Privacy Adviesprocedure regelgeving VTC en CBPL Nieuwe privacyverordening Studienamiddag Wetgevingsleer November 2015 CBPL

Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer Adviesprocedure VTC Anne Teughels

Voorstelling VTC Vragen o Waarom regelgeving over verwerken (persoons)gegevens? o Advies vragen verplicht of niet? o Voor welke regelgeving advies vragen? o Bij wie advies vragen? o Wanneer aanvragen? o Wie vraagt advies? o Hoe advies vragen? o Toetsingscriteria? o Evaluatie Contactgegevens Vlaamse Toezichtcommissie 3

Wie zijn wij o adviseur van de VTC o De Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer Vraag voorzitter Vlaams Parlement ! Controleren van stromen van persoonsgegevens die uitgaan van een Vlaamse instantie Vlaamse Toezichtcommissie Opgericht bij E-GOV decreet 18 juli 2008 Verantwoording aan Vlaams Parlement 4

Controleren van stromen van persoonsgegevens die uitgaan van een Vlaamse instantie Hoe? 1° machtigen van die stromen 2° adviezen (regelgeving, VDI-decreet) 3° beantwoorden van vragen en begeleiding = Toetsen aan criteria privacywet. wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (WVP) Vlaamse Toezichtcommissie 5

o Waarom regelgeving over het verwerken van (persoons)gegevens? Organisatorische of beleidsmatige noodzaak om partijen te verplichten (of te verbieden)om gegevens door te geven Organisatorische of beleidsmatige noodzaak om het verzamelen of doorgeven van gegevens beter te regelen Vereiste van een wettelijke basis voor het verwerken (incl. doorgeven) van persoonsgegevens WVP - WVP - arrest Hof van Justitie 1/10/2015 Vlaamse Toezichtcommissie 6 Eerst de voorafgaande vraag

“ Art. 4. § 1. Persoonsgegevens dienen : 1° eerlijk en rechtmatig te worden verwerkt; 2° voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden te worden verkregen en niet verder te worden verwerkt op een wijze die, rekening houdend met alle relevante factoren, met name met de redelijke verwachtingen van de betrokkene en met de toepasselijke wettelijke en reglementaire bepalingen, onverenigbaar is met die doeleinden. […]” “ Art. 5. Persoonsgegevens mogen slechts verwerkt worden in één van de volgende gevallen: a)wanneer de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend; […] c) wanneer de verwerking noodzakelijk is om een verplichting na te komen waaraan de verantwoordelijke voor de verwerking is onderworpen door of krachtens een wet, een decreet of een ordonnantie; […]” 7 Vereiste van een wettelijke basis voor het doorgeven van persoonsgegevens : artikel 4 en 5 WVP

“De artikelen 10, 11 en 13 van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, moeten aldus worden uitgelegd dat zij in de weg staan aan nationale maatregelen als die in het hoofdgeding, die een overheidsinstantie van een lidstaat toestaan persoonsgegevens over te dragen aan een andere overheidsinstantie die ze vervolgens verwerkt, zonder dat de betrokkenen zijn geïnformeerd over deze overdracht of verwerking.” Vlaamse Toezichtcommissie 8 Arrest Hof van Justitie 1/10/2015 Zaak C-201/14

Vlaamse Toezichtcommissie 9 Arrest Hof van Justitie 1/10/2015 Belang transparantie. - Kan door wetgeving (die gepubliceerd wordt). -In België ook via systeem van machtigingen* door de privacytoezichthouders: sectorale comité’s van de CBPL en VTC. Verplichte publicatie. (*krachtens wet, decreet of ordonnantie)

Advies VTC verplicht of niet? Advies VTC verplicht of niet? o richtlijn 95/46/EG o WVP: art. 29 zie presentatie CBPL o e-govdecreet Vlaamse Toezichtcommissie 10

Advies VTC verplicht of niet? Advies VTC verplicht of niet? o Richtlijn 95/46/EG Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens Vlaamse Toezichtcommissie 11

Advies VTC verplicht of niet? Advies VTC verplicht of niet? o Richtlijn 95/46/EG (54) Overwegende dat van alle verwerkingen die in de samenleving worden uitgevoerd, het aantal waaraan dergelijke risico's kleven zeer beperkt zou moeten zijn, dat de Lid-Staten voor deze verwerkingen in een voorafgaand onderzoek door de toezichthoudende autoriteit of door de met gegevensbescherming belaste functionaris in overleg met de toezichthoudende autoriteit dienen te voorzien; dat de toezichthoudende autoriteit na dit voorafgaand onderzoek naar gelang van het nationale recht waaronder zij valt advies kan uitbrengen of toestemming kan geven voor de verwerking; dat een dergelijk onderzoek ook kan worden uitgevoerd in het kader van de voorbereiding van een door het nationale parlement aan te nemen maatregel of op basis van een dergelijke wettelijke maatregel, waarin de aard van de verwerking is omschreven en passende waarborgen zijn opgenomen; Vlaamse Toezichtcommissie 12

Advies VTC verplicht of niet? Advies VTC verplicht of niet? o Richtlijn 95/46/EG Artikel 28. Toezichthoudende autoriteit 2. Elke Lid-Staat bepaalt dat de toezichthoudende autoriteiten worden geraadpleegd bij de opstelling van de wettelijke of bestuursrechtelijke bepalingen met betrekking tot de bescherming van de rechten en vrijheden van personen in verband met de verwerking van persoonsgegevens. Vlaamse Toezichtcommissie 13

Advies VTC verplicht of niet? Advies VTC verplicht of niet? o e-govdecreet Art. 11. § 1. De toezichtcommissie verleent, op verzoek of op eigen initiatief, advies aan het Vlaams Parlement, de Vlaamse Regering, de instanties en belanghebbenden over de bescherming van de persoonlijke levenssfeer in het kader van dit decreet en de uitvoeringsbepalingen ervan. […] Vlaamse Toezichtcommissie 14

Als niet verplicht waarom dan toch doen? Als niet verplicht waarom dan toch doen? Garantie toets door onafhankelijke instantie Probleem als pas bij machtigingsdossier opduikt Mogelijkheid ambtshalve advies Vlaamse Toezichtcommissie 15

o e-govdecreet Art. 11. § 1. De toezichtcommissie verleent, op verzoek of op eigen initiatief, advies aan het Vlaams Parlement, de Vlaamse Regering, de instanties en belanghebbenden over de bescherming van de persoonlijke levenssfeer in het kader van dit decreet en de uitvoeringsbepalingen ervan. […] Vlaamse Toezichtcommissie 16 Voor welke regelgeving advies vragen? Voor welke regelgeving advies vragen?

o e-govdecreet  in het kader van het Elektronische - elektronisch Bestuurlijke - Vlaamse instantie Gegevensverkeer- mededeling  persoonlijke levenssfeer- persoonsgegevens Vlaamse Toezichtcommissie 17 Voor welke regelgeving advies vragen? Voor welke regelgeving advies vragen?

o Persoonsgegevens (art. 1, §1 WVP) iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon … = zeer ruim = meer dan identificatoren (naam, adres, RRnr,…) = niet beperkt tot privacy/persoonlijke levenssfeer Vlaamse Toezichtcommissie 18

o Mededeling (art. 2, 7° e-govdecreet) een of meer handelingen als vermeld in artikel 1, § 2, van de privacywet, die slaan op het verstrekken van gegevens door middel van doorzending, het verspreiden, en het op welke andere wijze ook ter beschikking stellen van gegevens, voor zover dat op systematische en georganiseerde wijze gebeurt. […] Vlaamse Toezichtcommissie 19

o Elektronisch (art. 8 e-govdecreet) dus niet als op papier wel 20

o Vlaamse instantie (art. 2, 10° e-govdecreet) de instantie, vermeld in artikel 4, § 1, van het decreet van 26 maart 2004 betreffende de openbaarheid van bestuur ; Rechtspersoonlijkheid geen criterium “: art. 4, §1, 1°: de diensten, instellingen en rechtspersonen die afhangen van de Vlaamse Gemeenschap of het Vlaamse Gewest;” dus ook van dienst naar dienst. 21

o De VTC heeft al regelgevingsadvies gegeven over: 22 besluit van 30 september 2011 tot instelling van een tegemoetkoming voor kandidaat-huurders decreet houdende wijziging van het decreet van 8 mei 2009 betreffende het Centraal Referentieadressenbestand besluit houdende de uitvoering van het decreet betreffende het Centraal Referentieadressenbestand. Advies op eigen initiatief inzake het decreet betreffende de Vlaamse sociale bescherming. decreet betreffende de integrale jeugdhulp. Advies op eigen initiatief inzake het voorontwerp van decreet betreffende de organisatie van de hulp- en dienstverlening aan gedetineerden. het decreet houdende wijziging van diverse decreten met betrekking tot wonen. decreet betreffende het kader voor het invoeren van intelligente vervoerssystemen op het gebied van wegvervoer en voor interfaces met andere vervoerswijzen. besluit houdende uitvoering van het decreet van 25 mei 2012 betreffende de preventie en bestrijding van doping in de sport. decreet tot wijziging van het decreet van 7 mei 2004 tot oprichting van het publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse Dienst voor Arbeidsbemiddeling en Beroepsopleiding.

o De VTC heeft al regelgevingsadvies gegeven over: 23 decreet betreffende het kader voor het invoeren van intelligente vervoerssystemen op het gebied van wegvervoer en voor interfaces met andere vervoerswijzen. besluit houdende uitvoering van het decreet van 25 mei 2012 betreffende de preventie en bestrijding van doping in de sport. decreet tot wijziging van het decreet van 7 mei 2004 tot oprichting van het publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse Dienst voor Arbeidsbemiddeling en Beroepsopleiding. decreet betreffende de landinrichting. decreet betreffende de organisatie van het netwerk voor de gegevensdeling tussen de actoren in de zorg. decreet betreffende het landbouw- en visserijbeleid. decreet betreffende het onderwijs XXV.

o Vorm van verwerking zelf verzamelen en zelf verwerken: CBPL Bv. een databank creëren doorgeven van persoonsgegevens: VTC (mededeling) Bv. een instantie verplichten om persoonsgegevens door te geven aan een ander instantie Bv. een systeem om gegevens uit te wisselen met andere instanties opzetten Vlaamse Toezichtcommissie 24 Bij wie advies vragen? Bij wie advies vragen?

o Bron en aard van de persoonsgegevens (art. 8 e-govdecreet ivm machtigingsplicht) VTC bevoegd als bron = Vlaamse instantie bron: Vlaamse instantie heeft de gegevens zelf verzameld Uitz: gezondheidsgegevens en sociale gegevens SC SZ & G : gezondheidsgegevens en sociale gegevens SC RR : gebruik RRnr en toegang tot gegevens uit RR Uitz: gebruik RRnr als sleutel bij stroom uit Vlaamse bron: VTC Sinds 14 juni 2014 : artikel 5 van de wet van 5 mei 2014 (‘only once wet’) vwde: beide partijen zijn op zich al gemachtigd vr gebruik voor hun eigen doeleinden (door SC RR) SC FO: bevoegd als bron = federale instantie Uitz: zelfde als voor VTC Vlaamse Toezichtcommissie 25 Bij wie advies vragen?

Wanneer? Wanneer? Vlaamse Toezichtcommissie 26 Zo vroeg mogelijk contact nemen. Zodra een eerste ontwerptekst gemaakt is Best voor eerste principiële goedkeuring zodat mee naar RvSt In de praktijk dikwijls na de eerste principiële goedkeuring = laat Onmogelijk voor VTC om zelf alle regelgeving te screenen (titels zeggen niet genoeg)

Wie? Wie? Vlaamse Toezichtcommissie 27 Art. 11: advies aan het Vlaams Parlement, de Vlaamse Regering, de instanties en belanghebbenden door een afdelingshoofd of leidend ambtenaar van een Vlaamse instantie door een minister al dan niet in opdracht van de Vlaamse Regering door Vlaams parlementslid belanghebbenden

Brief of bij voorkeur mail naar VTC. Ingescande handtekening OK. Graag Wordversie erbij. Als VTC en CBPL bevoegd: mogelijk om via VTC in te dienen zodat maar een dossier. Als het niet geheel duidelijk is wie bevoegd is: dubbele advisering vermijden => aangewezen Vlaamse instanties adviesvraag indienen bij VTC. De VTC zal voor de aspecten waar ze niet bevoegd voor is de adviesvraag doorgeven aan de CBPL. Het e-govdecreet bepaalt dat de voorzitter van de VTC aan de VTC kan vragen om een advies uit te stellen en het dossier eerst aan de CBPL voor te leggen. Vlaamse Toezichtcommissie 28 Hoe? Hoe?

Vlaamse Toezichtcommissie 29 Toetsingscriteria :

Vlaamse Toezichtcommissie 30 Toetsingscriteria: Minimale vermeldingen (transparantie): -de aanduiding verantwoordelijke voor de verwerking -de doeleinden van de verwerking -de categorieën van verwerkte gegevens -de categorieën betrokkenen -de categorieën ontvangers -de periode gedurende welke de gegevens worden bewaard

Nog geen systematische opvolging van naleving adviezen. Vlaamse Toezichtcommissie31 Evaluatie Evaluatie

Linken o o Vragen? toezichtcommissie{at}vlaanderen{dot}be Vlaamse Toezichtcommissie32 BESLUIT: kom op tijd bij ons langs