Vlaamse Toezichtcommissie voor het elektronische bestuurlijke

Privacy
CBPL
Adviesprocedure regelgeving
VTC en CBPL
Nieuwe privacyverordening
Studienamiddag Wetgevingsleer
November 2015
Vlaamse Toezichtcommissie
voor het
elektronische bestuurlijke gegevensverkeer
Adviesprocedure VTC
Anne Teughels
• Voorstelling VTC
• Vragen
o
Waarom regelgeving over verwerken
(persoons)gegevens?
o
Advies vragen verplicht of niet?
o
Voor welke regelgeving advies vragen?
o
Bij wie advies vragen?
o
Wanneer aanvragen?
o
Wie vraagt advies?
o
Hoe advies vragen?
o
Toetsingscriteria?
o
Evaluatie
• Contactgegevens
Vlaamse Toezichtcommissie
3
• Wie zijn wij
Opgericht bij E-GOV
o adviseur van de VTC
o De Vlaamse Toezichtcommissie
voor het elektronische
bestuurlijke
gegevensverkeer
decreet 18 juli 2008
Verantwoording aan Vlaams
Parlement
Vraag voorzitter Vlaams Parlement !
Controleren van stromen van persoonsgegevens die uitgaan
van een Vlaamse instantie
Vlaamse Toezichtcommissie
4
Controleren van stromen van persoonsgegevens die
uitgaan van een Vlaamse instantie
Hoe?
1° machtigen van die stromen
2° adviezen (regelgeving, VDI-decreet)
3° beantwoorden van vragen en begeleiding
= Toetsen aan criteria privacywet.
wet van 8 december 1992 tot bescherming van de persoonlijke
levenssfeer ten opzichte van de verwerking van
persoonsgegevens (WVP)
http://vtc.corve.be/wetgeving.php
Vlaamse Toezichtcommissie
5
Eerst de voorafgaande vraag
o Waarom regelgeving over het verwerken van
(persoons)gegevens?
• Organisatorische of beleidsmatige noodzaak om
partijen te verplichten (of te verbieden)om gegevens
door te geven
• Organisatorische of beleidsmatige noodzaak om het
verzamelen of doorgeven van gegevens beter te
regelen
• Vereiste van een wettelijke basis voor het verwerken
(incl. doorgeven) van persoonsgegevens
WVP - arrest Hof van Justitie 1/10/2015
Vlaamse Toezichtcommissie
6
Vereiste van een wettelijke basis voor het doorgeven van
persoonsgegevens : artikel 4 en 5 WVP
“Art. 4. § 1. Persoonsgegevens dienen :
1° eerlijk en rechtmatig te worden verwerkt;
2° voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden te worden
verkregen en niet verder te worden verwerkt op een wijze die, rekening houdend met alle
relevante factoren, met name met de redelijke verwachtingen van de betrokkene en met
de toepasselijke wettelijke en reglementaire bepalingen, onverenigbaar is met die
doeleinden.
[…]”
“Art. 5. Persoonsgegevens mogen slechts verwerkt worden in één van de volgende gevallen:
a)
wanneer de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend;
[…]
c) wanneer de verwerking noodzakelijk is om een verplichting na te komen waaraan de
verantwoordelijke voor de verwerking is onderworpen door of krachtens een wet, een
decreet of een ordonnantie;
[…]”
7
Arrest Hof van Justitie
1/10/2015
“De artikelen 10, 11 en 13 van richtlijn 95/46/EG van
het Europees Parlement en de Raad van 24 oktober
1995 betreffende de bescherming van natuurlijke
personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer
van die gegevens, moeten aldus worden uitgelegd
dat zij in de weg staan aan nationale maatregelen als
die in het hoofdgeding, die een overheidsinstantie
van een lidstaat toestaan persoonsgegevens over te
dragen aan een andere overheidsinstantie die ze
vervolgens verwerkt, zonder dat de betrokkenen zijn
geïnformeerd over deze overdracht of verwerking.”
Zaak C-201/14
Vlaamse Toezichtcommissie
8
Arrest Hof van Justitie
1/10/2015
Belang transparantie.
-
Kan door wetgeving (die gepubliceerd wordt).
-
In België ook via systeem van machtigingen* door
de privacytoezichthouders: sectorale comité’s van
de CBPL en VTC. Verplichte publicatie.
(*krachtens wet, decreet of ordonnantie)
Vlaamse Toezichtcommissie
9
• Advies VTC verplicht of niet?
o richtlijn 95/46/EG
o WVP: art. 29 zie presentatie CBPL
o e-govdecreet
Vlaamse Toezichtcommissie
10
• Advies VTC verplicht of niet?
o Richtlijn 95/46/EG
Richtlijn 95/46/EG van het Europees Parlement en de Raad
van 24 oktober 1995 betreffende de bescherming van
natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die
gegevens
Vlaamse Toezichtcommissie
11
• Advies VTC verplicht of niet?
o Richtlijn 95/46/EG
(54) Overwegende dat van alle verwerkingen die in de samenleving worden
uitgevoerd, het aantal waaraan dergelijke risico's kleven zeer beperkt zou
moeten zijn, dat de Lid-Staten voor deze verwerkingen in een voorafgaand
onderzoek door de toezichthoudende autoriteit of door de met
gegevensbescherming belaste functionaris in overleg met de
toezichthoudende autoriteit dienen te voorzien; dat de toezichthoudende
autoriteit na dit voorafgaand onderzoek naar gelang van het nationale
recht waaronder zij valt advies kan uitbrengen of toestemming kan geven
voor de verwerking; dat een dergelijk onderzoek ook kan worden uitgevoerd
in het kader van de voorbereiding van een door het nationale parlement
aan te nemen maatregel of op basis van een dergelijke wettelijke
maatregel, waarin de aard van de verwerking is omschreven en passende
waarborgen zijn opgenomen;
Vlaamse Toezichtcommissie
12
• Advies VTC verplicht of niet?
o Richtlijn 95/46/EG
Artikel 28. Toezichthoudende autoriteit
2. Elke Lid-Staat bepaalt dat de toezichthoudende
autoriteiten worden geraadpleegd bij de opstelling van de
wettelijke of bestuursrechtelijke bepalingen met betrekking
tot de bescherming van de rechten en vrijheden van
personen in verband met de verwerking van
persoonsgegevens.
Vlaamse Toezichtcommissie
13
• Advies VTC verplicht of niet?
o e-govdecreet
Art. 11. § 1. De toezichtcommissie verleent, op verzoek
of op eigen initiatief, advies aan het Vlaams
Parlement, de Vlaamse Regering, de instanties en
belanghebbenden over de bescherming van de
persoonlijke levenssfeer in het kader van dit decreet
en de uitvoeringsbepalingen ervan.
[…]
Vlaamse Toezichtcommissie
14
• Als niet verplicht waarom dan toch
doen?
• Garantie toets door onafhankelijke instantie
• Probleem als pas bij machtigingsdossier opduikt
• Mogelijkheid ambtshalve advies
Vlaamse Toezichtcommissie
15
• Voor welke regelgeving advies
vragen?
o e-govdecreet
Art. 11. § 1. De toezichtcommissie verleent, op verzoek
of op eigen initiatief, advies aan het Vlaams
Parlement, de Vlaamse Regering, de instanties en
belanghebbenden over de bescherming van de
persoonlijke levenssfeer in het kader van dit decreet
en de uitvoeringsbepalingen ervan.
[…]
Vlaamse Toezichtcommissie
16
• Voor welke regelgeving advies
vragen?
o e-govdecreet
 in het kader van het
Elektronische
Bestuurlijke
Gegevensverkeer
- elektronisch
- Vlaamse instantie
- mededeling
 persoonlijke levenssfeer - persoonsgegevens
Vlaamse Toezichtcommissie
17
o Persoonsgegevens (art. 1, §1 WVP)
iedere informatie betreffende een
geïdentificeerde of identificeerbare natuurlijke
persoon …
= zeer ruim
= meer dan identificatoren (naam, adres, RRnr,…)
= niet beperkt tot privacy/persoonlijke levenssfeer
Vlaamse Toezichtcommissie
18
o Mededeling (art. 2, 7° e-govdecreet)
een of meer handelingen als vermeld in artikel 1, §
2, van de privacywet, die slaan op het verstrekken
van gegevens door middel van doorzending, het
verspreiden, en het op welke andere wijze ook ter
beschikking stellen van gegevens, voor zover dat
op systematische en georganiseerde wijze
gebeurt. […]
Vlaamse Toezichtcommissie
19
o Elektronisch (art. 8 e-govdecreet)
dus niet als op papier
wel e-mail
20
o Vlaamse instantie (art. 2, 10° e-govdecreet)
de instantie, vermeld in artikel 4, § 1, van het decreet
van 26 maart 2004 betreffende de openbaarheid van
bestuur;
Rechtspersoonlijkheid geen criterium “: art. 4, §1, 1°: de
diensten, instellingen en rechtspersonen die afhangen
van de Vlaamse Gemeenschap of het Vlaamse
Gewest;” dus ook van dienst naar dienst.
21
o De VTC heeft al regelgevingsadvies gegeven over:
• besluit van 30 september 2011 tot instelling van een tegemoetkoming voor
kandidaat-huurders
• decreet houdende wijziging van het decreet van 8 mei 2009 betreffende het
Centraal Referentieadressenbestand
• besluit houdende de uitvoering van het decreet betreffende het Centraal
Referentieadressenbestand.
• Advies op eigen initiatief inzake het decreet betreffende de Vlaamse sociale
bescherming.
• decreet betreffende de integrale jeugdhulp.
• Advies op eigen initiatief inzake het voorontwerp van decreet betreffende de
organisatie van de hulp- en dienstverlening aan gedetineerden.
• het decreet houdende wijziging van diverse decreten met betrekking tot
wonen.
• decreet betreffende het kader voor het invoeren van intelligente
vervoerssystemen op het gebied van wegvervoer en voor interfaces met
andere vervoerswijzen.
• besluit houdende uitvoering van het decreet van 25 mei 2012 betreffende de
preventie en bestrijding van doping in de sport.
• decreet tot wijziging van het decreet van 7 mei 2004 tot oprichting van het
publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse
Dienst voor Arbeidsbemiddeling en Beroepsopleiding.
22
o De VTC heeft al regelgevingsadvies gegeven over:
• decreet betreffende het kader voor het invoeren van intelligente
vervoerssystemen op het gebied van wegvervoer en voor interfaces met
andere vervoerswijzen.
• besluit houdende uitvoering van het decreet van 25 mei 2012 betreffende de
preventie en bestrijding van doping in de sport.
• decreet tot wijziging van het decreet van 7 mei 2004 tot oprichting van het
publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse
Dienst voor Arbeidsbemiddeling en Beroepsopleiding.
• decreet betreffende de landinrichting.
• decreet betreffende de organisatie van het netwerk voor de gegevensdeling
tussen de actoren in de zorg.
• decreet betreffende het landbouw- en visserijbeleid.
• decreet betreffende het onderwijs XXV.
23
• Bij wie advies vragen?
o Vorm van verwerking
• zelf verzamelen en zelf verwerken: CBPL
Bv. een databank creëren
• doorgeven van persoonsgegevens: VTC (mededeling)
Bv. een instantie verplichten om persoonsgegevens door
te geven aan een ander instantie
Bv. een systeem om gegevens uit te wisselen met andere
instanties opzetten
Vlaamse Toezichtcommissie
24
Bij wie advies vragen?
o Bron en aard van de persoonsgegevens
(art. 8 e-govdecreet ivm machtigingsplicht)
• VTC bevoegd als bron = Vlaamse instantie
bron: Vlaamse instantie heeft de gegevens zelf verzameld
Uitz: gezondheidsgegevens en sociale gegevens
•
SC SZ & G: gezondheidsgegevens en sociale gegevens
• SC RR: gebruik RRnr en toegang tot gegevens uit RR
Uitz: gebruik RRnr als sleutel bij stroom uit Vlaamse bron: VTC
Sinds 14 juni 2014 : artikel 5 van de wet van 5 mei 2014 (‘only once wet’)
vwde: beide partijen zijn op zich al gemachtigd vr gebruik voor hun
eigen doeleinden (door SC RR)
• SC FO: bevoegd als bron = federale instantie
Uitz: zelfde als voor VTC
Vlaamse Toezichtcommissie
25
• Wanneer?
• Zo vroeg mogelijk contact nemen.
• Zodra een eerste ontwerptekst gemaakt is
• Best voor eerste principiële goedkeuring zodat
mee naar RvSt
• In de praktijk dikwijls na de eerste principiële
goedkeuring = laat
• Onmogelijk voor VTC om zelf alle regelgeving te
screenen (titels zeggen niet genoeg)
Vlaamse Toezichtcommissie
26
• Wie?
Art. 11: advies aan het Vlaams Parlement, de
Vlaamse Regering, de instanties en
belanghebbenden
• door een afdelingshoofd of leidend ambtenaar
van een Vlaamse instantie
• door een minister al dan niet in opdracht van
de Vlaamse Regering
• door Vlaams parlementslid
• belanghebbenden
Vlaamse Toezichtcommissie
27
• Hoe?
•
Brief of bij voorkeur mail naar VTC. Ingescande handtekening OK.
Graag Wordversie erbij.
•
Als VTC en CBPL bevoegd: mogelijk om via VTC in te dienen zodat
maar een dossier.
•
Als het niet geheel duidelijk is wie bevoegd is: dubbele advisering
vermijden
=> aangewezen Vlaamse instanties adviesvraag indienen bij VTC.
De VTC zal voor de aspecten waar ze niet bevoegd voor is de
adviesvraag doorgeven aan de CBPL.
•
Het e-govdecreet bepaalt dat de voorzitter van de VTC aan de VTC
kan vragen om een advies uit te stellen en het dossier eerst aan de
CBPL voor te leggen.
Vlaamse Toezichtcommissie
28
• Toetsingscriteria:
Vlaamse Toezichtcommissie
29
Toetsingscriteria:
•
Minimale vermeldingen (transparantie):
-
de aanduiding verantwoordelijke voor de verwerking
de doeleinden van de verwerking
de categorieën van verwerkte gegevens
de categorieën betrokkenen
de categorieën ontvangers
de periode gedurende welke de gegevens worden
bewaard
Vlaamse Toezichtcommissie
30
• Evaluatie
Nog geen systematische opvolging van naleving
adviezen.
Vlaamse Toezichtcommissie
31
BESLUIT: kom op tijd bij ons langs
• Linken
o www.vlaamsetoezichtcommissie.be
o www.privacycommission.be
• Vragen?
toezichtcommissie{at}vlaanderen{dot}be
Vlaamse Toezichtcommissie
32