — Industrielaan 2, 9900 Eeklo — Website: www.eeklo.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Eeklo aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.eeklo.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Slechts gedeeltelijke Content-Security-Policy (enkel connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Halle Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Halle (KBO 0207.528.640) — Oudstrijdersplein 18, 1500 Halle — Website: www.halle.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Halle aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.halle.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
HSTS 2 jaar + includeSubDomains + preload — sterke configuratieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Tienen Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Tienen (KBO 0207.537.929) — Grote Markt 27, 3300 Tienen — Website: www.tienen.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Tienen aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.tienen.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS 2 jaar + includeSubDomains + preload — sterke configuratieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Google Fonts (fonts.googleapis.com) — US-doorgifte zonder disclosureHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Dinant Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Dinant (BCE 0207.360.125) — Rue Grande 112, 5500 Dinant — Website: www.dinant.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Dinant aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.dinant.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS 2 jaar + includeSubDomains + preload — sterke configuratieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Wavre Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Wavre (BCE 0207.381.392) — Place de l'Hôtel de Ville, 1300 Wavre — Website: www.wavre.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Wavre aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.wavre.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
calameo.com-documentembed — externe trackerArt. 129 WEC / LCE / GEK / ECASchending
Facebook, Instagram, LinkedIn, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Huy Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Huy (BCE 0207.348.088) — Grand-Place 1, 4500 Huy — Website: www.huy.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Huy aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.huy.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville d'Ath Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville d'Ath (BCE 0207.362.500) — Rue de Pintamont 54, 7800 Ath — Website: www.ath.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville d'Ath aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.ath.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook, Instagram, Vimeo, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Waterloo Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Waterloo (BCE 0216.694.712) — Rue François Libert 28, 1410 Waterloo — Website: www.waterloo.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Waterloo aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.waterloo.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Fonts (fonts.googleapis.com) — US-doorgifte zonder disclosureHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook, Twitter, Vimeo-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Deinze Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Deinze (KBO 0207.489.352) — Brielstraat 2, 9800 Deinze — Website: www.deinze.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Deinze aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.deinze.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune d'Ixelles / Gemeente Elsene Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune d'Ixelles (BCE 0207.387.826) — Chaussée d'Ixelles 168, 1050 Ixelles — Website: www.ixelles.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune d'Ixelles / Gemeente Elsene aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.ixelles.be (home-page) en elsene.be/site/23-Algemeen-politiereglement (GAS-reglement, 19 april 2026) en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
Expliciete rechtsgrond voor GAS-verwerking vermeld op elsene.be/site/23 (Wet 24 juni 2013, art. 19/1 en 27)Art. 6 + 5(2) AVG✓ Conform
Bewaartermijn gepubliceerd: max 5 jaar; 6 maanden indien geen boeteArt. 13(2)(a) AVG✓ Conform
DPO-contactgegevens publiek gemaakt: dpo@elsene.brusselsArt. 37(7) AVG✓ Conform
Politiereglement-pagina (elsene.be/site/23) bevat geen externe trackersArt. 129 WEC✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune d'Uccle / Gemeente Ukkel Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune d'Uccle (BCE 0207.393.074) — Place Jean Vander Elst 29, 1180 Uccle — Website: www.uccle.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune d'Uccle / Gemeente Ukkel aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.uccle.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook, Instagram, LinkedIn, Twitter-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Forest / Gemeente Vorst Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Forest (BCE 0207.387.529) — Rue du Curé 2, 1190 Forest — Website: www.forest.brussels.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Forest / Gemeente Vorst aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.forest.brussels op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook, Instagram-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Jette / Gemeente Jette Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Jette (BCE 0207.389.804) — Chaussée de Wemmel 100, 1090 Jette — Website: www.jette.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Jette / Gemeente Jette aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.jette.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Correcte Referrer-Policy: same-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Minimale derde-partij-integratie (geen social-embeds op home-page)Art. 5(1)(c) + Art. 129 WEC✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Koekelberg / Gemeente Koekelberg Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Koekelberg (BCE 0207.387.727) — Place Henri Vanhuffel 6, 1081 Koekelberg — Website: www.koekelberg.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Koekelberg / Gemeente Koekelberg aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.koekelberg.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Server-banner Microsoft-IIS/10.0 (versie-leak)Art. 32 AVG / RGPD / DSGVO / GDPRSchending
Google reCAPTCHA aanwezig (US-verwerker, niet gedocumenteerd)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Google Fonts (fonts.googleapis.com) — US-doorgifte zonder disclosureHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook, Instagram-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Berchem-Sainte-Agathe (BCE 0207.386.240) — Avenue du Roi Albert 33, 1082 Berchem-Sainte-Agathe — Website: www.1082.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.1082.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Uitgebreid server-banner (Apache/2.4.62 (Win64) OpenSSL/3.1.7 PHP/8.3.14 mod_fcgid/2.3.10-dev) — grote versie-leakArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Cookieyes als CMP — positiefArt. 129 WEC / LCE / GEK / ECA✓ Conform
Facebook, Instagram-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Watermael-Boitsfort (BCE 0207.393.470) — Place Antoine Gilson 1, 1170 Watermael-Boitsfort — Website: www.watermael-boitsfort.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.watermael-boitsfort.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Referrer-Policy headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune d'Evere / Gemeente Evere Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune d'Evere (BCE 0207.384.064) — Square Hoedemaekers 10, 1140 Evere — Website: www.evere.brussels.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune d'Evere / Gemeente Evere aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.evere.brussels op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Google Fonts (fonts.googleapis.com) — US-doorgifte zonder disclosureHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Ganshoren / Gemeente Ganshoren Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Ganshoren (BCE 0207.387.826) — Avenue Charles-Quint 140, 1083 Ganshoren — Website: www.ganshoren.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Ganshoren / Gemeente Ganshoren aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.ganshoren.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune d'Auderghem / Gemeente Oudergem Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune d'Auderghem (BCE 0207.386.438) — Rue Emile Idiers 12, 1160 Auderghem — Website: www.auderghem.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune d'Auderghem / Gemeente Oudergem aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.auderghem.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Woluwe-Saint-Lambert (BCE 0207.397.034) — Avenue Paul Hymans 2, 1200 Woluwe-Saint-Lambert — Website: www.woluwe1200.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.woluwe1200.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Woluwe-Saint-Pierre (BCE 0207.395.153) — Avenue Charles Thielemans 93, 1150 Woluwe-Saint-Pierre — Website: www.woluwe1150.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.woluwe1150.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Slechts gedeeltelijke CSP (enkel frame-ancestors)Art. 32 AVG / RGPD / DSGVO / GDPRSchending
Google reCAPTCHA aanwezig (US-verwerker, niet gedocumenteerd)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
5 Facebook-embeds op de publieke home-pageArt. 129 WEC / LCE / GEK / ECASchending
Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune d'Anderlecht / Gemeente Anderlecht Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune d'Anderlecht (BCE 0207.393.470) — Place du Conseil 1, 1070 Anderlecht — Website: www.anderlecht.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune d'Anderlecht / Gemeente Anderlecht aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.anderlecht.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook, Instagram-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Schaerbeek / Gemeente Schaarbeek Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Schaerbeek (BCE 0207.377.988) — Place Colignon, 1030 Schaerbeek — Website: www.1030.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Schaerbeek / Gemeente Schaarbeek aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.1030.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune de Molenbeek-Saint-Jean (BCE 0207.391.193) — Rue du Comte de Flandre 20, 1080 Molenbeek-Saint-Jean — Website: www.molenbeek.irisnet.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.molenbeek.irisnet.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
7 Facebook-embeds op de publieke home-pageArt. 129 WEC / LCE / GEK / ECASchending
Twitter, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Commune d'Etterbeek Analyse beschikbaar

Verwerkingsverantwoordelijke: Commune d'Etterbeek (BCE 0207.383.274) — Avenue d'Auderghem 113-117, 1040 Etterbeek — Website: etterbeek.brussels.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Commune d'Etterbeek aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op etterbeek.brussels op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Turnhout Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Turnhout (KBO 0207.537.434) — Campus Blairon 200, 2300 Turnhout — Website: www.turnhout.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Turnhout aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.turnhout.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
HSTS met max-age=63072000 (2 jaar) + includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Google reCAPTCHA aanwezig (US-verwerker, niet gedocumenteerd)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook, Instagram, LinkedIn, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Beringen Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Beringen (KBO 0207.525.461) — Mijnschoolstraat 88, 3580 Beringen — Website: www.beringen.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Beringen aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.beringen.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Slechts gedeeltelijke Content-Security-Policy (enkel connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt gebruik van sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Lommel Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Lommel (KBO 0207.519.026) — Hertog Janplein 1, 3920 Lommel — Website: www.lommel.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Lommel aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.lommel.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Slechts gedeeltelijke Content-Security-Policy (enkel connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt gebruik van sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Geel Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Geel (KBO 0207.524.966) — Werft 20, 2440 Geel — Website: www.geel.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Geel aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.geel.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt gebruik van sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Facebook, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Mouscron Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Mouscron (BCE 0207.356.899) — Grand-Place 1, 7700 Mouscron — Website: www.mouscron.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Mouscron aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.mouscron.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Facebook-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Kortrijk Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Kortrijk (KBO 0207.494.678) — Grote Markt 54, 8500 Kortrijk — Website: www.kortrijk.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Kortrijk aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.kortrijk.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram, LinkedIn, WhatsApp, TikTok-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending
Google Maps (maps.googleapis.com) — US-verwerkerHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Oostende Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Oostende (KBO 0207.473.295) — Vindictivelaan 1, 8400 Oostende — Website: www.oostende.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Oostende aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.oostende.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Slechts gedeeltelijke Content-Security-Policy (enkel connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt gebruik van sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Instagram-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Sint-Niklaas Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Sint-Niklaas (KBO 0207.486.859) — Grote Markt 1, 9100 Sint-Niklaas — Website: www.sint-niklaas.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Sint-Niklaas aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.sint-niklaas.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Gebruik van Cookiebot als CMP — positiefArt. 129 WEC / LCE / GEK / ECA✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Google Fonts (fonts.googleapis.com) — US-doorgifte zonder disclosureHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook, LinkedIn, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Aalst Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Aalst (KBO 0207.449.148) — Grote Markt 3, 9300 Aalst — Website: aalst.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Aalst aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op aalst.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook, Instagram, YouTube, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Genk Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Genk (KBO 0207.522.491) — Stadsplein 1, 3600 Genk — Website: www.genk.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Genk aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.genk.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Slechts gedeeltelijke Content-Security-Policy (enkel connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatief
Correcte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Permissions-Policy-header aanwezig — beperkt gebruik van sensoren/geolocatieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Gebruikt Matomo (privacy-vriendelijker dan Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
Facebook, Twitter, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Roeselare Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Roeselare (KBO 0207.490.219) — Botermarkt 2, 8800 Roeselare — Website: www.roeselare.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Stad Roeselare aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.roeselare.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
HSTS met includeSubDomains en preload — sterke configuratieArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Tag Manager laadt Google Analytics runtime (US-doorgifte)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Google Fonts (fonts.googleapis.com) — US-doorgifte zonder disclosureHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Tournai Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Tournai (BCE 0207.352.297) — Rue Saint-Martin 52, 7500 Tournai — Website: www.tournai.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Tournai aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.tournai.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Zwakke Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRSchending
calameo.com-documentembed — externe trackerArt. 129 WEC / LCE / GEK / ECASchending
Facebook, Instagram, YouTube, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de La Louvière Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de La Louvière (BCE 0207.382.086) — Place Communale 1, 7100 La Louvière — Website: www.lalouviere.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de La Louvière aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.lalouviere.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
HSTS met max-age=31536000 (1 jaar) zonder includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatief
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Seraing Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Seraing (BCE 0207.335.221) — Place Communale 8, 4100 Seraing — Website: www.seraing.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Seraing aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.seraing.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Zwakke Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRSchending
tarteaucitron als CMP — positief, Europees alternatiefArt. 129 WEC / LCE / GEK / ECA✓ Conform
Facebook, Instagram, YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Verviers Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Verviers (BCE 0207.356.048) — Place du Marché 55, 4800 Verviers — Website: www.verviers.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Verviers aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.verviers.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Facebook, YouTube, LinkedIn-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Liège Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Liège (BCE 0207.343.238) — Place du Marché 2, 4000 Liège — Website: www.liege.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Liège aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.liege.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Gebruik van youtube-nocookie.com variant — positieve keuzeArt. 129 WEC / LCE / GEK / ECA✓ Conform
Facebook- en Instagram-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Namur Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Namur (BCE 0207.341.854) — Hôtel de Ville, 5000 Namur — Website: www.namur.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Namur aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.namur.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Referrer-Policy headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Google Fonts (fonts.googleapis.com) — doorgifte naar Google USHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRSchending
Facebook-, Twitter- en YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Mons Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Mons (BCE 0207.272.119) — Grand-Place 22, 7000 Mons — Website: www.mons.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Mons aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.mons.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Referrer-Policy headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
HSTS met includeSubDomains (1 jaar) — solide basisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conform
Facebook- en YouTube-embeds aanwezigArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Ville de Charleroi Analyse beschikbaar

Verwerkingsverantwoordelijke: Ville de Charleroi (BCE 0207.362.105) — Place Charles II 14-15, 6000 Charleroi — Website: www.charleroi.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van Ville de Charleroi aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.charleroi.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Zwakke Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRSchending
Server-versie lek in Server: Apache/2.4.66 (Debian)Art. 32 AVG / RGPD / DSGVO / GDPRSchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Antwerpen Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Antwerpen (KBO 0207.500.123) — Dienst Mobiliteit & Parkeren — Grote Markt 1, 2000 Antwerpen — Website: www.antwerpen.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van de Stad Antwerpen aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.antwerpen.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Content-Security-Policy bevat een ongeldige directive (undefined)Art. 32 AVG / GDPR / DSGVOSchending
HSTS met max-age=15552000 (180 dagen) zonder preloadArt. 32 AVG / GDPR / DSGVOInformatief
Google Tag Manager laadt Google Analytics runtimeArt. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook- en Twitter-embeds geladen op elke paginaArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Gent Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Gent (KBO 0207.451.227) — Botermarkt 1, 9000 Gent — Website: stad.gent.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van de Stad Gent aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op stad.gent op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Sterke beveiligingsheaders: HSTS 2 jaar met preload, CSP met default-src 'self'Art. 32 AVG / GDPR / DSGVO✓ Conform
Gebruik van Cookiebot als CMP — positief, in lijn met GBA-richtlijnenArt. 129 WEC / LCE / GEK / ECA✓ Conform
Social-embeds (Facebook, Instagram, YouTube, TikTok, LinkedIn, Threads) aanwezig — consent-gating moet per geval worden geverifieerdArt. 129 WEC / LCE / GEK / ECAInformatief
Google Tag Manager aanwezig (laadt verdere trackers pas na toestemming via Cookiebot)Hfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRInformatief

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Brugge Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Brugge (KBO 0207.528.035) — Burg 12, 8000 Brugge — Website: www.brugge.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van de Stad Brugge aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.brugge.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Content-Security-Policy response-headerArt. 32 AVG / GDPR / DSGVOSchending
Gebruikt Matomo in plaats van Google Analytics — positief uit privacy-oogpuntArt. 5(1)(c) AVG / GDPR / DSGVO✓ Conform
HSTS met max-age=31557600 (1 jaar) zonder includeSubDomains of preloadArt. 32 AVG / GDPR / DSGVOInformatief
Facebook-, Instagram-, LinkedIn- en YouTube-embeds geladenArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Leuven Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Leuven (KBO 0207.475.077) — Professor Van Overstraetenplein 1, 3000 Leuven — Website: www.leuven.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van de Stad Leuven aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.leuven.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Geen Strict-Transport-Security response-headerArt. 32 AVG / GDPR / DSGVOSchending
Geen Content-Security-Policy response-headerArt. 32 AVG / GDPR / DSGVOSchending
Google Tag Manager laadt Google Analytics runtime (doorgifte naar Google US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VSchending
Facebook-, Instagram- en LinkedIn-embeds geladenArt. 129 WEC / LCE / GEK / ECASchending

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

Stad Hasselt Analyse beschikbaar

Verwerkingsverantwoordelijke: Stad Hasselt (KBO 0207.476.069) — Groenplein 1, 3500 Hasselt — Website: www.hasselt.be.

Deze bijlage strekt ertoe het bezwaarschrift tegen een sanctie of retributie van de Stad Hasselt aan te vullen met een technische uiteenzetting. De vaststellingen zijn gedaan op www.hasselt.be op 17 april 2026 en wijzen op tekortkomingen op het vlak van AVG, ePrivacy en beveiliging van de verwerking.

1. Vastgestelde tekortkomingen

BevindingJuridische grondslagRisico
Slechts een gedeeltelijke Content-Security-Policy (enkel frame-ancestors)Art. 32 AVG / GDPR / DSGVOSchending
Geen Strict-Transport-Security response-headerArt. 32 AVG / GDPR / DSGVOSchending
Google Fonts (fonts.gstatic.com, fonts.googleapis.com) — doorgifte naar de VS zonder disclosureHfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRSchending
Drupal-platform — form_build_id CSRF-bescherming standaard aanwezigArt. 32 AVG / GDPR / DSGVO✓ Conform

2. Juridische kwalificatie

Artikel 5(1)(a) AVG — transparantie

Personen moeten transparant en eerlijk worden geïnformeerd over de verwerking; ontbrekende of onjuiste technische beveiliging schaadt deze plicht.

Artikel 6 AVG — rechtsgrondslag

Algemene gemeentelijke bevoegdheden kunnen na GBA-beslissing 56/2026 (Dilbeek) niet zonder meer als rechtsgrondslag dienen voor gegevensoverdracht of ANPR-inzet.

Hoofdstuk V AVG — doorgiften

Het gebruik van Google- of andere Amerikaanse verwerkers (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliceert een doorgifte naar de VS die zonder passende waarborg (Hfd. V AVG) onrechtmatig is.

Artikel 32 AVG — beveiliging

Het ontbreken van passende technische maatregelen (HSTS, CSP, Referrer-Policy) is niet in overeenstemming met artikel 32 AVG voor een publiek platform dat persoonsgegevens verwerkt.

Artikel 129 WEC — ePrivacy

Niet-essentiële cookies, social-embeds en andere trackers vereisen voorafgaande, geïnformeerde, specifieke en granulaire toestemming; een verwijzing naar browserinstellingen volstaat niet.

3. Aanbevolen verweer in een bezwaarschrift

  • de bestreden sanctie wordt herzien of ingetrokken wegens onrechtmatige verwerking van persoonsgegevens;
  • akte wordt verleend van de vastgestelde technische tekortkomingen;
  • in ondergeschikte orde, een nieuw onderzoek wordt uitgevoerd op basis van rechtmatig verkregen gegevens;
  • de betrokkene het recht behoudt om klacht neer te leggen bij de Gegevensbeschermings­autoriteit;
  • akte wordt verleend van het voorbehoud van het recht op schadevergoeding op grond van artikel 82 AVG.
Opmerking: Controle op 17 april 2026 van de publieke home-page. De bestreden sanctie is een parkeerretributie of GAS-boete die onder de volledige toepassing van de AVG valt. U kunt de bevindingen zelf verifiëren via de DevTools van uw browser.

GAS Rivierenland Analyse disponible

Site : gasrivierenland.be — Siège : Grote Markt 21, 2800 Mechelen.

Communes membres (15) : Berlaar, Bonheiden, Boortmeerbeek, Bornem, Duffel, Heist-op-den-Berg, Herent, Kortenberg, Lier, Mechelen, Nijlen, Putte, Puurs-Sint-Amands, Sint-Katelijne-Waver, Willebroek.

1. Violations constatées du RGPD et de la directive ePrivacy

Un audit technique de gasrivierenland.be et de ses pages liées révèle plusieurs manquements au RGPD, à la loi belge du 30 juillet 2018 et à la loi sur les communications électroniques (art. 129 LCE).

ConstatBase juridiqueRisque
Aucune bannière cookies lors de la première visiteArt. 129 LCE — consentement préalable requisViolation ePrivacy
Cookies YouTube (YSC, PREF 10 ans, VISITOR_INFO1_LIVE 240 jours) sans consentementArt. 129 LCE + Art. 6 RGPDTraçage tiers persistant
« Refus par les paramètres du navigateur » comme mécanisme de consentementLignes directrices APD 2023 — non valideModèle de consentement invalide
Politique de confidentialité datant du 30/12/2019Art. 5(2) RGPD — responsabilitéDocumentation obsolète
Aucun contact DPO publiéArt. 37 & 38 RGPD — obligatoire pour autorité publiqueNon-conformité formelle
Lien interne brisé (/jouw-privacy → HTTP 410)Art. 12 RGPD — transparenceObligation d'information violée
Formulaire collecte le numéro de registre national sans notice au point de collecteArt. 13 RGPD + loi du 8 août 1983Traitement à haut risque
Aucune mention du droit de plainte auprès de l'APDArt. 13(2)(d) RGPDPersonne concernée non informée
Aucune durée de conservation indiquéeArt. 13(2)(a) RGPDConservation potentiellement illimitée
Aucune information sur les transferts internationauxArt. 13(1)(f) + ch. V RGPDTransparence incomplète
Aucune disposition spécifique pour les mineursArt. 8 RGPDProtection spécifique absente

2. Articles du RGPD violés (résumé)

Article 5(1)(a) — Transparence

La politique de confidentialité de 2019 ne couvre pas les traitements actuels.

Article 13 — Obligation d'information

Au moment de la collecte (formulaires « autre conducteur », contestation, etc.), aucune notice de confidentialité spécifique n'est affichée.

Articles 37 & 38 — DPO

En tant qu'autorité publique, GAS Rivierenland doit obligatoirement désigner un DPO et en publier les coordonnées.

Article 129 LCE / ePrivacy — Cookies

Des cookies non essentiels sont déposés sans consentement préalable, éclairé et granulaire. Aucun bouton de refus ni catégories séparées.

3. Formulaires en ligne — sécurité

Constats d'un audit technique du formulaire de contestation /snelheidsboete/andere-bestuurder et de la page d'accueil (avril 2026).

ConstatDétailRisque
Aucun jeton CSRF sur le formulaire de contestation POSTLes champs cachés présents (pageNumber, __formName, MAX_FILE_SIZE, g-recaptcha-response, ...) ne contiennent aucun jeton anti-CSRFCross-Site Request Forgery possible
Google reCAPTCHA sur le formulaireChamp g-recaptcha-response + chargement de www.google.com/recaptcha; transfert vers Google USNon mentionné dans la politique — art. 13 + ch. V RGPD
Plusieurs CDN américains sur la page du formulairefonts.googleapis.com, fonts.gstatic.com, cdnjs.cloudflare.com, maxcdn.bootstrapcdn.com, cdn.tiny.cloudTransfert international (US) non divulgué
Aucun en-tête Content-Security-PolicyLe serveur n'envoie pas de CSPPas de défense en profondeur contre XSS/injection
Numéro de registre national en <input type="text">Sans autocomplete="off" sur ce champ sensibleMise en cache navigateur ; art. 32 RGPD
HSTS présent (1 an, includeSubDomains)Positif ; pas de preload, mais base solideOK

4. Moyens de défense recommandés

  • Invoquer l'article 82 RGPD (droit à indemnisation) lorsque des données traitées illégalement sont utilisées.
  • Souligner que le responsable du traitement manque lui-même à son obligation d'information, ce qui affecte la licité du traitement.
  • Plainte possible auprès de l'Autorité de protection des données (www.autoriteprotectiondonnees.be).
Remarque : Analyse basée sur une vérification publique de gasrivierenland.be (avril 2026). Vous pouvez vérifier les constats vous-même via les DevTools de votre navigateur.

Téléchargez cette analyse en annexe PDF à votre contestation :

Haviland (Hal-Vilvorde) Analyse disponible

Site : haviland.be — Responsable du traitement : Haviland Regiopartners, Poverstraat 75 bus 47, 1731 Asse — Contact sécurité de l'information : informatieveiligheid@haviland.be.

Communes affiliées (23) : Affligem, Asse, Beersel, Dilbeek, Grimbergen, Kampenhout, Kapelle-op-den-Bos, Lennik, Liedekerke, Londerzeel, Machelen, Meise, Merchtem, Opwijk, Pepingen, Roosdaal, Sint-Pieters-Leeuw, Steenokkerzeel, Ternat, Vilvoorde, Wemmel, Zaventem, Zemst. Toutes ne participent pas à toutes les catégories SAC (SAC 1-2-3, zone bleue, SAC 4, SAC 5).

1. Violations constatées du RGPD et de la directive ePrivacy

Un audit technique de haviland.be (17 avril 2026) révèle les manquements suivants au RGPD, à la loi belge du 30 juillet 2018 et à l'article 129 de la loi sur les communications électroniques.

ConstatBase juridiqueRisque
Triple pile d'analytics : Google Analytics (_ga, _gat, _gid), Hotjar (_hjid) et Matomo (_pk_id, _pk_ses, ...) actifs simultanémentArt. 5(1)(c) RGPD — proportionnalité et minimisationTraitement excessif
Contradiction directe : la politique de confidentialité affirme « aucune donnée hors UE », alors que Google Analytics et Hotjar transfèrent vers les États-UnisArt. 5(1)(a) RGPD — transparence et exactitude ; Ch. V RGPDDéclaration fausse / manquement à la transparence
Cookies AddThis (__atuvc, __atuvs) listés, alors qu'AddThis a été arrêté par Oracle en mai 2023Art. 5(2) RGPD — responsabilitéDocumentation obsolète
Cookies Universal Analytics (__utma, __utmb, __utmc, __utmz) listés, alors que UA a été retiré par Google le 1er juillet 2023Art. 5(2) RGPDDocumentation non mise à jour
Aucune durée de conservation pour aucun cookieArt. 13(2)(a) RGPDConservation potentiellement illimitée
Aucun nom ou e-mail de DPO publié (seulement une adresse générique informatieveiligheid@)Art. 37 & 38 RGPDNon-conformité formelle (autorité publique)
Aucune CMP certifiée ; pas d'intégration IAB TCFLignes directrices APD 2023 sur les cookiesAucune traçabilité du consentement
Renvoi aux « paramètres du navigateur » pour retirer le consentementAvis APD 2023 — non valideRetrait non valide
Aucune mention des transferts internationaux, malgré l'usage de GA/Hotjar/YouTube (transfert Google US)Art. 13(1)(f) + Ch. V RGPDTransparence incomplète
Aucun sous-traitant nommé (seulement des catégories « hébergement/logistique/sécurité »)Art. 13(1)(e) RGPDInformation sur les destinataires manquante

2. Violations principales (résumé)

Article 5(1)(a) — Transparence et exactitude

La déclaration de confidentialité contient une affirmation factuellement inexacte : « aucune donnée à caractère personnel n'est partagée en dehors de l'UE ». Ceci est incompatible avec la présence de Google Analytics, Hotjar et d'embeds YouTube, qui transfèrent des données vers des sous-traitants américains.

Article 5(1)(c) — Minimisation des données

L'utilisation simultanée de trois systèmes d'analyse (Google Analytics + Hotjar + Matomo) dépasse par définition le minimum nécessaire.

Article 129 LCE / ePrivacy — Cookies

Des cookies non essentiels sont associés à une « pop-up » sans boutons de catégorie granulaires, sans bouton de refus sur le même pied que le bouton d'acceptation, et sans état de pré-coche documenté.

Articles 37 & 38 — DPO

Haviland est une intercommunale (organisme public) et doit désigner un DPO et publier ses coordonnées. Une adresse générique informatieveiligheid@haviland.be ne satisfait pas à l'article 37(7) RGPD.

3. Formulaires en ligne — sécurité

Constats d'un audit technique de haviland.be/nl et haviland.be/nl/contact (avril 2026). Note : le formulaire de contact est probablement rendu côté client (Paddle CMS) ; seul le gabarit de page est inspectable statiquement.

ConstatDétailRisque
Embeds sociaux & trackers chargés sur chaque page (y compris la page de contact)Avant tout consentement, le site charge www.facebook.com, www.linkedin.com, www.youtube.com, www.googletagmanager.com et cdn.jsdelivr.netArt. 129 LCE + ch. V RGPD (transfert US)
Google Tag Manager sur chaque pageGTM charge Google Analytics à l'exécution — ce qui explique les cookies GA listés, mais contredit simultanément l'affirmation « aucune donnée hors UE »Art. 5(1)(a) RGPD — transparence et exactitude
Aucun en-tête Content-Security-PolicyLe serveur n'envoie pas de CSPPas de défense en profondeur
Implémentation « cookieConsent » maison (Drupal contrib / custom)Aucune intégration IAB TCF ; pas de catégories granulaires visibles dans le balisageLignes directrices APD 2023 non respectées
Anti-CSRF de l'API Form de Drupal (form_build_id + form_id)Présent sur les formulaires de recherche ; protection Drupal standardPositif
HSTS présent (2 ans, includeSubDomains)Paramétrage HSTS robustePositif

4. Moyens de défense recommandés

  • Invoquer la contradiction prouvée entre la politique de confidentialité et la déclaration cookies — elle affecte la licité du traitement (art. 6 RGPD).
  • Article 82 RGPD (droit à indemnisation) pour usage illicite du tracking sans consentement valide.
  • Plainte possible auprès de l'APD et de la Vlaamse Toezichtcommissie (toutes deux citées dans la politique même).
Remarque : Contrôle effectué le 17 avril 2026 sur les pages publiques /nl/privacy, /nl/home/cookieverklaring et /nl/home/gas-overtredingen. La politique de confidentialité a été mise à jour le 5 janvier 2026, mais la liste des cookies contient des trackers retirés depuis 2023. Vous pouvez vérifier vous-même via les DevTools de votre navigateur.

Téléchargez cette analyse en annexe PDF à votre contestation :

Ville de Bruxelles / Stad Brussel Analyse disponible

Site : brussel.be — Portail de contestation : brucity.cityenforcement.com — Responsable du traitement : Ville de Bruxelles (BCE 0207.373.429), Rue des Halles 4, 1000 Bruxelles — DPO : dpo@brucity.be.

Commune concernée : Ville de Bruxelles. Délai de contestation : 10 jours calendaires à compter de la réception de l'invitation à payer. La contestation ne dispense pas de l'obligation de paiement ; le défaut de paiement entraîne +15 EUR de frais administratifs.

1. Violations constatées du RGPD et d'ePrivacy

Vérification du 17 avril 2026 des pages brussel.be/parkeren-bezwaar-tegen-retributie, brussel.be/wettelijke-vermeldingen et du portail brucity.cityenforcement.com.

ConstatBase juridiqueRisque
Affirmation d'« anonymat » sur le formulaire alors que plaque + référence P.-V. sont collectéesArt. 4(1), 12 & 13 RGPD — décision APD 56/2026Information trompeuse
Politique de confidentialité de 2020, sans mention spécifique du contrôle du stationnementArt. 5(2), 12 & 13 RGPDTransparence obsolète
Page /cookiebeleid en HTTP 404Art. 129 LCEObligation d'information non respectée
Embeds sociaux (Facebook, Instagram, YouTube, TikTok, Twitter/X, Bluesky, Calaméo) sur la page publiqueArt. 129 LCETraçage avant consentement
Aucun Strict-Transport-Security, Content-Security-Policy, Referrer-Policy ou Permissions-Policy sur brussel.beArt. 32 RGPDAbsence de défense en profondeur
Le portail charge Microsoft Azure Application Insightsdc.services.visualstudio.com — transfert vers un sous-traitant USCh. V RGPD, non divulgué
Sous-traitant cityenforcement ; contrat non publicArt. 28(3) RGPD — APD 29 sept. 2023Contrats rétroactifs invalides
Aucun DPIA publié pour ANPR / véhicules-scanneursArt. 35 RGPD — APD 129/2023, 56/2026Traitement à haut risque sans évaluation
Le portail présente en revanche d'excellents en-têtes (CSP, HSTS preload, Referrer-Policy, Permissions-Policy)Art. 32 RGPDPositif

2. Articles du RGPD violés (résumé)

Articles 12 & 13 RGPD — transparence et obligation d'information

En qualifiant le formulaire d'« anonyme » alors que plaque et référence du P.-V. sont collectées, la personne concernée est induite en erreur. Une plaque est une donnée à caractère personnel (art. 4(1) RGPD).

Article 6 RGPD — base légale

Les compétences générales de police de la circulation ne peuvent, après les décisions APD 56/2026, servir de base légale au transfert des plaques ou à l'usage de l'ANPR sans base légale spécifique et DPIA.

Article 28(3) RGPD — contrats de sous-traitance

L'APD (29 sept. 2023) a jugé invalides les contrats rétroactifs. Le contrat avec cityenforcement doit exister avant le traitement.

Article 32 RGPD / art. 129 LCE — sécurité et cookies

L'absence de HSTS/CSP/Referrer-Policy/Permissions-Policy sur brussel.be, combinée à un cookie-404 et à des traqueurs sociaux chargés avant consentement, constitue une violation structurelle.

3. Formulaires en ligne — sécurité

ConstatDétailRisque
Le portail utilise HSTS + preloadmax-age=31536000; includeSubDomains; preloadPositif
Le portail a une CSP stricte (default-src 'none') avec form-action limité à self + paiement WorldlineDéfense en profondeur ; paiement via payment-webinit.sips-services.comPositif
Le portail est une SPAFormulaire rendu côté client ; audit nécessite DevTools runtimeInformatif
Télémétrie Microsoft Azure sur le portaildc.services.visualstudio.com — transfert vers MicrosoftCh. V RGPD
brussel.be sans HSTS/CSP/Referrer-Policy/Permissions-PolicyCookie de session cookiesession1 sans attributs Secure / SameSite documentésArt. 32 RGPD

4. Moyens de défense recommandés

  • Invoquer la contradiction factuelle entre l'affirmation d'anonymat et la collecte plaque + référence P.-V.
  • Recours aux décisions APD 56/2026 et 129/2023.
  • Demande de production du DPIA pour l'ANPR/les véhicules-scanneurs et d'un contrat de sous-traitance valide avec cityenforcement.
  • Plainte possible auprès de l'Autorité de protection des données (rue de la Presse 35, 1000 Bruxelles).
Remarque : Contrôle effectué le 17 avril 2026. La mesure contestée est une rétribution de stationnement (ni SAC ni amende pénale). Les rétributions relèvent entièrement du RGPD et ne peuvent se prévaloir des exceptions de la directive Police-Justice (2016/680). Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Téléchargez cette analyse en annexe PDF à votre contestation :

Province de Hainaut / Provincie Henegouwen Analyse disponible

Responsable du traitement: Province de Hainaut — Bureau provincial des Amendes Administratives — Avenue Général de Gaulle 102, 7000 Mons — Website: www.hainaut.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Province de Hainaut / Provincie Henegouwen par un exposé technique. Les constatations ont été effectuées sur www.hainaut.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS max-age=15552000 (~180 jours) sans includeSubDomains ni preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
CSP uniquement frame-ancestors 'self' — pas de politique complèteArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Pas d'en-tête Permissions-Policy (capteurs/géolocalisation non restreints)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, LinkedIn, TikTok, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement
tarteaucitron.io (CMP certifié) — bouton tout-refuser au même niveauArt. 129 WEC / LCE / GEK / ECA✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Province de Liège / Provincie Luik Analyse disponible

Responsable du traitement: Province de Liège — Fonctionnaires sanctionnateurs provinciaux — Rue Ernest Solvay 11, 4000 Liège — Website: www.provincedeliege.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Province de Liège / Provincie Luik par un exposé technique. Les constatations ont été effectuées sur www.provincedeliege.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Pas d'en-tête Permissions-Policy (capteurs/géolocalisation non restreints)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Drupal 7 — fin de vie depuis janvier 2025, plus maintenuArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Facebook Pixel (facebook.net/fbevents.js + /tr?id=...) — transfert direct vers les États-UnisHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Bibliothèque Google Analytics ga.js obsolète — dépréciée par Google depuis 2023Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, YouTube, Bluesky présentsArt. 129 WEC / LCE / GEK / ECAManquement
tarteaucitron.io (CMP certifié) — bouton tout-refuser au même niveauArt. 129 WEC / LCE / GEK / ECA✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Province de Namur / Provincie Namen Analyse disponible

Responsable du traitement: Province de Namur — Bureau des amendes administratives — Rue Henri Blès 190C, 5000 Namur — Website: www.province.namur.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Province de Namur / Provincie Namen par un exposé technique. Les constatations ont été effectuées sur www.province.namur.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS max-age=15552000 (~180 jours) sans includeSubDomains ni preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Pas d'en-tête Permissions-Policy (capteurs/géolocalisation non restreints)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Pas d'en-tête X-Frame-Options (risque de clickjacking)Art. 32 AVG / RGPD / DSGVO / GDPRManquement
Pas d'en-tête X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Fonts (fonts.googleapis.com) — transfert US non divulguéHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
jQuery chargé via ajax.googleapis.com (CDN Google) — transfert US sans proxy localHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, LinkedIn, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement
Bannière cookies custom (non-IAB-certifiée) — bouton refuser présent mais formulation non standardiséeArt. 129 WEC / LCE / GEK / ECAInformatif

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Province de Luxembourg / Provincie Luxemburg Analyse disponible

Responsable du traitement: Province de Luxembourg — Service des amendes administratives — Place Léopold 1, 6700 Arlon — Website: www.province.luxembourg.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Province de Luxembourg / Provincie Luxemburg par un exposé technique. Les constatations ont été effectuées sur www.province.luxembourg.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS max-age=63072000 (2 ans) + includeSubDomains + preload — excellentArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Pas d'en-tête Permissions-Policy (capteurs/géolocalisation non restreints)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Hotjar session-replay tracker — analyse comportementale, enregistrement clavier et sourisArt. 129 WEC / LCE / GEK / ECA + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, LinkedIn, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement
tarteaucitron.io (CMP certifié) — bouton tout-refuser au même niveauArt. 129 WEC / LCE / GEK / ECA✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Province du Brabant wallon / Provincie Waals-Brabant Analyse disponible

Responsable du traitement: Province du Brabant wallon — Fonctionnaire sanctionnateur — Place du Brabant wallon 1, 1300 Wavre — Website: www.brabantwallon.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Province du Brabant wallon / Provincie Waals-Brabant par un exposé technique. Les constatations ont été effectuées sur www.brabantwallon.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Pas d'en-tête Permissions-Policy (capteurs/géolocalisation non restreints)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Pas d'en-tête X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun traceur externe sur la page d'accueil — positifArt. 129 WEC / LCE / GEK / ECA✓ Conforme
Embeds Facebook, Instagram, Twitter/X, LinkedIn, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Mechelen Analyse disponible

Responsable du traitement: Stad Mechelen — Grote Markt 21, 2800 Mechelen — Website: www.mechelen.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Mechelen par un exposé technique. Les constatations ont été effectuées sur www.mechelen.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Pas d'en-tête Permissions-Policy (capteurs/géolocalisation non restreints)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Pas d'en-tête X-Frame-Options (risque de clickjacking)Art. 32 AVG / RGPD / DSGVO / GDPRManquement
Matomo Cloud analytics — soumis au consentement, disableCookies + setDoNotTrackArt. 5(1)(c) + Art. 129 WEC / LCE / GEK / ECA✓ Conforme
CMP cookiesjsr (module Drupal) — bouton tout-refuser au même niveauArt. 129 WEC / LCE / GEK / ECA✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville d'Arlon Analyse disponible

Responsable du traitement: Ville d'Arlon — Rue Paul Reuter 8, 6700 Arlon — Website: www.arlon.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville d'Arlon par un exposé technique. Les constatations ont été effectuées sur www.arlon.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS max-age=31536000; includeSubDomains (1 an, pas de preload)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Pas d'en-tête Permissions-Policy (capteurs/géolocalisation non restreints)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
iA.Smartweb @@accept_or_refuse_all — trois boutons au même niveauArt. 129 WEC / LCE / GEK / ECA✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node Analyse disponible

Responsable du traitement: Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node — Avenue de l'Astronomie 13, 1210 Saint-Josse-ten-Noode — Website: www.sjtn.brussels.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node par un exposé technique. Les constatations ont été effectuées sur www.sjtn.brussels le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Drupal 7 (fin de support depuis le 5 janvier 2025) — non supportéArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Politique Referrer-Policy: no-referrer-when-downgrade faibleArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Analytics (GA4) + analytics.js se chargent avant le consentementArt. 129 WEC / LCE / GEK / ECA + Art. 6 AVGManquement
accessToken Mapbox codé en dur (transfert vers les États-Unis)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
jQuery 2.2.4 via CDN code.jquery.com (bibliothèque obsolète, CDN externe)Art. 32 AVG / RGPD / DSGVO / GDPRManquement
Bannière eu_cookie_compliance présente mais décorative (traceurs se chargent quand même)Art. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Provincie Vlaams-Brabant / Province du Brabant flamand Analyse disponible

Responsable du traitement: Provincie Vlaams-Brabant — Provincieplein 1, 3010 Leuven — Website: www.vlaamsbrabant.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Provincie Vlaams-Brabant / Province du Brabant flamand par un exposé technique. Les constatations ont été effectuées sur www.vlaamsbrabant.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS présent mais max-age < 1 an — en dessous de la durée recommandéeArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
CSP présent mais trop permissif ('unsafe-inline' 'unsafe-eval' https:)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Matomo Cloud analytics (hébergé EU) — acceptable, pas de transfert USArt. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement
Drupal EU Cookie Compliance — CMP custom, bouton tout-refuser présentArt. 129 WEC / LCE / GEK / ECA✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Provincie Oost-Vlaanderen / Province de Flandre-Orientale Analyse disponible

Responsable du traitement: Provincie Oost-Vlaanderen — Gouvernementstraat 1, 9000 Gent — Website: oost-vlaanderen.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Provincie Oost-Vlaanderen / Province de Flandre-Orientale par un exposé technique. Les constatations ont été effectuées sur oost-vlaanderen.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Matomo Cloud analytics (hébergé EU) — acceptable, pas de transfert USArt. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Twitter, Instagram, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement
Bannière cookies custom sans bouton « Tout refuser » au même niveauArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Provincie Limburg / Province de Limbourg Analyse disponible

Responsable du traitement: Provincie Limburg — Universiteitslaan 1, 3500 Hasselt — Website: www.limburg.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Provincie Limburg / Province de Limbourg par un exposé technique. Les constatations ont été effectuées sur www.limburg.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
CSP uniquement en report-uri (report-only) — pas d'atténuation effectiveArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Politique Referrer-Policy: no-referrer-when-downgrade faibleArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Piwik PRO analytics sur URL de container — hébergement EU habituellement mais vérifier le DPAArt. 5(1)(c) + Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRInformatif
Embeds Facebook, Instagram, LinkedIn, X présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Ieper Analyse disponible

Responsable du traitement: Stad Ieper (KBO 0207.518.630) — Grote Markt 34, 8900 Ieper — Website: www.ieper.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Ieper par un exposé technique. Les constatations ont été effectuées sur www.ieper.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy partielle (uniquement connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Eeklo Analyse disponible

Responsable du traitement: Stad Eeklo (KBO 0207.461.616) — Industrielaan 2, 9900 Eeklo — Website: www.eeklo.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Eeklo par un exposé technique. Les constatations ont été effectuées sur www.eeklo.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy partielle (uniquement connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Halle Analyse disponible

Responsable du traitement: Stad Halle (KBO 0207.528.640) — Oudstrijdersplein 18, 1500 Halle — Website: www.halle.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Halle par un exposé technique. Les constatations ont été effectuées sur www.halle.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy stricte (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
HSTS 2 ans + includeSubDomains + preload — configuration forteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Tienen Analyse disponible

Responsable du traitement: Stad Tienen (KBO 0207.537.929) — Grote Markt 27, 3300 Tienen — Website: www.tienen.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Tienen par un exposé technique. Les constatations ont été effectuées sur www.tienen.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS 2 ans + includeSubDomains + preload — configuration forteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Google Fonts (fonts.googleapis.com) — transfert US non divulguéHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Dinant Analyse disponible

Responsable du traitement: Ville de Dinant (BCE 0207.360.125) — Rue Grande 112, 5500 Dinant — Website: www.dinant.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Dinant par un exposé technique. Les constatations ont été effectuées sur www.dinant.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS 2 ans + includeSubDomains + preload — configuration forteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Wavre Analyse disponible

Responsable du traitement: Ville de Wavre (BCE 0207.381.392) — Place de l'Hôtel de Ville, 1300 Wavre — Website: www.wavre.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Wavre par un exposé technique. Les constatations ont été effectuées sur www.wavre.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embed de documents calameo.com — traqueur externeArt. 129 WEC / LCE / GEK / ECAManquement
Embeds Facebook, Instagram, LinkedIn, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Huy Analyse disponible

Responsable du traitement: Ville de Huy (BCE 0207.348.088) — Grand-Place 1, 4500 Huy — Website: www.huy.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Huy par un exposé technique. Les constatations ont été effectuées sur www.huy.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville d'Ath Analyse disponible

Responsable du traitement: Ville d'Ath (BCE 0207.362.500) — Rue de Pintamont 54, 7800 Ath — Website: www.ath.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville d'Ath par un exposé technique. Les constatations ont été effectuées sur www.ath.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embeds Facebook, Instagram, Vimeo, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Waterloo Analyse disponible

Responsable du traitement: Commune de Waterloo (BCE 0216.694.712) — Rue François Libert 28, 1410 Waterloo — Website: www.waterloo.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Waterloo par un exposé technique. Les constatations ont été effectuées sur www.waterloo.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Fonts (fonts.googleapis.com) — transfert US non divulguéHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, Twitter, Vimeo présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Deinze Analyse disponible

Responsable du traitement: Stad Deinze (KBO 0207.489.352) — Brielstraat 2, 9800 Deinze — Website: www.deinze.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Deinze par un exposé technique. Les constatations ont été effectuées sur www.deinze.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy stricte (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune d'Ixelles / Gemeente Elsene Analyse disponible

Responsable du traitement: Commune d'Ixelles (BCE 0207.387.826) — Chaussée d'Ixelles 168, 1050 Ixelles — Website: www.ixelles.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune d'Ixelles / Gemeente Elsene par un exposé technique. Les constatations ont été effectuées sur www.ixelles.be (page d’accueil) et elsene.be/site/23-Algemeen-politiereglement (règlement GAS, 19 avril 2026) et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement
Base légale explicite mentionnée sur elsene.be/site/23 (Loi du 24 juin 2013, art. 19/1 et 27)Art. 6 + 5(2) RGPD✓ Conforme
Durée de conservation publiée : max 5 ans ; 6 mois si pas d’amendeArt. 13(2)(a) RGPD✓ Conforme
Coordonnées du DPO publiées : dpo@elsene.brusselsArt. 37(7) RGPD✓ Conforme
Page du règlement (elsene.be/site/23) sans traceurs externesArt. 129 LCE✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune d'Uccle / Gemeente Ukkel Analyse disponible

Responsable du traitement: Commune d'Uccle (BCE 0207.393.074) — Place Jean Vander Elst 29, 1180 Uccle — Website: www.uccle.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune d'Uccle / Gemeente Ukkel par un exposé technique. Les constatations ont été effectuées sur www.uccle.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embeds Facebook, Instagram, LinkedIn, Twitter présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Forest / Gemeente Vorst Analyse disponible

Responsable du traitement: Commune de Forest (BCE 0207.387.529) — Rue du Curé 2, 1190 Forest — Website: www.forest.brussels.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Forest / Gemeente Vorst par un exposé technique. Les constatations ont été effectuées sur www.forest.brussels le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embeds Facebook, Instagram présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Jette / Gemeente Jette Analyse disponible

Responsable du traitement: Commune de Jette (BCE 0207.389.804) — Chaussée de Wemmel 100, 1090 Jette — Website: www.jette.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Jette / Gemeente Jette par un exposé technique. Les constatations ont été effectuées sur www.jette.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Referrer-Policy: same-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Intégration de tiers minimale (pas d'embeds sociaux sur la page d'accueil)Art. 5(1)(c) + Art. 129 WEC✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Koekelberg / Gemeente Koekelberg Analyse disponible

Responsable du traitement: Commune de Koekelberg (BCE 0207.387.727) — Place Henri Vanhuffel 6, 1081 Koekelberg — Website: www.koekelberg.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Koekelberg / Gemeente Koekelberg par un exposé technique. Les constatations ont été effectuées sur www.koekelberg.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Banner serveur Microsoft-IIS/10.0 (fuite de version)Art. 32 AVG / RGPD / DSGVO / GDPRManquement
Google reCAPTCHA présent (sous-traitant US, non divulgué)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Google Fonts (fonts.googleapis.com) — transfert US non divulguéHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, Instagram présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem Analyse disponible

Responsable du traitement: Commune de Berchem-Sainte-Agathe (BCE 0207.386.240) — Avenue du Roi Albert 33, 1082 Berchem-Sainte-Agathe — Website: www.1082.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem par un exposé technique. Les constatations ont été effectuées sur www.1082.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Banner serveur détaillé (Apache/2.4.62 (Win64) OpenSSL/3.1.7 PHP/8.3.14 mod_fcgid/2.3.10-dev) — fuite de version majeureArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Cookieyes comme CMP — positifArt. 129 WEC / LCE / GEK / ECA✓ Conforme
Embeds Facebook, Instagram présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde Analyse disponible

Responsable du traitement: Commune de Watermael-Boitsfort (BCE 0207.393.470) — Place Antoine Gilson 1, 1170 Watermael-Boitsfort — Website: www.watermael-boitsfort.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde par un exposé technique. Les constatations ont été effectuées sur www.watermael-boitsfort.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Referrer-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embeds Facebook présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune d'Evere / Gemeente Evere Analyse disponible

Responsable du traitement: Commune d'Evere (BCE 0207.384.064) — Square Hoedemaekers 10, 1140 Evere — Website: www.evere.brussels.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune d'Evere / Gemeente Evere par un exposé technique. Les constatations ont été effectuées sur www.evere.brussels le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Google Fonts (fonts.googleapis.com) — transfert US non divulguéHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Ganshoren / Gemeente Ganshoren Analyse disponible

Responsable du traitement: Commune de Ganshoren (BCE 0207.387.826) — Avenue Charles-Quint 140, 1083 Ganshoren — Website: www.ganshoren.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Ganshoren / Gemeente Ganshoren par un exposé technique. Les constatations ont été effectuées sur www.ganshoren.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune d'Auderghem / Gemeente Oudergem Analyse disponible

Responsable du traitement: Commune d'Auderghem (BCE 0207.386.438) — Rue Emile Idiers 12, 1160 Auderghem — Website: www.auderghem.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune d'Auderghem / Gemeente Oudergem par un exposé technique. Les constatations ont été effectuées sur www.auderghem.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe Analyse disponible

Responsable du traitement: Commune de Woluwe-Saint-Lambert (BCE 0207.397.034) — Avenue Paul Hymans 2, 1200 Woluwe-Saint-Lambert — Website: www.woluwe1200.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe par un exposé technique. Les constatations ont été effectuées sur www.woluwe1200.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe Analyse disponible

Responsable du traitement: Commune de Woluwe-Saint-Pierre (BCE 0207.395.153) — Avenue Charles Thielemans 93, 1150 Woluwe-Saint-Pierre — Website: www.woluwe1150.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe par un exposé technique. Les constatations ont été effectuées sur www.woluwe1150.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
CSP partielle (uniquement frame-ancestors)Art. 32 AVG / RGPD / DSGVO / GDPRManquement
Google reCAPTCHA présent (sous-traitant US, non divulgué)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
5 embeds Facebook sur la page publiqueArt. 129 WEC / LCE / GEK / ECAManquement
Embeds Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune d'Anderlecht / Gemeente Anderlecht Analyse disponible

Responsable du traitement: Commune d'Anderlecht (BCE 0207.393.470) — Place du Conseil 1, 1070 Anderlecht — Website: www.anderlecht.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune d'Anderlecht / Gemeente Anderlecht par un exposé technique. Les constatations ont été effectuées sur www.anderlecht.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook, Instagram présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Schaerbeek / Gemeente Schaarbeek Analyse disponible

Responsable du traitement: Commune de Schaerbeek (BCE 0207.377.988) — Place Colignon, 1030 Schaerbeek — Website: www.1030.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Schaerbeek / Gemeente Schaarbeek par un exposé technique. Les constatations ont été effectuées sur www.1030.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy stricte (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek Analyse disponible

Responsable du traitement: Commune de Molenbeek-Saint-Jean (BCE 0207.391.193) — Rue du Comte de Flandre 20, 1080 Molenbeek-Saint-Jean — Website: www.molenbeek.irisnet.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek par un exposé technique. Les constatations ont été effectuées sur www.molenbeek.irisnet.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
7 embeds Facebook sur la page publiqueArt. 129 WEC / LCE / GEK / ECAManquement
Embeds Twitter, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Commune d'Etterbeek Analyse disponible

Responsable du traitement: Commune d'Etterbeek (BCE 0207.383.274) — Avenue d'Auderghem 113-117, 1040 Etterbeek — Website: etterbeek.brussels.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Commune d'Etterbeek par un exposé technique. Les constatations ont été effectuées sur etterbeek.brussels le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Turnhout Analyse disponible

Responsable du traitement: Stad Turnhout (KBO 0207.537.434) — Campus Blairon 200, 2300 Turnhout — Website: www.turnhout.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Turnhout par un exposé technique. Les constatations ont été effectuées sur www.turnhout.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy stricte (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
HSTS avec max-age=63072000 (2 ans) + includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Google reCAPTCHA présent (sous-traitant US, non divulgué)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, Instagram, LinkedIn, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Beringen Analyse disponible

Responsable du traitement: Stad Beringen (KBO 0207.525.461) — Mijnschoolstraat 88, 3580 Beringen — Website: www.beringen.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Beringen par un exposé technique. Les constatations ont été effectuées sur www.beringen.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy partielle (uniquement connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite l'usage des capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Lommel Analyse disponible

Responsable du traitement: Stad Lommel (KBO 0207.519.026) — Hertog Janplein 1, 3920 Lommel — Website: www.lommel.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Lommel par un exposé technique. Les constatations ont été effectuées sur www.lommel.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy partielle (uniquement connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite l'usage des capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Geel Analyse disponible

Responsable du traitement: Stad Geel (KBO 0207.524.966) — Werft 20, 2440 Geel — Website: www.geel.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Geel par un exposé technique. Les constatations ont été effectuées sur www.geel.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy stricte (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite l'usage des capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Embeds Facebook, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Mouscron Analyse disponible

Responsable du traitement: Ville de Mouscron (BCE 0207.356.899) — Grand-Place 1, 7700 Mouscron — Website: www.mouscron.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Mouscron par un exposé technique. Les constatations ont été effectuées sur www.mouscron.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Embeds Facebook présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Kortrijk Analyse disponible

Responsable du traitement: Stad Kortrijk (KBO 0207.494.678) — Grote Markt 54, 8500 Kortrijk — Website: www.kortrijk.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Kortrijk par un exposé technique. Les constatations ont été effectuées sur www.kortrijk.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram, LinkedIn, WhatsApp, TikTok présentsArt. 129 WEC / LCE / GEK / ECAManquement
Google Maps (maps.googleapis.com) — sous-traitant USHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Oostende Analyse disponible

Responsable du traitement: Stad Oostende (KBO 0207.473.295) — Vindictivelaan 1, 8400 Oostende — Website: www.oostende.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Oostende par un exposé technique. Les constatations ont été effectuées sur www.oostende.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy partielle (uniquement connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite l'usage des capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Instagram présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Sint-Niklaas Analyse disponible

Responsable du traitement: Stad Sint-Niklaas (KBO 0207.486.859) — Grote Markt 1, 9100 Sint-Niklaas — Website: www.sint-niklaas.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Sint-Niklaas par un exposé technique. Les constatations ont été effectuées sur www.sint-niklaas.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Utilisation de Cookiebot comme CMP — positifArt. 129 WEC / LCE / GEK / ECA✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Google Fonts (fonts.googleapis.com) — transfert US non divulguéHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, LinkedIn, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Aalst Analyse disponible

Responsable du traitement: Stad Aalst (KBO 0207.449.148) — Grote Markt 3, 9300 Aalst — Website: aalst.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Aalst par un exposé technique. Les constatations ont été effectuées sur aalst.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook, Instagram, YouTube, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Genk Analyse disponible

Responsable du traitement: Stad Genk (KBO 0207.522.491) — Stadsplein 1, 3600 Genk — Website: www.genk.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Genk par un exposé technique. Les constatations ont été effectuées sur www.genk.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy partielle (uniquement connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformatif
Referrer-Policy: strict-origin-when-cross-origin correcteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
En-tête Permissions-Policy présent — limite l'usage des capteurs/géolocalisationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Utilise Matomo (plus respectueux de la vie privée que Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
Embeds Facebook, Twitter, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Roeselare Analyse disponible

Responsable du traitement: Stad Roeselare (KBO 0207.490.219) — Botermarkt 2, 8800 Roeselare — Website: www.roeselare.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Roeselare par un exposé technique. Les constatations ont été effectuées sur www.roeselare.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
HSTS avec includeSubDomains et preload — configuration forteArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Google Fonts (fonts.googleapis.com) — transfert US non divulguéHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Tournai Analyse disponible

Responsable du traitement: Ville de Tournai (BCE 0207.352.297) — Rue Saint-Martin 52, 7500 Tournai — Website: www.tournai.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Tournai par un exposé technique. Les constatations ont été effectuées sur www.tournai.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Politique Referrer-Policy: no-referrer-when-downgrade faibleArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embed de documents calameo.com — traqueur externeArt. 129 WEC / LCE / GEK / ECAManquement
Embeds Facebook, Instagram, YouTube, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de La Louvière Analyse disponible

Responsable du traitement: Ville de La Louvière (BCE 0207.382.086) — Place Communale 1, 7100 La Louvière — Website: www.lalouviere.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de La Louvière par un exposé technique. Les constatations ont été effectuées sur www.lalouviere.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
HSTS avec max-age=31536000 (1 an) sans includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformatif
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Seraing Analyse disponible

Responsable du traitement: Ville de Seraing (BCE 0207.335.221) — Place Communale 8, 4100 Seraing — Website: www.seraing.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Seraing par un exposé technique. Les constatations ont été effectuées sur www.seraing.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Politique Referrer-Policy: no-referrer-when-downgrade faibleArt. 32 AVG / RGPD / DSGVO / GDPRManquement
tarteaucitron comme CMP — positif, alternative européenneArt. 129 WEC / LCE / GEK / ECA✓ Conforme
Embeds Facebook, Instagram, YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Verviers Analyse disponible

Responsable du traitement: Ville de Verviers (BCE 0207.356.048) — Place du Marché 55, 4800 Verviers — Website: www.verviers.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Verviers par un exposé technique. Les constatations ont été effectuées sur www.verviers.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Embeds Facebook, YouTube, LinkedIn présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Liège Analyse disponible

Responsable du traitement: Ville de Liège (BCE 0207.343.238) — Place du Marché 2, 4000 Liège — Website: www.liege.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Liège par un exposé technique. Les constatations ont été effectuées sur www.liege.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Utilisation de la variante youtube-nocookie.com — choix positifArt. 129 WEC / LCE / GEK / ECA✓ Conforme
Embeds Facebook et Instagram présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Namur Analyse disponible

Responsable du traitement: Ville de Namur (BCE 0207.341.854) — Hôtel de Ville, 5000 Namur — Website: www.namur.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Namur par un exposé technique. Les constatations ont été effectuées sur www.namur.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Referrer-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Google Fonts (fonts.googleapis.com) — transfert vers Google USHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRManquement
Embeds Facebook, Twitter et YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Mons Analyse disponible

Responsable du traitement: Ville de Mons (BCE 0207.272.119) — Grand-Place 22, 7000 Mons — Website: www.mons.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Mons par un exposé technique. Les constatations ont été effectuées sur www.mons.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Referrer-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
HSTS avec includeSubDomains (1 an) — base solideArt. 32 AVG / RGPD / DSGVO / GDPR✓ Conforme
Embeds Facebook et YouTube présentsArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Ville de Charleroi Analyse disponible

Responsable du traitement: Ville de Charleroi (BCE 0207.362.105) — Place Charles II 14-15, 6000 Charleroi — Website: www.charleroi.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Ville de Charleroi par un exposé technique. Les constatations ont été effectuées sur www.charleroi.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Politique Referrer-Policy: no-referrer-when-downgrade faibleArt. 32 AVG / RGPD / DSGVO / GDPRManquement
Fuite de version serveur dans Server: Apache/2.4.66 (Debian)Art. 32 AVG / RGPD / DSGVO / GDPRManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Antwerpen Analyse disponible

Responsable du traitement: Stad Antwerpen (KBO 0207.500.123) — Dienst Mobiliteit & Parkeren — Grote Markt 1, 2000 Antwerpen — Website: www.antwerpen.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Antwerpen par un exposé technique. Les constatations ont été effectuées sur www.antwerpen.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
La Content-Security-Policy contient une directive invalide (undefined)Art. 32 AVG / GDPR / DSGVOManquement
HSTS avec max-age=15552000 (180 jours) sans preloadArt. 32 AVG / GDPR / DSGVOInformatif
Google Tag Manager charge Google Analytics à l'exécutionArt. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook et Twitter chargés sur chaque pageArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Gent Analyse disponible

Responsable du traitement: Stad Gent (KBO 0207.451.227) — Botermarkt 1, 9000 Gent — Website: stad.gent.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Gent par un exposé technique. Les constatations ont été effectuées sur stad.gent le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
En-têtes de sécurité robustes : HSTS 2 ans avec preload, CSP default-src 'self'Art. 32 AVG / GDPR / DSGVO✓ Conforme
Utilisation de Cookiebot comme CMP — positif, conforme aux lignes directrices APDArt. 129 WEC / LCE / GEK / ECA✓ Conforme
Embeds sociaux (Facebook, Instagram, YouTube, TikTok, LinkedIn, Threads) présents — le verrouillage par consentement doit être vérifié au cas par casArt. 129 WEC / LCE / GEK / ECAInformatif
Google Tag Manager présent (charge les autres traqueurs uniquement après consentement via Cookiebot)Hfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRInformatif

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Brugge Analyse disponible

Responsable du traitement: Stad Brugge (KBO 0207.528.035) — Burg 12, 8000 Brugge — Website: www.brugge.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Brugge par un exposé technique. Les constatations ont été effectuées sur www.brugge.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Content-Security-PolicyArt. 32 AVG / GDPR / DSGVOManquement
Utilise Matomo au lieu de Google Analytics — positif du point de vue de la confidentialitéArt. 5(1)(c) AVG / GDPR / DSGVO✓ Conforme
HSTS avec max-age=31557600 (1 an) sans includeSubDomains ni preloadArt. 32 AVG / GDPR / DSGVOInformatif
Embeds Facebook, Instagram, LinkedIn et YouTube chargésArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Leuven Analyse disponible

Responsable du traitement: Stad Leuven (KBO 0207.475.077) — Professor Van Overstraetenplein 1, 3000 Leuven — Website: www.leuven.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Leuven par un exposé technique. Les constatations ont été effectuées sur www.leuven.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / GDPR / DSGVOManquement
Aucun en-tête Content-Security-PolicyArt. 32 AVG / GDPR / DSGVOManquement
Google Tag Manager charge Google Analytics à l'exécution (transfert vers Google US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VManquement
Embeds Facebook, Instagram et LinkedIn chargésArt. 129 WEC / LCE / GEK / ECAManquement

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

Stad Hasselt Analyse disponible

Responsable du traitement: Stad Hasselt (KBO 0207.476.069) — Groenplein 1, 3500 Hasselt — Website: www.hasselt.be.

La présente annexe vise à compléter la contestation d'une sanction ou rétribution de la Stad Hasselt par un exposé technique. Les constatations ont été effectuées sur www.hasselt.be le 17 avril 2026 et révèlent des manquements en matière de RGPD, ePrivacy et sécurité du traitement.

1. Manquements constatés

ConstatBase juridiqueRisque
Content-Security-Policy seulement partielle (uniquement frame-ancestors)Art. 32 AVG / GDPR / DSGVOManquement
Aucun en-tête Strict-Transport-SecurityArt. 32 AVG / GDPR / DSGVOManquement
Google Fonts (fonts.gstatic.com, fonts.googleapis.com) — transfert vers les États-Unis non divulguéHfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRManquement
Plateforme Drupal — protection CSRF form_build_id présente par défautArt. 32 AVG / GDPR / DSGVO✓ Conforme

2. Qualification juridique

Article 5(1)(a) RGPD — transparence

Les personnes doivent être informées de manière transparente et loyale du traitement ; une sécurité technique absente ou inexacte nuit à cette obligation.

Article 6 RGPD — base légale

Les compétences générales de la commune ne peuvent, après la décision APD 56/2026 (Dilbeek), servir de base légale au transfert de données ou à l'usage de l'ANPR sans base spécifique et DPIA.

Chapitre V RGPD — transferts

L'utilisation de sous-traitants américains (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implique un transfert vers les États-Unis qui, sans garantie appropriée (Ch. V RGPD), est illicite.

Article 32 RGPD — sécurité

L'absence de mesures techniques appropriées (HSTS, CSP, Referrer-Policy) n'est pas conforme à l'article 32 RGPD pour une plateforme publique traitant des données personnelles.

Article 129 LCE — ePrivacy

Les cookies non essentiels, embeds sociaux et autres traqueurs exigent un consentement préalable, éclairé, spécifique et granulaire ; un renvoi aux paramètres du navigateur ne suffit pas.

3. Moyens de défense recommandés

  • la sanction contestée soit réformée ou annulée pour traitement illicite de données à caractère personnel ;
  • acte soit donné des manquements techniques constatés ;
  • subsidiairement, une nouvelle instruction soit menée sur la base de données recueillies licitement ;
  • la partie requérante conserve le droit de déposer plainte auprès de l'Autorité de protection des données ;
  • acte soit donné de la réserve du droit à réparation sur la base de l'article 82 RGPD.
Remarque : Vérification du 17 avril 2026 de la page publique. La sanction contestée est une rétribution de stationnement ou une amende SAC qui relève pleinement du RGPD. Vous pouvez vérifier les constats via les DevTools de votre navigateur.

GAS Rivierenland Analyse verfügbar

Website: gasrivierenland.be — Sitz: Grote Markt 21, 2800 Mechelen.

Mitgliedsgemeinden (15): Berlaar, Bonheiden, Boortmeerbeek, Bornem, Duffel, Heist-op-den-Berg, Herent, Kortenberg, Lier, Mechelen, Nijlen, Putte, Puurs-Sint-Amands, Sint-Katelijne-Waver, Willebroek.

1. Festgestellte DSGVO- und ePrivacy-Verstöße

Eine technische Prüfung von gasrivierenland.be und den verlinkten Datenschutz- und Cookie-Seiten zeigt mehrere Verstöße gegen die DSGVO, das belgische Gesetz vom 30. Juli 2018 und das Gesetz über elektronische Kommunikation (Art. 129 GEK).

FeststellungRechtsgrundlageRisiko
Kein Cookie-Banner beim ErstbesuchArt. 129 GEK — vorherige Einwilligung erforderlichePrivacy-Verstoß
YouTube-Tracking-Cookies (YSC, PREF 10 Jahre, VISITOR_INFO1_LIVE 240 Tage) ohne EinwilligungArt. 129 GEK + Art. 6 DSGVOPersistentes Drittanbieter-Tracking
„Cookies über Browsereinstellungen ablehnen“ als EinwilligungsmechanismusDSB-Leitlinien 2023 — ungültigUngültiges Einwilligungsmodell
Datenschutzerklärung zuletzt 30.12.2019 aktualisiertArt. 5(2) DSGVO — RechenschaftspflichtVeraltete Dokumentation
Keine DSB-Kontaktdaten veröffentlichtArt. 37 & 38 DSGVO — für Behörden zwingendFormale Nichteinhaltung
Defekter interner Datenschutz-Link (/jouw-privacy → HTTP 410)Art. 12 DSGVO — TransparenzInformationspflicht verletzt
Formular erfasst Nationalregisternummer ohne Hinweis bei der ErhebungArt. 13 DSGVO + Gesetz vom 8.8.1983Hochrisiko-Verarbeitung
Kein Hinweis auf Beschwerderecht bei der DSBArt. 13(2)(d) DSGVOBetroffene nicht informiert
Keine Aufbewahrungsfristen angegebenArt. 13(2)(a) DSGVOUnbegrenzte Speicherung möglich
Keine Information zu internationalen ÜbermittlungenArt. 13(1)(f) + Kap. V DSGVOUnvollständige Transparenz
Keine spezifische Regelung für MinderjährigeArt. 8 DSGVOBesonderer Schutz fehlt

2. Verletzte DSGVO-Artikel (Zusammenfassung)

Artikel 5(1)(a) — Transparenz

Die Datenschutzerklärung von 2019 deckt die aktuellen Verarbeitungen nicht ab.

Artikel 13 — Informationspflicht

Zum Zeitpunkt der Erhebung (Formulare „anderer Fahrer“, Einspruch usw.) wird keine spezifische Datenschutzmitteilung angezeigt.

Artikel 37 & 38 — DSB

Als öffentliche Stelle muss GAS Rivierenland einen DSB benennen und dessen Kontaktdaten veröffentlichen.

Artikel 129 GEK / ePrivacy — Cookies

Nicht wesentliche Cookies werden ohne vorherige, informierte, granulare Einwilligung gesetzt. Keine Ablehnungsschaltfläche, keine Kategorien.

3. Online-Formulare — Sicherheit

Ergebnisse einer technischen Prüfung des Einspruchsformulars /snelheidsboete/andere-bestuurder und der Startseite (April 2026).

FeststellungDetailRisiko
Kein CSRF-Token im POST-EinspruchsformularVorhandene versteckte Felder (pageNumber, __formName, MAX_FILE_SIZE, g-recaptcha-response, ...) enthalten kein Anti-CSRF-TokenCross-Site Request Forgery möglich
Google reCAPTCHA im FormularFeld g-recaptcha-response + Laden von www.google.com/recaptcha; Übermittlung an Google USIn der Datenschutzerklärung nicht erwähnt — Art. 13 + Kap. V DSGVO
Mehrere US-CDNs auf der Formularseitefonts.googleapis.com, fonts.gstatic.com, cdnjs.cloudflare.com, maxcdn.bootstrapcdn.com, cdn.tiny.cloudInternationale Übermittlung (US) ohne Offenlegung
Kein Content-Security-Policy-HeaderDer Server sendet kein CSPKeine Tiefenverteidigung gegen XSS / Injection
Nationalregisternummer als <input type="text">Ohne autocomplete="off" für dieses sensible FeldBrowser-Caching; Art. 32 DSGVO
HSTS vorhanden (1 Jahr, includeSubDomains)Positiv; kein preload, aber solide BasisOK

4. Empfohlene Verteidigungsmittel

  • Berufung auf Art. 82 DSGVO (Schadenersatzanspruch) bei Verwendung unrechtmäßig verarbeiteter Daten.
  • Hinweis, dass der Verantwortliche seine eigene Informationspflicht nicht erfüllt — dies beeinträchtigt die Rechtmäßigkeit der Verarbeitung.
  • Beschwerde bei der Datenschutzbehörde (www.datenschutzbehoerde.be) möglich.
Hinweis: Analyse basiert auf einer öffentlichen Prüfung von gasrivierenland.be (April 2026). Sie können die Ergebnisse selbst über die DevTools Ihres Browsers überprüfen.

Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:

Haviland (Halle-Vilvoorde) Analyse verfügbar

Website: haviland.be — Verantwortlicher: Haviland Regiopartners, Poverstraat 75 bus 47, 1731 Asse — Kontakt Informationssicherheit: informatieveiligheid@haviland.be.

Mitgliedsgemeinden (23): Affligem, Asse, Beersel, Dilbeek, Grimbergen, Kampenhout, Kapelle-op-den-Bos, Lennik, Liedekerke, Londerzeel, Machelen, Meise, Merchtem, Opwijk, Pepingen, Roosdaal, Sint-Pieters-Leeuw, Steenokkerzeel, Ternat, Vilvoorde, Wemmel, Zaventem, Zemst. Nicht jede Gemeinde nimmt an jeder GAS-Kategorie teil.

1. Festgestellte DSGVO- und ePrivacy-Verstöße

Eine technische Prüfung von haviland.be am 17. April 2026 zeigt folgende Verstöße gegen die DSGVO, das belgische Gesetz vom 30. Juli 2018 und Artikel 129 des Gesetzes über elektronische Kommunikation.

FeststellungRechtsgrundlageRisiko
Dreifache Analytics-Stack: Google Analytics (_ga, _gat, _gid), Hotjar (_hjid) und Matomo (_pk_id, _pk_ses, ...) gleichzeitig aktivArt. 5(1)(c) DSGVO — Verhältnismäßigkeit & MinimierungÜbermäßige Verarbeitung
Direkter Widerspruch: Die Datenschutzerklärung besagt „keine Daten außerhalb der EU“, während Google Analytics und Hotjar in die USA übertragenArt. 5(1)(a) DSGVO; Kap. V DSGVOFalsche Erklärung / Transparenzverstoß
AddThis-Cookies (__atuvc, __atuvs) im Cookie-Verzeichnis — AddThis wurde im Mai 2023 von Oracle eingestelltArt. 5(2) DSGVO — RechenschaftspflichtVeraltete Dokumentation
Universal-Analytics-Cookies (__utma, __utmb, __utmc, __utmz) gelistet, obwohl UA am 1. Juli 2023 eingestellt wurdeArt. 5(2) DSGVONicht aktualisierte Dokumentation
Keine Aufbewahrungsfristen für irgendeinen CookieArt. 13(2)(a) DSGVOUnbegrenzte Speicherung möglich
Kein DSB-Name oder -Mail veröffentlicht (nur generische Adresse informatieveiligheid@)Art. 37 & 38 DSGVOFormale Nichteinhaltung (öffentliche Stelle)
Keine zertifizierte CMP; keine IAB-TCF-IntegrationDSB-Leitlinien zu Cookies 2023Keine Einwilligungs-Nachweisbarkeit
Verweis auf „Browsereinstellungen“ zum Widerruf der EinwilligungDSB-Leitlinie 2023 — nicht gültigUngültiger Widerruf
Keine Information zu internationalen Übermittlungen, trotz GA/Hotjar/YouTube (Übermittlung Google US)Art. 13(1)(f) + Kap. V DSGVOUnvollständige Transparenz
Keine konkreten Auftragsverarbeiter genannt (nur Kategorien „Hosting/Logistik/Sicherheit“)Art. 13(1)(e) DSGVOFehlende Empfängerinformation

2. Wichtigste Verstöße (Zusammenfassung)

Artikel 5(1)(a) — Transparenz und Richtigkeit

Die Datenschutzerklärung enthält eine faktisch falsche Aussage: „Haviland teilt keine personenbezogenen Daten mit Parteien außerhalb der EU“. Dies ist unvereinbar mit der Nutzung von Google Analytics, Hotjar und YouTube-Embeds.

Artikel 5(1)(c) — Datenminimierung

Die gleichzeitige Nutzung von drei Analyse-Systemen (GA + Hotjar + Matomo) übersteigt das erforderliche Minimum.

Artikel 129 GEK / ePrivacy — Cookies

Nicht wesentliche Cookies werden mit einem „Pop-up“ verknüpft, jedoch ohne granulare Kategorieschaltflächen, ohne gleichwertigen Ablehnen-Button und ohne dokumentierten Pre-Tick-Status.

Artikel 37 & 38 — DSB

Haviland ist eine Interkommunale (öffentliche Stelle) und muss einen DSB benennen und dessen Kontaktdaten veröffentlichen. Eine generische Adresse informatieveiligheid@haviland.be erfüllt Art. 37(7) DSGVO nicht.

3. Online-Formulare — Sicherheit

Ergebnisse einer technischen Prüfung von haviland.be/nl und haviland.be/nl/contact (April 2026). Hinweis: Das Kontaktformular wird wahrscheinlich clientseitig gerendert (Paddle CMS); nur der Seiten-Wrapper ist statisch inspizierbar.

FeststellungDetailRisiko
Social- und Tracking-Embeds laden auf jeder Seite (inkl. Kontaktseite)Vor jeder Einwilligung werden www.facebook.com, www.linkedin.com, www.youtube.com, www.googletagmanager.com und cdn.jsdelivr.net geladenArt. 129 GEK + Kap. V DSGVO (US-Übermittlung)
Google Tag Manager auf jeder SeiteGTM lädt Google Analytics zur Laufzeit — das erklärt die GA-Cookies, widerspricht aber zugleich der Aussage „keine Daten außerhalb der EU“Art. 5(1)(a) DSGVO — Transparenz und Richtigkeit
Kein Content-Security-Policy-HeaderDer Server sendet kein CSPKeine Tiefenverteidigung
Eigene „cookieConsent“-Implementierung (Drupal contrib / custom)Keine IAB-TCF-Integration; keine sichtbaren granularen Kategorien im MarkupDSB-Leitlinien 2023 nicht eingehalten
Drupal Form-API-Anti-CSRF (form_build_id + form_id)Vorhanden auf Suchformularen; Standard-Drupal-SchutzPositiv
HSTS vorhanden (2 Jahre, includeSubDomains)Starke HSTS-KonfigurationPositiv

4. Empfohlene Verteidigungsmittel

  • Hinweis auf den nachweisbaren Widerspruch zwischen Datenschutzerklärung und Cookie-Richtlinie — beeinträchtigt die Rechtmäßigkeit der Verarbeitung (Art. 6 DSGVO).
  • Art. 82 DSGVO (Schadenersatzanspruch) wegen unrechtmäßiger Nutzung von Tracking ohne gültige Einwilligung.
  • Beschwerde möglich bei der Datenschutzbehörde und der Vlaamse Toezichtcommissie (beide in der Erklärung selbst genannt).
Hinweis: Prüfung am 17. April 2026 auf den öffentlich zugänglichen Seiten /nl/privacy, /nl/home/cookieverklaring und /nl/home/gas-overtredingen. Datenschutzerklärung zuletzt am 5. Januar 2026 aktualisiert; die Cookieliste enthält jedoch seit 2023 eingestellte Tracker. Sie können die Ergebnisse selbst über die DevTools Ihres Browsers überprüfen.

Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:

Stadt Brüssel / Ville de Bruxelles Analyse verfügbar

Website: brussel.be — Einspruchsportal: brucity.cityenforcement.com — Verantwortlicher: Stadt Brüssel (KBO 0207.373.429), Hallenstraat 4, 1000 Brüssel — DSB: dpo@brucity.be.

Mitgliedsgemeinde: Stadt Brüssel. Einspruchsfrist: 10 Kalendertage ab Erhalt der Zahlungsaufforderung. Der Einspruch entbindet nicht von der Zahlungspflicht; Nichtzahlung führt zu +15 EUR Verwaltungskosten.

1. Festgestellte DSGVO- und ePrivacy-Verstöße

Prüfung am 17. April 2026 der Seiten brussel.be/parkeren-bezwaar-tegen-retributie, brussel.be/wettelijke-vermeldingen und des Portals brucity.cityenforcement.com.

FeststellungRechtsgrundlageRisiko
„Anonymitäts“-Behauptung am Formular, obwohl Kennzeichen + Protokollnummer erhoben werdenArt. 4(1), 12 & 13 DSGVO — DSB-Entscheidung 56/2026Irreführende Information
Datenschutzerklärung von 2020, keine spezifische ParkraumüberwachungArt. 5(2), 12 & 13 DSGVOVeraltete Transparenz
Seite /cookiebeleid liefert HTTP 404Art. 129 GEKInformationspflicht verletzt
Social-Embeds (Facebook, Instagram, YouTube, TikTok, Twitter/X, Bluesky, Calaméo) auf der öffentlichen SeiteArt. 129 GEKTracking vor Einwilligung
Kein Strict-Transport-Security, Content-Security-Policy, Referrer-Policy oder Permissions-Policy auf brussel.beArt. 32 DSGVOKeine Tiefenverteidigung
Portal lädt Microsoft Azure Application Insightsdc.services.visualstudio.com — Übermittlung an US-AuftragsverarbeiterKap. V DSGVO, nicht offengelegt
Externer Auftragsverarbeiter cityenforcement; Vertrag nicht öffentlichArt. 28(3) DSGVO — DSB 29. Sept. 2023Rückwirkende Verträge ungültig
Kein DPIA für ANPR / Scan-Fahrzeuge veröffentlichtArt. 35 DSGVO — DSB 129/2023, 56/2026Hochrisiko-Verarbeitung ohne Bewertung
Das Portal verfügt hingegen über starke Sicherheits-Header (CSP, HSTS preload, Referrer-Policy, Permissions-Policy)Art. 32 DSGVOPositiv

2. Verletzte DSGVO-Artikel (Zusammenfassung)

Artikel 12 & 13 DSGVO — Transparenz und Informationspflicht

Indem das Formular als „anonym“ bezeichnet wird, während Kennzeichen und Protokollnummer erhoben werden, wird die betroffene Person in die Irre geführt. Ein Kennzeichen ist ein personenbezogenes Datum (Art. 4(1) DSGVO).

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Verkehrsbefugnisse genügen nach der DSB-Entscheidung 56/2026 nicht als Rechtsgrundlage für die Übermittlung von Kennzeichen oder den Einsatz von ANPR ohne spezifische Rechtsgrundlage und DPIA.

Artikel 28(3) DSGVO — Auftragsverarbeitung

Die DSB (29. Sept. 2023) hat rückwirkende Auftragsverarbeitungsverträge für ungültig erklärt. Der Vertrag mit cityenforcement muss vor der Verarbeitung bestehen und öffentlich sein.

Artikel 32 DSGVO / Art. 129 GEK — Sicherheit und Cookies

Das Fehlen von HSTS/CSP/Referrer-Policy/Permissions-Policy auf brussel.be, kombiniert mit einer 404-Cookie-Seite und Social-Trackern, die vor der Einwilligung geladen werden, bildet eine strukturelle Verletzung.

3. Online-Formulare — Sicherheit

FeststellungDetailRisiko
Das Portal nutzt HSTS + preloadmax-age=31536000; includeSubDomains; preloadPositiv
Das Portal hat eine strikte CSP (default-src 'none') mit form-action beschränkt auf self + Worldline-ZahlungGute Tiefenverteidigung; Zahlung über payment-webinit.sips-services.comPositiv
Das Portal ist eine SPAFormular clientseitig gerendert; Audit erfordert Laufzeit-DevToolsInformativ
Microsoft-Azure-Telemetrie im Portaldc.services.visualstudio.com — Übermittlung an MicrosoftKap. V DSGVO
brussel.be ohne HSTS/CSP/Referrer-Policy/Permissions-PolicySession-Cookie cookiesession1 ohne dokumentierte Secure- oder SameSite-AttributeArt. 32 DSGVO

4. Empfohlene Verteidigungsmittel

  • Hinweis auf den tatsächlichen Widerspruch zwischen Anonymitätsbehauptung und Erhebung von Kennzeichen + PV-Nr.
  • Berufung auf die DSB-Entscheidungen 56/2026 und 129/2023.
  • Vorlage der DPIA für ANPR/Scan-Fahrzeuge und eines gültigen Auftragsverarbeitungsvertrags mit cityenforcement verlangen.
  • Beschwerde bei der Datenschutzbehörde (Drukpersstraat 35, 1000 Brüssel) möglich.
Hinweis: Prüfung am 17. April 2026. Die angefochtene Maßnahme ist eine Parkretribution (keine GAS-Geldbuße, keine Strafgeldbuße). Retributionen fallen vollständig unter die DSGVO und können sich nicht auf die Ausnahmen der Richtlinie 2016/680 (Strafverfolgung) berufen.

Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:

Province de Hainaut / Provincie Henegouwen Analyse verfügbar

Verantwortlicher: Province de Hainaut — Bureau provincial des Amendes Administratives — Avenue Général de Gaulle 102, 7000 Mons — Website: www.hainaut.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Hainaut / Provincie Henegouwen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.hainaut.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS max-age=15552000 (~180 Tage) ohne includeSubDomains oder preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
CSP nur frame-ancestors 'self' — keine vollständige RichtlinieArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht beschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, LinkedIn, TikTok, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
tarteaucitron.io (zertifizierte CMP) — gleichrangiger Ablehnen-ButtonArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province de Liège / Provincie Luik Analyse verfügbar

Verantwortlicher: Province de Liège — Fonctionnaires sanctionnateurs provinciaux — Rue Ernest Solvay 11, 4000 Liège — Website: www.provincedeliege.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Liège / Provincie Luik durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.provincedeliege.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht beschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Drupal 7 — End-of-Life seit Januar 2025, nicht mehr gewartetArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook Pixel (facebook.net/fbevents.js + /tr?id=...) — direkte US-ÜbermittlungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Veraltete Google Analytics ga.js-Bibliothek — seit 2023 von Google abgekündigtHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, YouTube, Bluesky-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
tarteaucitron.io (zertifizierte CMP) — gleichrangiger Ablehnen-ButtonArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province de Namur / Provincie Namen Analyse verfügbar

Verantwortlicher: Province de Namur — Bureau des amendes administratives — Rue Henri Blès 190C, 5000 Namur — Website: www.province.namur.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Namur / Provincie Namen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.province.namur.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS max-age=15552000 (~180 Tage) ohne includeSubDomains oder preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht beschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Frame-Options-Header (Clickjacking-Risiko)Art. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein X-Content-Type-Options: nosniff-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
jQuery über ajax.googleapis.com (Google CDN) — US-Übermittlung ohne lokalen ProxyHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, LinkedIn, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Custom-Cookie-Banner (nicht IAB-zertifiziert) — Ablehnen-Button vorhanden, Formulierung nicht standardisiertArt. 129 WEC / LCE / GEK / ECAInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province de Luxembourg / Provincie Luxemburg Analyse verfügbar

Verantwortlicher: Province de Luxembourg — Service des amendes administratives — Place Léopold 1, 6700 Arlon — Website: www.province.luxembourg.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Luxembourg / Provincie Luxemburg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.province.luxembourg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS max-age=63072000 (2 Jahre) + includeSubDomains + preload — ausgezeichnetArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht beschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Hotjar Session-Replay-Tracker — Verhaltensanalyse, Tastatur- und Maus-AufzeichnungArt. 129 WEC / LCE / GEK / ECA + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, LinkedIn, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
tarteaucitron.io (zertifizierte CMP) — gleichrangiger Ablehnen-ButtonArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province du Brabant wallon / Provincie Waals-Brabant Analyse verfügbar

Verantwortlicher: Province du Brabant wallon — Fonctionnaire sanctionnateur — Place du Brabant wallon 1, 1300 Wavre — Website: www.brabantwallon.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province du Brabant wallon / Provincie Waals-Brabant durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.brabantwallon.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht beschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniff-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Keine externen Tracker auf der Startseite — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform
Facebook, Instagram, Twitter/X, LinkedIn, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Mechelen Analyse verfügbar

Verantwortlicher: Stad Mechelen — Grote Markt 21, 2800 Mechelen — Website: www.mechelen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Mechelen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.mechelen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht beschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Frame-Options-Header (Clickjacking-Risiko)Art. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Matomo Cloud Analytics — einwilligungsgebunden, disableCookies + setDoNotTrackArt. 5(1)(c) + Art. 129 WEC / LCE / GEK / ECA✓ Konform
Cookiesjsr-CMP (Drupal-Modul) — gleichrangiger Ablehnen-ButtonArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville d'Arlon Analyse verfügbar

Verantwortlicher: Ville d'Arlon — Rue Paul Reuter 8, 6700 Arlon — Website: www.arlon.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville d'Arlon durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.arlon.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS max-age=31536000; includeSubDomains (1 Jahr, ohne preload)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht beschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
iA.Smartweb @@accept_or_refuse_all — drei gleichrangige ButtonsArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node Analyse verfügbar

Verantwortlicher: Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node — Avenue de l'Astronomie 13, 1210 Saint-Josse-ten-Noode — Website: www.sjtn.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.sjtn.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Drupal 7 (End-of-Life seit 5. Januar 2025) — nicht mehr gewartetArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Analytics (GA4) + analytics.js laden vor der EinwilligungArt. 129 WEC / LCE / GEK / ECA + Art. 6 AVGVerstoß
Mapbox-accessToken fest in der Seite (Datenübermittlung in die USA)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
jQuery 2.2.4 via CDN code.jquery.com (veraltete Bibliothek, externer CDN)Art. 32 AVG / RGPD / DSGVO / GDPRVerstoß
eu_cookie_compliance-Banner vorhanden, aber dekorativ (Tracker werden dennoch geladen)Art. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Provincie Vlaams-Brabant / Province du Brabant flamand Analyse verfügbar

Verantwortlicher: Provincie Vlaams-Brabant — Provincieplein 1, 3010 Leuven — Website: www.vlaamsbrabant.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Vlaams-Brabant / Province du Brabant flamand durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.vlaamsbrabant.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS vorhanden, aber max-age < 1 Jahr — unter der empfohlenen DauerArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
CSP vorhanden, aber zu permissiv ('unsafe-inline' 'unsafe-eval' https:)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Matomo Cloud Analytics (EU-gehostet) — akzeptabel, keine US-ÜbermittlungArt. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Drupal EU Cookie Compliance — Custom-CMP, Ablehnen-Button vorhandenArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Provincie Oost-Vlaanderen / Province de Flandre-Orientale Analyse verfügbar

Verantwortlicher: Provincie Oost-Vlaanderen — Gouvernementstraat 1, 9000 Gent — Website: oost-vlaanderen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Oost-Vlaanderen / Province de Flandre-Orientale durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf oost-vlaanderen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Matomo Cloud Analytics (EU-gehostet) — akzeptabel, keine US-ÜbermittlungArt. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Twitter, Instagram, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Custom-Cookie-Banner ohne gleichrangigen „Alles ablehnen“-ButtonArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Provincie Limburg / Province de Limbourg Analyse verfügbar

Verantwortlicher: Provincie Limburg — Universiteitslaan 1, 3500 Hasselt — Website: www.limburg.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Limburg / Province de Limbourg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.limburg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
CSP nur als report-uri (Report-only) — keine effektive MitigationArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Piwik PRO Analytics auf eigener Container-URL — EU-Hosting üblich, aber DPA prüfenArt. 5(1)(c) + Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRInformativ
Facebook, Instagram, LinkedIn, X-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Ieper Analyse verfügbar

Verantwortlicher: Stad Ieper (KBO 0207.518.630) — Grote Markt 34, 8900 Ieper — Website: www.ieper.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Ieper durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.ieper.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Nur partielle Content-Security-Policy (nur connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Eeklo Analyse verfügbar

Verantwortlicher: Stad Eeklo (KBO 0207.461.616) — Industrielaan 2, 9900 Eeklo — Website: www.eeklo.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Eeklo durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.eeklo.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Nur partielle Content-Security-Policy (nur connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Halle Analyse verfügbar

Verantwortlicher: Stad Halle (KBO 0207.528.640) — Oudstrijdersplein 18, 1500 Halle — Website: www.halle.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Halle durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.halle.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Tienen Analyse verfügbar

Verantwortlicher: Stad Tienen (KBO 0207.537.929) — Grote Markt 27, 3300 Tienen — Website: www.tienen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Tienen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.tienen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Dinant Analyse verfügbar

Verantwortlicher: Ville de Dinant (BCE 0207.360.125) — Rue Grande 112, 5500 Dinant — Website: www.dinant.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Dinant durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.dinant.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Wavre Analyse verfügbar

Verantwortlicher: Ville de Wavre (BCE 0207.381.392) — Place de l'Hôtel de Ville, 1300 Wavre — Website: www.wavre.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Wavre durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.wavre.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
calameo.com-Dokumenteinbettung — externer TrackerArt. 129 WEC / LCE / GEK / ECAVerstoß
Facebook, Instagram, LinkedIn, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Huy Analyse verfügbar

Verantwortlicher: Ville de Huy (BCE 0207.348.088) — Grand-Place 1, 4500 Huy — Website: www.huy.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Huy durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.huy.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville d'Ath Analyse verfügbar

Verantwortlicher: Ville d'Ath (BCE 0207.362.500) — Rue de Pintamont 54, 7800 Ath — Website: www.ath.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville d'Ath durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.ath.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook, Instagram, Vimeo, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Waterloo Analyse verfügbar

Verantwortlicher: Commune de Waterloo (BCE 0216.694.712) — Rue François Libert 28, 1410 Waterloo — Website: www.waterloo.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Waterloo durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.waterloo.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook, Twitter, Vimeo-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Deinze Analyse verfügbar

Verantwortlicher: Stad Deinze (KBO 0207.489.352) — Brielstraat 2, 9800 Deinze — Website: www.deinze.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Deinze durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.deinze.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Ixelles / Gemeente Elsene Analyse verfügbar

Verantwortlicher: Commune d'Ixelles (BCE 0207.387.826) — Chaussée d'Ixelles 168, 1050 Ixelles — Website: www.ixelles.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Ixelles / Gemeente Elsene durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden auf www.ixelles.be (Startseite) und elsene.be/site/23-Algemeen-politiereglement (Polizeiordnung, 19. April 2026) durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Ausdrückliche Rechtsgrundlage auf elsene.be/site/23 angegeben (Gesetz vom 24. Juni 2013, Art. 19/1 und 27)Art. 6 + 5(2) DSGVO✓ Konform
Aufbewahrungsfrist veröffentlicht: max. 5 Jahre; 6 Monate ohne BußgeldArt. 13(2)(a) DSGVO✓ Konform
DSB-Kontakt öffentlich: dpo@elsene.brusselsArt. 37(7) DSGVO✓ Konform
Polizeiordnungs-Seite (elsene.be/site/23) ohne externe TrackerArt. 129 GEK✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Uccle / Gemeente Ukkel Analyse verfügbar

Verantwortlicher: Commune d'Uccle (BCE 0207.393.074) — Place Jean Vander Elst 29, 1180 Uccle — Website: www.uccle.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Uccle / Gemeente Ukkel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.uccle.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook, Instagram, LinkedIn, Twitter-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Forest / Gemeente Vorst Analyse verfügbar

Verantwortlicher: Commune de Forest (BCE 0207.387.529) — Rue du Curé 2, 1190 Forest — Website: www.forest.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Forest / Gemeente Vorst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.forest.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook, Instagram-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Jette / Gemeente Jette Analyse verfügbar

Verantwortlicher: Commune de Jette (BCE 0207.389.804) — Chaussée de Wemmel 100, 1090 Jette — Website: www.jette.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Jette / Gemeente Jette durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.jette.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Korrekte Referrer-Policy: same-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Minimale Drittintegration (keine Social-Embeds auf der Startseite)Art. 5(1)(c) + Art. 129 WEC✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Koekelberg / Gemeente Koekelberg Analyse verfügbar

Verantwortlicher: Commune de Koekelberg (BCE 0207.387.727) — Place Henri Vanhuffel 6, 1081 Koekelberg — Website: www.koekelberg.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Koekelberg / Gemeente Koekelberg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.koekelberg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Server-Banner Microsoft-IIS/10.0 (Versionsleck)Art. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google reCAPTCHA vorhanden (US-Auftragsverarbeiter, nicht offengelegt)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook, Instagram-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem Analyse verfügbar

Verantwortlicher: Commune de Berchem-Sainte-Agathe (BCE 0207.386.240) — Avenue du Roi Albert 33, 1082 Berchem-Sainte-Agathe — Website: www.1082.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.1082.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Ausführlicher Server-Banner (Apache/2.4.62 (Win64) OpenSSL/3.1.7 PHP/8.3.14 mod_fcgid/2.3.10-dev) — großes VersionsleckArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Cookieyes als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform
Facebook, Instagram-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde Analyse verfügbar

Verantwortlicher: Commune de Watermael-Boitsfort (BCE 0207.393.470) — Place Antoine Gilson 1, 1170 Watermael-Boitsfort — Website: www.watermael-boitsfort.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.watermael-boitsfort.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Evere / Gemeente Evere Analyse verfügbar

Verantwortlicher: Commune d'Evere (BCE 0207.384.064) — Square Hoedemaekers 10, 1140 Evere — Website: www.evere.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Evere / Gemeente Evere durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.evere.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Ganshoren / Gemeente Ganshoren Analyse verfügbar

Verantwortlicher: Commune de Ganshoren (BCE 0207.387.826) — Avenue Charles-Quint 140, 1083 Ganshoren — Website: www.ganshoren.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Ganshoren / Gemeente Ganshoren durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.ganshoren.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Auderghem / Gemeente Oudergem Analyse verfügbar

Verantwortlicher: Commune d'Auderghem (BCE 0207.386.438) — Rue Emile Idiers 12, 1160 Auderghem — Website: www.auderghem.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Auderghem / Gemeente Oudergem durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.auderghem.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe Analyse verfügbar

Verantwortlicher: Commune de Woluwe-Saint-Lambert (BCE 0207.397.034) — Avenue Paul Hymans 2, 1200 Woluwe-Saint-Lambert — Website: www.woluwe1200.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.woluwe1200.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe Analyse verfügbar

Verantwortlicher: Commune de Woluwe-Saint-Pierre (BCE 0207.395.153) — Avenue Charles Thielemans 93, 1150 Woluwe-Saint-Pierre — Website: www.woluwe1150.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.woluwe1150.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Nur partielle CSP (nur frame-ancestors)Art. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google reCAPTCHA vorhanden (US-Auftragsverarbeiter, nicht offengelegt)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
5 Facebook-Embeds auf der öffentlichen StartseiteArt. 129 WEC / LCE / GEK / ECAVerstoß
Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Anderlecht / Gemeente Anderlecht Analyse verfügbar

Verantwortlicher: Commune d'Anderlecht (BCE 0207.393.470) — Place du Conseil 1, 1070 Anderlecht — Website: www.anderlecht.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Anderlecht / Gemeente Anderlecht durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.anderlecht.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook, Instagram-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Schaerbeek / Gemeente Schaarbeek Analyse verfügbar

Verantwortlicher: Commune de Schaerbeek (BCE 0207.377.988) — Place Colignon, 1030 Schaerbeek — Website: www.1030.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Schaerbeek / Gemeente Schaarbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.1030.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek Analyse verfügbar

Verantwortlicher: Commune de Molenbeek-Saint-Jean (BCE 0207.391.193) — Rue du Comte de Flandre 20, 1080 Molenbeek-Saint-Jean — Website: www.molenbeek.irisnet.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.molenbeek.irisnet.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
7 Facebook-Embeds auf der öffentlichen StartseiteArt. 129 WEC / LCE / GEK / ECAVerstoß
Twitter, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Etterbeek Analyse verfügbar

Verantwortlicher: Commune d'Etterbeek (BCE 0207.383.274) — Avenue d'Auderghem 113-117, 1040 Etterbeek — Website: etterbeek.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Etterbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf etterbeek.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Turnhout Analyse verfügbar

Verantwortlicher: Stad Turnhout (KBO 0207.537.434) — Campus Blairon 200, 2300 Turnhout — Website: www.turnhout.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Turnhout durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.turnhout.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
HSTS mit max-age=63072000 (2 Jahre) + includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google reCAPTCHA vorhanden (US-Auftragsverarbeiter, nicht offengelegt)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook, Instagram, LinkedIn, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Beringen Analyse verfügbar

Verantwortlicher: Stad Beringen (KBO 0207.525.461) — Mijnschoolstraat 88, 3580 Beringen — Website: www.beringen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Beringen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.beringen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Nur partielle Content-Security-Policy (nur connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Lommel Analyse verfügbar

Verantwortlicher: Stad Lommel (KBO 0207.519.026) — Hertog Janplein 1, 3920 Lommel — Website: www.lommel.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Lommel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.lommel.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Nur partielle Content-Security-Policy (nur connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Geel Analyse verfügbar

Verantwortlicher: Stad Geel (KBO 0207.524.966) — Werft 20, 2440 Geel — Website: www.geel.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Geel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.geel.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Facebook, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Mouscron Analyse verfügbar

Verantwortlicher: Ville de Mouscron (BCE 0207.356.899) — Grand-Place 1, 7700 Mouscron — Website: www.mouscron.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Mouscron durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.mouscron.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Facebook-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Kortrijk Analyse verfügbar

Verantwortlicher: Stad Kortrijk (KBO 0207.494.678) — Grote Markt 54, 8500 Kortrijk — Website: www.kortrijk.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Kortrijk durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.kortrijk.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram, LinkedIn, WhatsApp, TikTok-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Google Maps (maps.googleapis.com) — US-AuftragsverarbeiterHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Oostende Analyse verfügbar

Verantwortlicher: Stad Oostende (KBO 0207.473.295) — Vindictivelaan 1, 8400 Oostende — Website: www.oostende.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Oostende durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.oostende.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Nur partielle Content-Security-Policy (nur connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Instagram-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Sint-Niklaas Analyse verfügbar

Verantwortlicher: Stad Sint-Niklaas (KBO 0207.486.859) — Grote Markt 1, 9100 Sint-Niklaas — Website: www.sint-niklaas.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Sint-Niklaas durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.sint-niklaas.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Verwendung von Cookiebot als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook, LinkedIn, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Aalst Analyse verfügbar

Verantwortlicher: Stad Aalst (KBO 0207.449.148) — Grote Markt 3, 9300 Aalst — Website: aalst.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Aalst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf aalst.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook, Instagram, YouTube, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Genk Analyse verfügbar

Verantwortlicher: Stad Genk (KBO 0207.522.491) — Stadsplein 1, 3600 Genk — Website: www.genk.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Genk durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.genk.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Nur partielle Content-Security-Policy (nur connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Facebook, Twitter, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Roeselare Analyse verfügbar

Verantwortlicher: Stad Roeselare (KBO 0207.490.219) — Botermarkt 2, 8800 Roeselare — Website: www.roeselare.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Roeselare durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.roeselare.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains und preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Tournai Analyse verfügbar

Verantwortlicher: Ville de Tournai (BCE 0207.352.297) — Rue Saint-Martin 52, 7500 Tournai — Website: www.tournai.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Tournai durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.tournai.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
calameo.com-Dokumenteinbettung — externer TrackerArt. 129 WEC / LCE / GEK / ECAVerstoß
Facebook, Instagram, YouTube, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de La Louvière Analyse verfügbar

Verantwortlicher: Ville de La Louvière (BCE 0207.382.086) — Place Communale 1, 7100 La Louvière — Website: www.lalouviere.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de La Louvière durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.lalouviere.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Seraing Analyse verfügbar

Verantwortlicher: Ville de Seraing (BCE 0207.335.221) — Place Communale 8, 4100 Seraing — Website: www.seraing.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Seraing durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.seraing.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
tarteaucitron als CMP — positiv, europäische AlternativeArt. 129 WEC / LCE / GEK / ECA✓ Konform
Facebook, Instagram, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Verviers Analyse verfügbar

Verantwortlicher: Ville de Verviers (BCE 0207.356.048) — Place du Marché 55, 4800 Verviers — Website: www.verviers.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Verviers durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.verviers.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Facebook, YouTube, LinkedIn-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Liège Analyse verfügbar

Verantwortlicher: Ville de Liège (BCE 0207.343.238) — Place du Marché 2, 4000 Liège — Website: www.liege.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Liège durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.liege.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Verwendung der youtube-nocookie.com-Variante — positive WahlArt. 129 WEC / LCE / GEK / ECA✓ Konform
Facebook- und Instagram-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Namur Analyse verfügbar

Verantwortlicher: Ville de Namur (BCE 0207.341.854) — Hôtel de Ville, 5000 Namur — Website: www.namur.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Namur durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.namur.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Google Fonts (fonts.googleapis.com) — Übermittlung an Google USHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Facebook-, Twitter- und YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Mons Analyse verfügbar

Verantwortlicher: Ville de Mons (BCE 0207.272.119) — Grand-Place 22, 7000 Mons — Website: www.mons.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Mons durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.mons.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Facebook- und YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Charleroi Analyse verfügbar

Verantwortlicher: Ville de Charleroi (BCE 0207.362.105) — Place Charles II 14-15, 6000 Charleroi — Website: www.charleroi.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Charleroi durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.charleroi.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Server-Versionsleck in Server: Apache/2.4.66 (Debian)Art. 32 AVG / RGPD / DSGVO / GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Antwerpen Analyse verfügbar

Verantwortlicher: Stad Antwerpen (KBO 0207.500.123) — Dienst Mobiliteit & Parkeren — Grote Markt 1, 2000 Antwerpen — Website: www.antwerpen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Antwerpen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.antwerpen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Die Content-Security-Policy enthält eine ungültige Direktive (undefined)Art. 32 AVG / GDPR / DSGVOVerstoß
HSTS mit max-age=15552000 (180 Tage) ohne preloadArt. 32 AVG / GDPR / DSGVOInformativ
Google Tag Manager lädt Google Analytics zur LaufzeitArt. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook- und Twitter-Embeds auf jeder Seite geladenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Gent Analyse verfügbar

Verantwortlicher: Stad Gent (KBO 0207.451.227) — Botermarkt 1, 9000 Gent — Website: stad.gent.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Gent durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf stad.gent durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Starke Sicherheits-Header: HSTS 2 Jahre mit preload, CSP default-src 'self'Art. 32 AVG / GDPR / DSGVO✓ Konform
Verwendung von Cookiebot als CMP — positiv, im Einklang mit DSB-LeitlinienArt. 129 WEC / LCE / GEK / ECA✓ Konform
Social-Embeds (Facebook, Instagram, YouTube, TikTok, LinkedIn, Threads) vorhanden — die Einwilligungssperre muss im Einzelfall geprüft werdenArt. 129 WEC / LCE / GEK / ECAInformativ
Google Tag Manager vorhanden (lädt weitere Tracker erst nach Einwilligung über Cookiebot)Hfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Brugge Analyse verfügbar

Verantwortlicher: Stad Brugge (KBO 0207.528.035) — Burg 12, 8000 Brugge — Website: www.brugge.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Brugge durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.brugge.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Content-Security-Policy-HeaderArt. 32 AVG / GDPR / DSGVOVerstoß
Verwendet Matomo statt Google Analytics — datenschutzfreundlicherArt. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
HSTS mit max-age=31557600 (1 Jahr) ohne includeSubDomains oder preloadArt. 32 AVG / GDPR / DSGVOInformativ
Facebook-, Instagram-, LinkedIn- und YouTube-Embeds werden geladenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Leuven Analyse verfügbar

Verantwortlicher: Stad Leuven (KBO 0207.475.077) — Professor Van Overstraetenplein 1, 3000 Leuven — Website: www.leuven.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Leuven durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.leuven.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / GDPR / DSGVOVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / GDPR / DSGVOVerstoß
Google Tag Manager lädt Google Analytics zur Laufzeit (Übermittlung an Google US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook-, Instagram- und LinkedIn-Embeds werden geladenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Hasselt Analyse verfügbar

Verantwortlicher: Stad Hasselt (KBO 0207.476.069) — Groenplein 1, 3500 Hasselt — Website: www.hasselt.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Hasselt durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 17. April 2026 auf www.hasselt.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Nur eine partielle Content-Security-Policy (nur frame-ancestors)Art. 32 AVG / GDPR / DSGVOVerstoß
Kein Strict-Transport-Security-HeaderArt. 32 AVG / GDPR / DSGVOVerstoß
Google Fonts (fonts.gstatic.com, fonts.googleapis.com) — Übermittlung in die USA ohne OffenlegungHfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRVerstoß
Drupal-Plattform — form_build_id-CSRF-Schutz standardmäßig vorhandenArt. 32 AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 17. April 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

GAS Rivierenland Analysis available

Website: gasrivierenland.be — Seat: Grote Markt 21, 2800 Mechelen.

Member municipalities (15): Berlaar, Bonheiden, Boortmeerbeek, Bornem, Duffel, Heist-op-den-Berg, Herent, Kortenberg, Lier, Mechelen, Nijlen, Putte, Puurs-Sint-Amands, Sint-Katelijne-Waver, Willebroek.

1. Identified GDPR and ePrivacy violations

A technical audit of gasrivierenland.be and its linked privacy and cookie pages reveals multiple shortcomings against the GDPR, the Belgian Law of 30 July 2018, and the Electronic Communications Act (art. 129 ECA).

FindingLegal basisRisk
No cookie banner on first visitArt. 129 ECA — prior consent requiredePrivacy breach
YouTube tracking cookies (YSC, PREF 10 years, VISITOR_INFO1_LIVE 240 days) without consentArt. 129 ECA + Art. 6 GDPRPersistent third-party tracking
“Refuse via browser settings” as consent mechanismBelgian DPA guidelines 2023 — not validInvalid consent model
Privacy policy last updated 30/12/2019Art. 5(2) GDPR — accountabilityOutdated documentation
No published DPO contactArt. 37 & 38 GDPR — mandatory for public authoritiesFormal non-compliance
Broken internal privacy link (/jouw-privacy → HTTP 410)Art. 12 GDPR — transparencyDuty to inform violated
Form collects national registry number without notice at point of collectionArt. 13 GDPR + Law 8 Aug 1983High-risk processing
No mention of right to complain to the DPAArt. 13(2)(d) GDPRData subject not informed
No retention periods statedArt. 13(2)(a) GDPRIndefinite storage possible
No information on international transfers (YouTube → Google US)Art. 13(1)(f) + Ch. V GDPRIncomplete transparency
No specific provision for minorsArt. 8 GDPRSpecific protection missing

2. GDPR articles violated (summary)

Article 5(1)(a) — Transparency

The 2019 privacy policy does not cover current processing activities.

Article 13 — Duty to inform

At the point of collection (forms for “other driver”, contestation, etc.) no dedicated privacy notice is shown.

Articles 37 & 38 — DPO

As a public authority, GAS Rivierenland is required to appoint a DPO and publish their contact details.

Article 129 ECA / ePrivacy — Cookies

Non-essential cookies are placed without prior, informed, granular consent. No reject button, no category split.

3. Online forms — security

Findings from a technical audit of the contestation form /snelheidsboete/andere-bestuurder and the landing page (April 2026).

FindingDetailRisk
No CSRF token on the POST contestation formPresent hidden inputs (pageNumber, __formName, MAX_FILE_SIZE, g-recaptcha-response, ...) do not include any anti-CSRF tokenCross-Site Request Forgery possible
Google reCAPTCHA on the formField g-recaptcha-response + loading of www.google.com/recaptcha; transfer to Google USNot disclosed in the privacy statement — art. 13 + Ch. V GDPR
Multiple US CDNs on the form pagefonts.googleapis.com, fonts.gstatic.com, cdnjs.cloudflare.com, maxcdn.bootstrapcdn.com, cdn.tiny.cloudInternational transfer (US) undisclosed
No Content-Security-Policy response headerThe server sends no CSPNo defence in depth against XSS / injection
National registry number as <input type="text">Without autocomplete="off" on this sensitive fieldBrowser caching; art. 32 GDPR
HSTS present (1 year, includeSubDomains)Positive; no preload, but a solid baseOK

4. Recommended defence arguments

  • Invoke Article 82 GDPR (right to compensation) when unlawfully processed data is used.
  • Argue that the controller itself fails to meet its duty to inform, which affects the lawfulness of the processing.
  • Complaint possible with the Data Protection Authority (www.dataprotectionauthority.be).
Note: Analysis based on a public audit of gasrivierenland.be (April 2026). You can verify the findings yourself via your browser's DevTools.

Download this analysis as a PDF attachment for your contestation:

Haviland (Halle-Vilvoorde) Analysis available

Website: haviland.be — Data controller: Haviland Regiopartners, Poverstraat 75 bus 47, 1731 Asse — Information security contact: informatieveiligheid@haviland.be.

Member municipalities (23): Affligem, Asse, Beersel, Dilbeek, Grimbergen, Kampenhout, Kapelle-op-den-Bos, Lennik, Liedekerke, Londerzeel, Machelen, Meise, Merchtem, Opwijk, Pepingen, Roosdaal, Sint-Pieters-Leeuw, Steenokkerzeel, Ternat, Vilvoorde, Wemmel, Zaventem, Zemst. Not every municipality participates in every GAS category (GAS 1-2-3, blue zone, GAS 4, GAS 5).

1. Identified GDPR and ePrivacy violations

A technical audit of haviland.be on 17 April 2026 reveals the following shortcomings against the GDPR, the Belgian Law of 30 July 2018, and art. 129 of the Electronic Communications Act.

FindingLegal basisRisk
Triple analytics stack: Google Analytics (_ga, _gat, _gid), Hotjar (_hjid) and Matomo (_pk_id, _pk_ses, ...) all active at onceArt. 5(1)(c) GDPR — proportionality & data minimisationExcessive processing
Direct contradiction: the privacy statement declares “no data outside the EU”, while Google Analytics and Hotjar transfer to the United StatesArt. 5(1)(a) GDPR — transparency & accuracy; Ch. V GDPRFalse declaration / transparency breach
AddThis cookies (__atuvc, __atuvs) still listed — AddThis was shut down by Oracle in May 2023Art. 5(2) GDPR — accountabilityOutdated documentation
Universal Analytics cookies (__utma, __utmb, __utmc, __utmz) listed, while UA was phased out by Google on 1 July 2023Art. 5(2) GDPRUnmaintained documentation
No retention periods for any cookieArt. 13(2)(a) GDPRPotentially unlimited storage
No DPO name or e-mail published (only a generic informatieveiligheid@ address)Art. 37 & 38 GDPRFormal non-compliance (public authority)
No certified CMP; no IAB TCF integrationBelgian DPA guidelines on cookies 2023No auditable consent records
Reference to “browser settings” to withdraw consentBelgian DPA opinion 2023 — not validInvalid withdrawal
No international transfer disclosure despite GA/Hotjar/YouTube usage (Google US transfer)Art. 13(1)(f) + Ch. V GDPRIncomplete transparency
No named processors (only categories “hosting/logistics/security”)Art. 13(1)(e) GDPRMissing recipient information

2. Key violations (summary)

Article 5(1)(a) — Transparency and accuracy

The privacy statement contains a factually incorrect claim: “Haviland Regiopartners does not share personal data with parties outside the EU”. This is incompatible with the use of Google Analytics, Hotjar and YouTube embeds, all of which transfer data to US processors.

Article 5(1)(c) — Data minimisation

Running three analytics systems in parallel (GA + Hotjar + Matomo) exceeds what is necessary by definition.

Article 129 ECA / ePrivacy — Cookies

Non-essential cookies are linked to a “pop-up”, but without granular category buttons, without a reject button on equal footing with accept, and without documented pre-tick status.

Articles 37 & 38 — DPO

Haviland is an inter-municipal body (public authority) and must appoint a DPO and publish their contact details. A generic informatieveiligheid@haviland.be address does not satisfy Article 37(7) GDPR.

3. Online forms — security

Findings from a technical audit of haviland.be/nl and haviland.be/nl/contact (April 2026). Note: the contact form is likely client-rendered (Paddle CMS); only the page wrapper is statically inspectable.

FindingDetailRisk
Social & tracking embeds load on every page (including the contact page)Before any consent, the site loads www.facebook.com, www.linkedin.com, www.youtube.com, www.googletagmanager.com and cdn.jsdelivr.netArt. 129 ECA + Ch. V GDPR (US transfer)
Google Tag Manager on every pageGTM loads Google Analytics at runtime — this explains the GA cookies listed, but simultaneously contradicts the “no data outside the EU” claimArt. 5(1)(a) GDPR — transparency & accuracy
No Content-Security-Policy response headerThe server sends no CSPNo defence in depth
Custom “cookieConsent” implementation (Drupal contrib / custom)No IAB TCF integration; no granular categories visible in the markupBelgian DPA 2023 guidelines not met
Drupal Form-API anti-CSRF (form_build_id + form_id)Present on the search forms; standard Drupal protectionPositive
HSTS present (2 years, includeSubDomains)Strong HSTS configurationPositive

4. Recommended defence arguments

  • Point to the demonstrable contradiction between the privacy policy and the cookie statement — this affects the lawfulness of the processing (Art. 6 GDPR).
  • Invoke Article 82 GDPR (right to compensation) for unlawful use of tracking without valid consent.
  • Complaint possible with the Data Protection Authority and the Flemish Supervisory Commission (both cited in the policy itself).
Note: Audit performed on 17 April 2026 against the publicly available pages /nl/privacy, /nl/home/cookieverklaring and /nl/home/gas-overtredingen. The privacy policy was last updated 5 January 2026, yet the cookie list still contains trackers retired since 2023. You can verify the findings yourself via your browser's DevTools.

Download this analysis as a PDF attachment for your contestation:

City of Brussels / Stad Brussel / Ville de Bruxelles Analysis available

Website: brussel.be — Contestation portal: brucity.cityenforcement.com — Data controller: City of Brussels (KBO 0207.373.429), Hallenstraat 4, 1000 Brussels — DPO: dpo@brucity.be.

Member municipality: City of Brussels. Contestation deadline: 10 calendar days from receipt of the payment invitation. A contestation does not suspend the payment obligation; non-payment adds €15 in administrative costs.

1. Identified GDPR and ePrivacy violations

Audit on 17 April 2026 of the pages brussel.be/parkeren-bezwaar-tegen-retributie, brussel.be/wettelijke-vermeldingen and the portal brucity.cityenforcement.com.

FindingLegal basisRisk
“Anonymous” claim on the form while plate + report reference are collectedArt. 4(1), 12 & 13 GDPR — DPA decision 56/2026Misleading the data subject
Privacy statement from 2020, no parking-enforcement specificsArt. 5(2), 12 & 13 GDPROutdated transparency
Page /cookiebeleid returns HTTP 404Art. 129 ECADuty to inform breached
Social embeds (Facebook, Instagram, YouTube, TikTok, Twitter/X, Bluesky, Calaméo) on the public pageArt. 129 ECATracking before consent
No Strict-Transport-Security, Content-Security-Policy, Referrer-Policy or Permissions-Policy on brussel.beArt. 32 GDPRNo defence in depth
Portal loads Microsoft Azure Application Insightsdc.services.visualstudio.com — transfer to a US processorCh. V GDPR, undisclosed
External processor cityenforcement; agreement not publicArt. 28(3) GDPR — DPA 29 Sept. 2023Retroactive contracts are invalid
No DPIA published for ANPR / scan vehiclesArt. 35 GDPR — DPA 129/2023, 56/2026High-risk processing without assessment
The portal does have strong security headers (CSP, HSTS preload, Referrer-Policy, Permissions-Policy)Art. 32 GDPRPositive

2. GDPR articles violated (summary)

Articles 12 & 13 GDPR — transparency and duty to inform

Labelling the form “anonymous” while collecting plate and report reference misleads the data subject. A licence plate is personal data (art. 4(1) GDPR).

Article 6 GDPR — legal basis

General municipal traffic competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for transferring plate data or deploying ANPR without a specific legal basis and a DPIA.

Article 28(3) GDPR — processor agreements

The DPA (29 Sept. 2023) held retroactive processor agreements invalid. The cityenforcement contract must exist prior to processing and be public.

Article 32 GDPR / art. 129 ECA — security and cookies

The absence of HSTS/CSP/Referrer-Policy/Permissions-Policy on brussel.be, combined with a 404 cookie page and social trackers loading before consent, constitutes a structural breach.

3. Online forms — security

FindingDetailRisk
The portal uses HSTS + preloadmax-age=31536000; includeSubDomains; preloadPositive
The portal has a strict CSP (default-src 'none') with form-action limited to self + Worldline paymentGood defence in depth; payment via payment-webinit.sips-services.comPositive
The portal is a SPAForm rendered client-side; audit requires runtime DevToolsInformational
Microsoft Azure telemetry on the portaldc.services.visualstudio.com — transfer to MicrosoftCh. V GDPR
brussel.be without HSTS/CSP/Referrer-Policy/Permissions-PolicySession cookie cookiesession1 with no documented Secure or SameSite attributesArt. 32 GDPR

4. Recommended defence arguments

  • Point to the factual contradiction between the anonymity claim and the collection of plate + report reference.
  • Invoke DPA decisions 56/2026 and 129/2023.
  • Demand production of the DPIA for ANPR/scan vehicles and a valid processor agreement with cityenforcement.
  • Complaint possible with the Belgian Data Protection Authority (Drukpersstraat 35, 1000 Brussels).
Note: Audit on 17 April 2026. The contested measure is a parking retribution (not a GAS fine or a criminal fine). Retributions fall entirely under the GDPR and cannot invoke the exceptions of Directive 2016/680 (law-enforcement).

Download this analysis as a PDF attachment for your contestation:

Province de Hainaut / Provincie Henegouwen Analysis available

Data controller: Province de Hainaut — Bureau provincial des Amendes Administratives — Avenue Général de Gaulle 102, 7000 Mons — Website: www.hainaut.be.

This annex is intended to supplement the contestation of a sanction or retribution by Province de Hainaut / Provincie Henegouwen with a technical exposition. The findings were recorded on 17 April 2026 on www.hainaut.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS max-age=15552000 (~180 days) without includeSubDomains or preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformational
CSP only frame-ancestors 'self' — no full content policyArt. 32 AVG / RGPD / DSGVO / GDPRInformational
No Permissions-Policy header (sensors/geolocation unrestricted)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, LinkedIn, TikTok, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach
tarteaucitron.io (certified CMP) — reject-all on equal footingArt. 129 WEC / LCE / GEK / ECA✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Province de Liège / Provincie Luik Analysis available

Data controller: Province de Liège — Fonctionnaires sanctionnateurs provinciaux — Rue Ernest Solvay 11, 4000 Liège — Website: www.provincedeliege.be.

This annex is intended to supplement the contestation of a sanction or retribution by Province de Liège / Provincie Luik with a technical exposition. The findings were recorded on 17 April 2026 on www.provincedeliege.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Permissions-Policy header (sensors/geolocation unrestricted)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
Drupal 7 — end-of-life since January 2025, unsupportedArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook Pixel (facebook.net/fbevents.js + /tr?id=...) — direct US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Outdated Google Analytics ga.js library — deprecated by Google since 2023Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, YouTube, Bluesky embeds presentArt. 129 WEC / LCE / GEK / ECABreach
tarteaucitron.io (certified CMP) — reject-all on equal footingArt. 129 WEC / LCE / GEK / ECA✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Province de Namur / Provincie Namen Analysis available

Data controller: Province de Namur — Bureau des amendes administratives — Rue Henri Blès 190C, 5000 Namur — Website: www.province.namur.be.

This annex is intended to supplement the contestation of a sanction or retribution by Province de Namur / Provincie Namen with a technical exposition. The findings were recorded on 17 April 2026 on www.province.namur.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS max-age=15552000 (~180 days) without includeSubDomains or preloadArt. 32 AVG / RGPD / DSGVO / GDPRInformational
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Permissions-Policy header (sensors/geolocation unrestricted)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
No X-Frame-Options header (clickjacking risk)Art. 32 AVG / RGPD / DSGVO / GDPRBreach
No X-Content-Type-Options: nosniff headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Fonts (fonts.googleapis.com) — undisclosed US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
jQuery loaded via ajax.googleapis.com (Google CDN) — US transfer without local proxyHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, LinkedIn, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach
Custom cookie banner (not IAB-certified) — reject-all present but non-standard wordingArt. 129 WEC / LCE / GEK / ECAInformational

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Province de Luxembourg / Provincie Luxemburg Analysis available

Data controller: Province de Luxembourg — Service des amendes administratives — Place Léopold 1, 6700 Arlon — Website: www.province.luxembourg.be.

This annex is intended to supplement the contestation of a sanction or retribution by Province de Luxembourg / Provincie Luxemburg with a technical exposition. The findings were recorded on 17 April 2026 on www.province.luxembourg.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS max-age=63072000 (2 years) + includeSubDomains + preload — excellentArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Permissions-Policy header (sensors/geolocation unrestricted)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Hotjar session-replay tracker — behavioural analytics, keyboard + mouse recordingArt. 129 WEC / LCE / GEK / ECA + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, LinkedIn, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach
tarteaucitron.io (certified CMP) — reject-all on equal footingArt. 129 WEC / LCE / GEK / ECA✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Province du Brabant wallon / Provincie Waals-Brabant Analysis available

Data controller: Province du Brabant wallon — Fonctionnaire sanctionnateur — Place du Brabant wallon 1, 1300 Wavre — Website: www.brabantwallon.be.

This annex is intended to supplement the contestation of a sanction or retribution by Province du Brabant wallon / Provincie Waals-Brabant with a technical exposition. The findings were recorded on 17 April 2026 on www.brabantwallon.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Permissions-Policy header (sensors/geolocation unrestricted)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
No X-Content-Type-Options: nosniff headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No external trackers on the home page — positiveArt. 129 WEC / LCE / GEK / ECA✓ Compliant
Facebook, Instagram, Twitter/X, LinkedIn, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Mechelen Analysis available

Data controller: Stad Mechelen — Grote Markt 21, 2800 Mechelen — Website: www.mechelen.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Mechelen with a technical exposition. The findings were recorded on 17 April 2026 on www.mechelen.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Permissions-Policy header (sensors/geolocation not restricted)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
No X-Frame-Options header (clickjacking risk)Art. 32 AVG / RGPD / DSGVO / GDPRBreach
Matomo Cloud analytics — consent-gated, disableCookies + setDoNotTrackArt. 5(1)(c) + Art. 129 WEC / LCE / GEK / ECA✓ Compliant
Cookiesjsr CMP (Drupal module) — reject-all on equal footingArt. 129 WEC / LCE / GEK / ECA✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville d'Arlon Analysis available

Data controller: Ville d'Arlon — Rue Paul Reuter 8, 6700 Arlon — Website: www.arlon.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville d'Arlon with a technical exposition. The findings were recorded on 17 April 2026 on www.arlon.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS max-age=31536000; includeSubDomains (1 year, no preload)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Permissions-Policy header (sensors/geolocation not restricted)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
iA.Smartweb @@accept_or_refuse_all — three buttons on equal footingArt. 129 WEC / LCE / GEK / ECA✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node Analysis available

Data controller: Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node — Avenue de l'Astronomie 13, 1210 Saint-Josse-ten-Noode — Website: www.sjtn.brussels.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node with a technical exposition. The findings were recorded on 17 April 2026 on www.sjtn.brussels and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Drupal 7 (end-of-life since 5 January 2025) — unsupportedArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Weak Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Analytics (GA4) + analytics.js load before consentArt. 129 WEC / LCE / GEK / ECA + Art. 6 AVGBreach
Mapbox accessToken hard-coded in the page (US transfer)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
jQuery 2.2.4 via code.jquery.com CDN (outdated library, external CDN)Art. 32 AVG / RGPD / DSGVO / GDPRBreach
eu_cookie_compliance banner present but decorative (trackers load anyway)Art. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Provincie Vlaams-Brabant / Province du Brabant flamand Analysis available

Data controller: Provincie Vlaams-Brabant — Provincieplein 1, 3010 Leuven — Website: www.vlaamsbrabant.be.

This annex is intended to supplement the contestation of a sanction or retribution by Provincie Vlaams-Brabant / Province du Brabant flamand with a technical exposition. The findings were recorded on 17 April 2026 on www.vlaamsbrabant.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS present but max-age < 1 year — below the recommended durationArt. 32 AVG / RGPD / DSGVO / GDPRInformational
CSP present but too permissive ('unsafe-inline' 'unsafe-eval' https:)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Matomo Cloud analytics (EU-hosted) — acceptable, no US transferArt. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach
Drupal EU Cookie Compliance — custom CMP, reject-all button presentArt. 129 WEC / LCE / GEK / ECA✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Provincie Oost-Vlaanderen / Province de Flandre-Orientale Analysis available

Data controller: Provincie Oost-Vlaanderen — Gouvernementstraat 1, 9000 Gent — Website: oost-vlaanderen.be.

This annex is intended to supplement the contestation of a sanction or retribution by Provincie Oost-Vlaanderen / Province de Flandre-Orientale with a technical exposition. The findings were recorded on 17 April 2026 on oost-vlaanderen.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Matomo Cloud analytics (EU-hosted) — acceptable, no US transferArt. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Twitter, Instagram, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach
Custom cookie banner without “Reject all” button on equal footingArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Provincie Limburg / Province de Limbourg Analysis available

Data controller: Provincie Limburg — Universiteitslaan 1, 3500 Hasselt — Website: www.limburg.be.

This annex is intended to supplement the contestation of a sanction or retribution by Provincie Limburg / Province de Limbourg with a technical exposition. The findings were recorded on 17 April 2026 on www.limburg.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
CSP only as report-uri (report-only) — no effective mitigationArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Weak Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Piwik PRO analytics on custom container URL — EU hosting usually, but verify DPAArt. 5(1)(c) + Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRInformational
Facebook, Instagram, LinkedIn, X embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Ieper Analysis available

Data controller: Stad Ieper (KBO 0207.518.630) — Grote Markt 34, 8900 Ieper — Website: www.ieper.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Ieper with a technical exposition. The findings were recorded on 17 April 2026 on www.ieper.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Only partial Content-Security-Policy (only connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Eeklo Analysis available

Data controller: Stad Eeklo (KBO 0207.461.616) — Industrielaan 2, 9900 Eeklo — Website: www.eeklo.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Eeklo with a technical exposition. The findings were recorded on 17 April 2026 on www.eeklo.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Only partial Content-Security-Policy (only connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Halle Analysis available

Data controller: Stad Halle (KBO 0207.528.640) — Oudstrijdersplein 18, 1500 Halle — Website: www.halle.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Halle with a technical exposition. The findings were recorded on 17 April 2026 on www.halle.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Strict Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
HSTS 2 years + includeSubDomains + preload — strong configurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Tienen Analysis available

Data controller: Stad Tienen (KBO 0207.537.929) — Grote Markt 27, 3300 Tienen — Website: www.tienen.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Tienen with a technical exposition. The findings were recorded on 17 April 2026 on www.tienen.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS 2 years + includeSubDomains + preload — strong configurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Google Fonts (fonts.googleapis.com) — undisclosed US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Dinant Analysis available

Data controller: Ville de Dinant (BCE 0207.360.125) — Rue Grande 112, 5500 Dinant — Website: www.dinant.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Dinant with a technical exposition. The findings were recorded on 17 April 2026 on www.dinant.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS 2 years + includeSubDomains + preload — strong configurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Wavre Analysis available

Data controller: Ville de Wavre (BCE 0207.381.392) — Place de l'Hôtel de Ville, 1300 Wavre — Website: www.wavre.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Wavre with a technical exposition. The findings were recorded on 17 April 2026 on www.wavre.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
calameo.com document embed — external trackerArt. 129 WEC / LCE / GEK / ECABreach
Facebook, Instagram, LinkedIn, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Huy Analysis available

Data controller: Ville de Huy (BCE 0207.348.088) — Grand-Place 1, 4500 Huy — Website: www.huy.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Huy with a technical exposition. The findings were recorded on 17 April 2026 on www.huy.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville d'Ath Analysis available

Data controller: Ville d'Ath (BCE 0207.362.500) — Rue de Pintamont 54, 7800 Ath — Website: www.ath.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville d'Ath with a technical exposition. The findings were recorded on 17 April 2026 on www.ath.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook, Instagram, Vimeo, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Waterloo Analysis available

Data controller: Commune de Waterloo (BCE 0216.694.712) — Rue François Libert 28, 1410 Waterloo — Website: www.waterloo.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Waterloo with a technical exposition. The findings were recorded on 17 April 2026 on www.waterloo.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Fonts (fonts.googleapis.com) — undisclosed US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, Twitter, Vimeo embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Deinze Analysis available

Data controller: Stad Deinze (KBO 0207.489.352) — Brielstraat 2, 9800 Deinze — Website: www.deinze.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Deinze with a technical exposition. The findings were recorded on 17 April 2026 on www.deinze.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Strict Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune d'Ixelles / Gemeente Elsene Analysis available

Data controller: Commune d'Ixelles (BCE 0207.387.826) — Chaussée d'Ixelles 168, 1050 Ixelles — Website: www.ixelles.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune d'Ixelles / Gemeente Elsene with a technical exposition. The findings were recorded on www.ixelles.be (home page) and elsene.be/site/23-Algemeen-politiereglement (police regulation, 19 April 2026) and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach
Explicit legal basis cited on elsene.be/site/23 (Law of 24 June 2013, art. 19/1 and 27)Art. 6 + 5(2) GDPR✓ Compliant
Retention period published: max 5 years; 6 months if no fine is imposedArt. 13(2)(a) GDPR✓ Compliant
DPO contact published: dpo@elsene.brusselsArt. 37(7) GDPR✓ Compliant
Police-regulation page (elsene.be/site/23) free of external trackersArt. 129 ECA✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune d'Uccle / Gemeente Ukkel Analysis available

Data controller: Commune d'Uccle (BCE 0207.393.074) — Place Jean Vander Elst 29, 1180 Uccle — Website: www.uccle.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune d'Uccle / Gemeente Ukkel with a technical exposition. The findings were recorded on 17 April 2026 on www.uccle.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook, Instagram, LinkedIn, Twitter embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Forest / Gemeente Vorst Analysis available

Data controller: Commune de Forest (BCE 0207.387.529) — Rue du Curé 2, 1190 Forest — Website: www.forest.brussels.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Forest / Gemeente Vorst with a technical exposition. The findings were recorded on 17 April 2026 on www.forest.brussels and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook, Instagram embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Jette / Gemeente Jette Analysis available

Data controller: Commune de Jette (BCE 0207.389.804) — Chaussée de Wemmel 100, 1090 Jette — Website: www.jette.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Jette / Gemeente Jette with a technical exposition. The findings were recorded on 17 April 2026 on www.jette.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Correct Referrer-Policy: same-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Minimal third-party integration (no social embeds on the home page)Art. 5(1)(c) + Art. 129 WEC✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Koekelberg / Gemeente Koekelberg Analysis available

Data controller: Commune de Koekelberg (BCE 0207.387.727) — Place Henri Vanhuffel 6, 1081 Koekelberg — Website: www.koekelberg.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Koekelberg / Gemeente Koekelberg with a technical exposition. The findings were recorded on 17 April 2026 on www.koekelberg.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Server banner Microsoft-IIS/10.0 (version leak)Art. 32 AVG / RGPD / DSGVO / GDPRBreach
Google reCAPTCHA present (US processor, undisclosed)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Google Fonts (fonts.googleapis.com) — undisclosed US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, Instagram embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem Analysis available

Data controller: Commune de Berchem-Sainte-Agathe (BCE 0207.386.240) — Avenue du Roi Albert 33, 1082 Berchem-Sainte-Agathe — Website: www.1082.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem with a technical exposition. The findings were recorded on 17 April 2026 on www.1082.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Verbose server banner (Apache/2.4.62 (Win64) OpenSSL/3.1.7 PHP/8.3.14 mod_fcgid/2.3.10-dev) — major version leakArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Cookieyes as CMP — positiveArt. 129 WEC / LCE / GEK / ECA✓ Compliant
Facebook, Instagram embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde Analysis available

Data controller: Commune de Watermael-Boitsfort (BCE 0207.393.470) — Place Antoine Gilson 1, 1170 Watermael-Boitsfort — Website: www.watermael-boitsfort.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde with a technical exposition. The findings were recorded on 17 April 2026 on www.watermael-boitsfort.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Referrer-Policy headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune d'Evere / Gemeente Evere Analysis available

Data controller: Commune d'Evere (BCE 0207.384.064) — Square Hoedemaekers 10, 1140 Evere — Website: www.evere.brussels.

This annex is intended to supplement the contestation of a sanction or retribution by Commune d'Evere / Gemeente Evere with a technical exposition. The findings were recorded on 17 April 2026 on www.evere.brussels and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Google Fonts (fonts.googleapis.com) — undisclosed US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Ganshoren / Gemeente Ganshoren Analysis available

Data controller: Commune de Ganshoren (BCE 0207.387.826) — Avenue Charles-Quint 140, 1083 Ganshoren — Website: www.ganshoren.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Ganshoren / Gemeente Ganshoren with a technical exposition. The findings were recorded on 17 April 2026 on www.ganshoren.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune d'Auderghem / Gemeente Oudergem Analysis available

Data controller: Commune d'Auderghem (BCE 0207.386.438) — Rue Emile Idiers 12, 1160 Auderghem — Website: www.auderghem.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune d'Auderghem / Gemeente Oudergem with a technical exposition. The findings were recorded on 17 April 2026 on www.auderghem.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe Analysis available

Data controller: Commune de Woluwe-Saint-Lambert (BCE 0207.397.034) — Avenue Paul Hymans 2, 1200 Woluwe-Saint-Lambert — Website: www.woluwe1200.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe with a technical exposition. The findings were recorded on 17 April 2026 on www.woluwe1200.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe Analysis available

Data controller: Commune de Woluwe-Saint-Pierre (BCE 0207.395.153) — Avenue Charles Thielemans 93, 1150 Woluwe-Saint-Pierre — Website: www.woluwe1150.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe with a technical exposition. The findings were recorded on 17 April 2026 on www.woluwe1150.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Only partial CSP (only frame-ancestors)Art. 32 AVG / RGPD / DSGVO / GDPRBreach
Google reCAPTCHA present (US processor, undisclosed)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
5 Facebook embeds on the public home pageArt. 129 WEC / LCE / GEK / ECABreach
Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune d'Anderlecht / Gemeente Anderlecht Analysis available

Data controller: Commune d'Anderlecht (BCE 0207.393.470) — Place du Conseil 1, 1070 Anderlecht — Website: www.anderlecht.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune d'Anderlecht / Gemeente Anderlecht with a technical exposition. The findings were recorded on 17 April 2026 on www.anderlecht.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook, Instagram embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Schaerbeek / Gemeente Schaarbeek Analysis available

Data controller: Commune de Schaerbeek (BCE 0207.377.988) — Place Colignon, 1030 Schaerbeek — Website: www.1030.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Schaerbeek / Gemeente Schaarbeek with a technical exposition. The findings were recorded on 17 April 2026 on www.1030.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Strict Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek Analysis available

Data controller: Commune de Molenbeek-Saint-Jean (BCE 0207.391.193) — Rue du Comte de Flandre 20, 1080 Molenbeek-Saint-Jean — Website: www.molenbeek.irisnet.be.

This annex is intended to supplement the contestation of a sanction or retribution by Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek with a technical exposition. The findings were recorded on 17 April 2026 on www.molenbeek.irisnet.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
7 Facebook embeds on the public home pageArt. 129 WEC / LCE / GEK / ECABreach
Twitter, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Commune d'Etterbeek Analysis available

Data controller: Commune d'Etterbeek (BCE 0207.383.274) — Avenue d'Auderghem 113-117, 1040 Etterbeek — Website: etterbeek.brussels.

This annex is intended to supplement the contestation of a sanction or retribution by Commune d'Etterbeek with a technical exposition. The findings were recorded on 17 April 2026 on etterbeek.brussels and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Turnhout Analysis available

Data controller: Stad Turnhout (KBO 0207.537.434) — Campus Blairon 200, 2300 Turnhout — Website: www.turnhout.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Turnhout with a technical exposition. The findings were recorded on 17 April 2026 on www.turnhout.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Strict Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
HSTS with max-age=63072000 (2 years) + includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Google reCAPTCHA present (US processor, undisclosed)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, Instagram, LinkedIn, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Beringen Analysis available

Data controller: Stad Beringen (KBO 0207.525.461) — Mijnschoolstraat 88, 3580 Beringen — Website: www.beringen.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Beringen with a technical exposition. The findings were recorded on 17 April 2026 on www.beringen.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Only partial Content-Security-Policy (only connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Lommel Analysis available

Data controller: Stad Lommel (KBO 0207.519.026) — Hertog Janplein 1, 3920 Lommel — Website: www.lommel.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Lommel with a technical exposition. The findings were recorded on 17 April 2026 on www.lommel.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Only partial Content-Security-Policy (only connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Geel Analysis available

Data controller: Stad Geel (KBO 0207.524.966) — Werft 20, 2440 Geel — Website: www.geel.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Geel with a technical exposition. The findings were recorded on 17 April 2026 on www.geel.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Strict Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Facebook, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Mouscron Analysis available

Data controller: Ville de Mouscron (BCE 0207.356.899) — Grand-Place 1, 7700 Mouscron — Website: www.mouscron.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Mouscron with a technical exposition. The findings were recorded on 17 April 2026 on www.mouscron.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Facebook embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Kortrijk Analysis available

Data controller: Stad Kortrijk (KBO 0207.494.678) — Grote Markt 54, 8500 Kortrijk — Website: www.kortrijk.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Kortrijk with a technical exposition. The findings were recorded on 17 April 2026 on www.kortrijk.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram, LinkedIn, WhatsApp, TikTok embeds presentArt. 129 WEC / LCE / GEK / ECABreach
Google Maps (maps.googleapis.com) — US processorHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Oostende Analysis available

Data controller: Stad Oostende (KBO 0207.473.295) — Vindictivelaan 1, 8400 Oostende — Website: www.oostende.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Oostende with a technical exposition. The findings were recorded on 17 April 2026 on www.oostende.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Only partial Content-Security-Policy (only connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Instagram embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Sint-Niklaas Analysis available

Data controller: Stad Sint-Niklaas (KBO 0207.486.859) — Grote Markt 1, 9100 Sint-Niklaas — Website: www.sint-niklaas.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Sint-Niklaas with a technical exposition. The findings were recorded on 17 April 2026 on www.sint-niklaas.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Use of Cookiebot as CMP — positiveArt. 129 WEC / LCE / GEK / ECA✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Google Fonts (fonts.googleapis.com) — undisclosed US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, LinkedIn, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Aalst Analysis available

Data controller: Stad Aalst (KBO 0207.449.148) — Grote Markt 3, 9300 Aalst — Website: aalst.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Aalst with a technical exposition. The findings were recorded on 17 April 2026 on aalst.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook, Instagram, YouTube, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Genk Analysis available

Data controller: Stad Genk (KBO 0207.522.491) — Stadsplein 1, 3600 Genk — Website: www.genk.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Genk with a technical exposition. The findings were recorded on 17 April 2026 on www.genk.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Only partial Content-Security-Policy (only connect-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformational
Correct Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Permissions-Policy header present — restricts sensors/geolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Uses Matomo (more privacy-friendly than Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
Facebook, Twitter, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Roeselare Analysis available

Data controller: Stad Roeselare (KBO 0207.490.219) — Botermarkt 2, 8800 Roeselare — Website: www.roeselare.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Roeselare with a technical exposition. The findings were recorded on 17 April 2026 on www.roeselare.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
HSTS with includeSubDomains and preload — strong configurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Tag Manager loads Google Analytics at runtime (US transfer)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Google Fonts (fonts.googleapis.com) — undisclosed US transferHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Tournai Analysis available

Data controller: Ville de Tournai (BCE 0207.352.297) — Rue Saint-Martin 52, 7500 Tournai — Website: www.tournai.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Tournai with a technical exposition. The findings were recorded on 17 April 2026 on www.tournai.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Weak Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRBreach
calameo.com document embed — external trackerArt. 129 WEC / LCE / GEK / ECABreach
Facebook, Instagram, YouTube, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de La Louvière Analysis available

Data controller: Ville de La Louvière (BCE 0207.382.086) — Place Communale 1, 7100 La Louvière — Website: www.lalouviere.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de La Louvière with a technical exposition. The findings were recorded on 17 April 2026 on www.lalouviere.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
HSTS with max-age=31536000 (1 year) without includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformational
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Seraing Analysis available

Data controller: Ville de Seraing (BCE 0207.335.221) — Place Communale 8, 4100 Seraing — Website: www.seraing.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Seraing with a technical exposition. The findings were recorded on 17 April 2026 on www.seraing.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Weak Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRBreach
tarteaucitron as CMP — positive, European alternativeArt. 129 WEC / LCE / GEK / ECA✓ Compliant
Facebook, Instagram, YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Verviers Analysis available

Data controller: Ville de Verviers (BCE 0207.356.048) — Place du Marché 55, 4800 Verviers — Website: www.verviers.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Verviers with a technical exposition. The findings were recorded on 17 April 2026 on www.verviers.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Facebook, YouTube, LinkedIn embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Liège Analysis available

Data controller: Ville de Liège (BCE 0207.343.238) — Place du Marché 2, 4000 Liège — Website: www.liege.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Liège with a technical exposition. The findings were recorded on 17 April 2026 on www.liege.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No X-Content-Type-Options: nosniff headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Uses the youtube-nocookie.com variant — a positive choiceArt. 129 WEC / LCE / GEK / ECA✓ Compliant
Facebook and Instagram embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Namur Analysis available

Data controller: Ville de Namur (BCE 0207.341.854) — Hôtel de Ville, 5000 Namur — Website: www.namur.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Namur with a technical exposition. The findings were recorded on 17 April 2026 on www.namur.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Referrer-Policy headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Google Fonts (fonts.googleapis.com) — transfer to Google USHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRBreach
Facebook, Twitter and YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Mons Analysis available

Data controller: Ville de Mons (BCE 0207.272.119) — Grand-Place 22, 7000 Mons — Website: www.mons.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Mons with a technical exposition. The findings were recorded on 17 April 2026 on www.mons.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Referrer-Policy headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
HSTS with includeSubDomains (1 year) — solid baselineArt. 32 AVG / RGPD / DSGVO / GDPR✓ Compliant
Facebook and YouTube embeds presentArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Ville de Charleroi Analysis available

Data controller: Ville de Charleroi (BCE 0207.362.105) — Place Charles II 14-15, 6000 Charleroi — Website: www.charleroi.be.

This annex is intended to supplement the contestation of a sanction or retribution by Ville de Charleroi with a technical exposition. The findings were recorded on 17 April 2026 on www.charleroi.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
No Content-Security-Policy response headerArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Weak Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRBreach
Server version leak in Server: Apache/2.4.66 (Debian)Art. 32 AVG / RGPD / DSGVO / GDPRBreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Antwerpen Analysis available

Data controller: Stad Antwerpen (KBO 0207.500.123) — Dienst Mobiliteit & Parkeren — Grote Markt 1, 2000 Antwerpen — Website: www.antwerpen.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Antwerpen with a technical exposition. The findings were recorded on 17 April 2026 on www.antwerpen.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
The Content-Security-Policy contains an invalid directive (undefined)Art. 32 AVG / GDPR / DSGVOBreach
HSTS with max-age=15552000 (180 days) without preloadArt. 32 AVG / GDPR / DSGVOInformational
Google Tag Manager loads Google Analytics at runtimeArt. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook and Twitter embeds loaded on every pageArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Gent Analysis available

Data controller: Stad Gent (KBO 0207.451.227) — Botermarkt 1, 9000 Gent — Website: stad.gent.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Gent with a technical exposition. The findings were recorded on 17 April 2026 on stad.gent and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Strong security headers: HSTS 2 years with preload, CSP default-src 'self'Art. 32 AVG / GDPR / DSGVO✓ Compliant
Use of Cookiebot as CMP — positive, aligned with Belgian DPA guidelinesArt. 129 WEC / LCE / GEK / ECA✓ Compliant
Social embeds (Facebook, Instagram, YouTube, TikTok, LinkedIn, Threads) present — consent-gating must be verified case-by-caseArt. 129 WEC / LCE / GEK / ECAInformational
Google Tag Manager present (loads further trackers only after consent via Cookiebot)Hfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRInformational

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Brugge Analysis available

Data controller: Stad Brugge (KBO 0207.528.035) — Burg 12, 8000 Brugge — Website: www.brugge.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Brugge with a technical exposition. The findings were recorded on 17 April 2026 on www.brugge.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Content-Security-Policy response headerArt. 32 AVG / GDPR / DSGVOBreach
Uses Matomo instead of Google Analytics — positive for privacyArt. 5(1)(c) AVG / GDPR / DSGVO✓ Compliant
HSTS with max-age=31557600 (1 year) without includeSubDomains or preloadArt. 32 AVG / GDPR / DSGVOInformational
Facebook, Instagram, LinkedIn and YouTube embeds are loadedArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Leuven Analysis available

Data controller: Stad Leuven (KBO 0207.475.077) — Professor Van Overstraetenplein 1, 3000 Leuven — Website: www.leuven.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Leuven with a technical exposition. The findings were recorded on 17 April 2026 on www.leuven.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
No Strict-Transport-Security response headerArt. 32 AVG / GDPR / DSGVOBreach
No Content-Security-Policy response headerArt. 32 AVG / GDPR / DSGVOBreach
Google Tag Manager loads Google Analytics at runtime (transfer to Google US)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VBreach
Facebook, Instagram and LinkedIn embeds are loadedArt. 129 WEC / LCE / GEK / ECABreach

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.

Stad Hasselt Analysis available

Data controller: Stad Hasselt (KBO 0207.476.069) — Groenplein 1, 3500 Hasselt — Website: www.hasselt.be.

This annex is intended to supplement the contestation of a sanction or retribution by Stad Hasselt with a technical exposition. The findings were recorded on 17 April 2026 on www.hasselt.be and indicate shortcomings in GDPR, ePrivacy and security of processing.

1. Identified shortcomings

FindingLegal basisRisk
Only a partial Content-Security-Policy (only frame-ancestors)Art. 32 AVG / GDPR / DSGVOBreach
No Strict-Transport-Security response headerArt. 32 AVG / GDPR / DSGVOBreach
Google Fonts (fonts.gstatic.com, fonts.googleapis.com) — transfer to the US, undisclosedHfd. V AVG / Ch. V GDPR / Kap. V DSGVO / Ch. V GDPRBreach
Drupal platform — form_build_id CSRF protection present by defaultArt. 32 AVG / GDPR / DSGVO✓ Compliant

2. Legal qualification

Article 5(1)(a) GDPR — transparency

Data subjects must be informed transparently and fairly about the processing; missing or inaccurate technical security undermines this duty.

Article 6 GDPR — legal basis

General municipal competences cannot, after DPA decision 56/2026 (Dilbeek), serve as a legal basis for data transfers or ANPR use without a specific legal basis and a DPIA.

Chapter V GDPR — transfers

Using US processors (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) implies a US transfer which, without an appropriate safeguard (Ch. V GDPR), is unlawful.

Article 32 GDPR — security

The absence of appropriate technical measures (HSTS, CSP, Referrer-Policy) is not compatible with article 32 GDPR for a public platform processing personal data.

Article 129 ECA — ePrivacy

Non-essential cookies, social embeds and other trackers require prior, informed, specific and granular consent; a reference to browser settings is insufficient.

3. Recommended defence arguments

  • the contested sanction be set aside or reformed for unlawful processing of personal data;
  • the identified technical shortcomings be placed on record;
  • in the alternative, that a fresh review be conducted on the basis of lawfully obtained data;
  • the data subject's right to lodge a complaint with the Belgian Data Protection Authority be preserved;
  • the reservation of the right to compensation under article 82 GDPR be acknowledged.
Note: Audit on 17 April 2026 of the public landing page. The contested measure is a parking retribution or GAS fine that falls fully under the GDPR. You can verify the findings yourself via your browser's DevTools.
© 2026 PVResponse.be