Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 05/2017 van 3 april 2017
Betreft: machtigingsaanvraag vanwege het bedrijf Saris Aanhangers BV om bepaalde gegevens te kunnen raadplegen die bij de Dienst Inschrijving Voertuigen van de FOD Mobiliteit en Vervoer worden bewaard (AF-MA-2017-042)
Het Sectoraal comité voor de Federale Overheid (hierna: "het Comité");
Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis;
Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer;
Gelet op de aanvraag van Saris Aanhangers BV ontvangen op 22/03/2017;
Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Beleid en Ondersteuning op 27/03/2017;
Gelet op het technisch en juridisch advies ontvangen op 28/03/2017;
Gelet op het verslag van de Voorzitter;
Beslist op 3 april 2017, na beraadslaging, als volgt:
I. ONDERWERP EN CONTEXT VAN DE AANVRAAG
1. Op 22 maart 2017 diende Saris aanhangers BV (hierna “de aanvrager”) een machtigingsaanvraag in bij het Comité om toegang te krijgen tot bepaalde persoonsgegevens die in de databank van de Dienst Inschrijving Voertuigen (hierna “de DIV”) zijn opgeslagen. De aanvrager is verdeler van aanhangwagens in België.
2. De aanvrager legt een lijst van chassisnummers voor van vier verschillende modellen van aanhangers waarvan de dissel te zwak is geconstrueerd, waardoor deze kan scheuren. Met zijn machtigingsaanvraag wenst de aanvrager de naam adres en woonplaatsgegevens te bekomen van de personen op wiens naam deze aanhangwagens werden geregistreerd.
II. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID
4. Krachtens artikel 36bis WVP, "vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging (van het bevoegd sectoraal comité)".
5. Het is de taak van dit Comité om na te gaan “of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft.” (Parl. Doc 50, 2001-2002, nr. 1940/004).
6. In voorliggend geval wordt een elektronische toegang gevraagd tot persoonsgegevens die zich in gegevensbanken bij de FOD Mobiliteit en Vervoer bevinden. Het Comité is derhalve bevoegd.
7. Het Comité stelt vast dat de aanvrager een rechtspersoon is die de informatie nodig heeft om een opdracht te vervullen van algemeen belang die hem is toevertrouwd door of krachtens een wetgeving1 (artikel 18 § 1, 2° van de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen, hierna de “WKBV”).
1 Zie de maatregelen voor het neutraliseren voor een ernstig gevaar voor de verkeersveiligheid vermeld in Richtlijn 2007/46/EG van het Europees Parlement en de Raad van 5 september 2007 tot vaststelling van een kader voor de goedkeuring van motorvoertuigen en aanhangwagens daarvan en van systemen, onderdelen en technische eenheden die voor dergelijke voertuigen zijn bestemd, en artikel 15 § 4 van het Koninklijk besluit houdende algemeen reglement op de technische eisen waaraan de auto's, hun aanhangwagens, hun onderdelen en hun veiligheidstoebehoren moeten voldoen, B.S., 28 maart 1968.
§ 1. FINALITEITSBEGINSEL
8. Artikel 4, § 1, 2°, WVP laat de verwerking van persoonsgegevens slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en de gegevens mogen bovendien niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes gerespecteerd worden bij de verwerkingen die de aanvrager voor ogen heeft.
9. Uit de aanvraag blijkt dat de aanvrager de fabrikant is van de betreffende aanhangwagens.
De aanvrager stelde vast dat bij vier verschillende modellen van aanhangers de dissel te zwak is geconstrueerd, hetgeen een ongeval kan veroorzaken . Hij wenst nu dringend bepaalde gegevens op te vragen bij de DIV om de personen op wiens naam de aanhangwagen staat ingeschreven, hier via een standaardbrief van op de hoogte te brengen en hen uit te nodigen om een herstelling te verrichten bij een lokale (Belgische) dealer.
10. Het Comité is van oordeel dat dit een welbepaald en uitdrukkelijk omschreven doeleinde betreft en het benadrukt dat de gevraagde gegevens enkel met het oog op dit doeleinde mogen verwerkt worden.
11. Ter zake stelt het Comité vast dat artikel 4 WKBV het volgende bepaalt:
"De Kruispuntbank heeft tot doel om enerzijds de opspoorbaarheid van voertuigen te waarborgen (…) en anderzijds om op elk ogenblik de eigenaar ervan, de aanvrager en de titularis van hun inschrijving te identificeren, alsook de gegevens betreffende hun goedkeuring te achterhalen teneinde: (…)
6° de bescherming van de consument te verbeteren; (…)
28° het terugroepen van voertuigen mogelijk te maken in geval van risico voor de verkeersveiligheid, de volksgezondheid of de gebruikers; (…)"
12. De WKBV werd inmiddels uitgevoerd door het Koninklijk Besluit van 8 juli 2013 ter uitvoering van de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de Voertuigen. De aanvrager heeft de gegevens – gelet op het vooropgestelde doeleinde (voorkomen van het risico op ongeval van de betrokken personen, zie randnummer 9) – op korte termijn nodig.
13. De beoogde gegevensverwerkingen zijn ook toelaatbaar, gelet op artikel 5, punt c), van de WVP. Artikel 7, § 2, van de wet van 9 februari 1994 betreffende de veiligheid van producten en diensten (cf. infra randnummer 12) legt producenten immers bepaalde verplichtingen op waardoor de aanvrager in onderhavig geval genoodzaakt is om de gevraagde gegevens te verwerken.
14. Het Comité concludeert aldus dat vandaag een wettelijke basis aanwezig is die een mogelijkheid voorziet voor de aanvrager om in deze context toegang te krijgen tot de gevraagde gegevens.
§ 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens
15. Artikel 4, § 1, 3°, WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes worden nageleefd.
16. In onderhavig geval zal de aanvrager aan de DIV de chassisnummers en aanvullende kenmerken overmaken van de 2879 aanhangwagens.. De totale terugroepactie betreft 2879 aanhangwagens wereldwijd. De DIV zal vervolgens de naam en het adres doorgeven van de persoon op wiens naam de aanhangwagen is ingeschreven.
17. Het Comité is van oordeel dat de persoonsgegevens die door de DIV aan de aanvrager zullen worden toegestuurd, toereikend, ter zake dienend en niet overmatig zijn (cf. artikel 4, § 1, 3°, WVP) in het licht van het doeleinde waarvoor ze zullen worden aangewend.
2.2. Bewaringstermijn van de gegevens
18. Aangaande de bewaringstermijn van de gegevens herinnert het Comité er aan dat de gegevens niet langer bewaard mogen worden dan nodig voor het realiseren van het doeleinde waarvoor ze werden ingezameld (artikel 4, § 1, 5°, WVP).
19. De aanvrager is van plan om een brief te sturen naar de eigenaars van de aanhangwagens.
Het Comité wenst dat van zodra het betreffende probleem verholpen is hun gegevens zouden worden vernietigd. Eigenaars van aanhangwagens die binnen de twee maanden niet gereageerd hebben kunnen een herinneringsbrief toegestuurd krijgen, waarna hun gegevens eveneens zullen verwijderd
20. Het Comité staat er evenwel op dat de aanvrager haar zou melden wanneer het de gegevens effectief vernietigd heeft.
2.3. Frequentie van de toegang en duur van de machtiging
21. De aanvrager stelt dat een éénmalige toegang volstaat. Het Comité constateert dat dit gepast is in het licht van de realisatie van het opgegeven doeleinde (artikel 4, § 1, 3° WVP).
2.4. Bestemmelingen en/ of derden waaraan gegevens worden meegedeeld
22. Volgens de verstrekte informatie zullen de aangeleverde persoonsgegevens bij de aanvrager worden gebruikt. De aanvrager voegt ook een lijst van derden toe (Belgische verdelers van de aanhangwagens).
23. Het Comité stemt in met de werkwijze dat hetzij de aanvrager, hetzij de plaatselijke dealer de betrokkene contacteert, voor zover de gegevens worden verwijderd na gebruikt (zie de randnummers 18, 19 en 20 hiervoor)
§ 3. TRANSPARANTIEBEGINSEL
24. Het Comité herinnert eraan dat een eerlijke verwerking van gegevens een verwerking is die gebeurt op een transparante wijze. Eén van de hoekstenen van een transparante verwerking, betreft de informatieplicht.
25. Het Comité wenst dat de aanvrager in de voorgelegde standaardbrief vermeldt dat de persoonsgegevens door de FOD Mobiliteit, dienst DIV zijn verstrekt. Het Comité vereist dat de betrokkenen in deze mededeling ook worden geïnformeerd over de rechten die hen in de WVP worden toegekend, in het bijzonder het recht om verbetering van de gegevens te vragen.
§ 4. BEVEILIGING
4.1. Op het niveau van de aanvrager
26. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een geschreven veiligheidsbeleid beschikt en dat hij tal van andere technische en organisatorische maatregelen heeft genomen om de veiligheid van de gegevens te waarborgen. Het Comité heeft hier akte van genomen.
27. Het Comité wenst dat de aanvrager alsnog een veiligheidsconsulent aanduidt. Er dient ook een logging van het gebruik van de gegevens door de aanvrager en de derden (verdelers van aanhangwagens) te worden toegepast.
4.2. Op het niveau van de DIV
28. Uit de eerder toegestuurde informatie blijkt dat de DIV beschikt over een consulent inzake informatiebeveiliging en over een algemeen beveiligingsbeleid. Het Comité neemt hiervan akte.
OM DEZE REDENEN, het Comité
machtigt de aanvrager om de gegevensverwerkingen bedoeld in de machtigingsaanvraag, uit te voeren, onder de opschortende voorwaarde dat zowel de DIV als de aanvrager aantonen dat rekening wordt gehouden met de opmerkingen hierboven (zie in het bijzonder randnummers 19, 20, 23, 25 en 27);
beslist dat de toegang tot de gegevens éénmalig is en beperkt dient te worden tot de lijst van 2879 aanhangwagens die de aanvrager aan het Comité heeft overgemaakt.
De Administrateur f.f., De Voorzitter,
(get.) An Machtens (get.) Stefan Verschuere
