1/4
Advies nr. 154/2018 van 19 december 2018
Betreft: Adviesaanvraag betreffende een voorontwerp van ordonnantie met betrekking tot de overname van de bevoegdheden Gezondheid en Bijstand aan personen door de bicommunautaire Dienst voor Gezondheid, Bijstand aan Personen en Gezinsbijslag, en tot wijziging van de ordonnantie van 23 maart 2017 houdende de oprichting van de bicommunautaire Dienst voor Gezondheid, Bijstand aan Personen en Gezinsbijslag (CO-A-2018-133).
De Gegevensbeschermingsautoriteit (hierna "de Autoriteit");
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikel 23 en 26 (hierna de "WOG");
Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (hierna AVG)
Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG");
Gelet op de adviesaanvraag van de heer Didier Gosuin, lid van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie belast met Gezondheidsbeleid, Openbaar Ambt, Financiën, Begroting, Patrimonium en Externe Betrekkingen, ontvangen op 15 oktober 2018;
Gelet op het verslag van de heer Joël Livyns;
Advies 154/2018 - 2/4
Brengt op 19 december 2018 het volgend advies uit:
I. ONDERWERP VAN DE ADVIESAANVRAAG
1. Momenteel wordt een groot deel van de opdrachten van Iriscare op federaal niveau vervuld door het Rijksinstituut voor Ziekte- en Invaliditeitsverzekering en onrechtstreeks door de federale overheidsdiensten Sociale Zekerheid, Volksgezondheid en Economie. Sommige andere opdrachten van Iriscare worden beheerd door de diensten van het Verenigd College.
De doelstelling van het voorontwerp van ordonnantie met betrekking tot de overname van de bevoegdheden Gezondheid en Bijstand aan personen door de bicommunautaire Dienst voor Gezondheid, Bijstand aan Personen en Gezinsbijslag, en tot wijziging van de ordonnantie van 23 maart 2017 houdende de oprichting van de bicommunautaire Dienst voor Gezondheid, Bijstand aan Personen en Gezinsbijslag (hierna "het voorontwerp van ordonnantie") bestaat dus uit de effectieve uitoefening vanaf 1 januari 2019, door de beheersorganen van Iriscare van de opdrachten die hen werden verleend.
II. ONDERZOEK TEN GRONDE
2. Het voorontwerp van Ordonnantie noopt niet tot bijzondere opmerkingen op het gebied van de bescherming van persoonsgegevens behalve wat betreft de verantwoordelijkheden inzake bescherming van persoonsgegevens, en de artikelen 16 en 29.
Verantwoordelijkheid voor de verwerkingen van persoonsgegevens
3. Het voorontwerp definieert niet expliciet wie de verwerkingsverantwoordelijke is in de zin van artikel 4.1.7 van de AVG. Het is onontbeerlijk dat de tekst duidelijk vermeldt welk orgaan verantwoordelijk is voor de bedoelde gegevensverwerkingen.
Artikel 16
4. De Memorie van Toelichting bij artikel 16 van het voorontwerp van ordonnantie stelt dat het Multidisciplinair college belast met het behandelen van dossiers met persoonsgegevens inzake gezondheid de nadere regels zal vastleggen voor de verwerking van deze dossiers. De voetnoot « lxxxiii » verwijst naar de opgeheven wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. De
Advies 154/2018 - 3/4
door het Multidisciplinair college opgestelde regels zullen de bepalingen van de AVG moeten eerbiedigen, met inbegrip van artikel 5 (rechtmatigheid, redelijkheid en transparantie, doelbeperking, gegevensminimalisering, accuraatheid, integriteit en vertrouwelijkheid, opslagbeperking en verantwoordingsplicht) en de rechten van de betrokkenen van hoofdstuk III van de AVG. Er dient eveneens rekening te worden gehouden met de Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG"»), ) en in het bijzonder artikel 9. Artikel 9 van de WVG verplicht de verwerkingsverantwoordelijke en verwerkers in voorkomend geval:
- om de categorieën personen die toegang hebben tot de persoonsgegevens aan te duiden met een nauwkeurige omschrijving van hun functie in de bedoelde gegevensverwerking;
- de lijst van de aldus aangewezen categorieën van personen ter beschikking te houden van de bevoegde toezichthoudende autoriteit;
- erover te waken dat de aangeduide personen krachtens een wettelijke of statutaire verplichting of gelijkaardige contractuele bepaling, de vertrouwelijkheid van de gegevens moeten bewaren.
Artikel 9(2) van de AVG vermeldt de rechtsgronden op basis waarvan gegevens over gezondheid kunnen worden verwerkt.
Artikel 29
5. Artikel 29, 2de lid van het voorontwerp van ordonnantie bepaalt dat « Voor opdrachten van Iriscare mag de facturatie elektronisch verlopen. Voor opdrachten van Iriscare mag de gegevensinvoer via informaticatoepassingen die hiervoor werden gecreëerd verlopen». De Autoriteit herinnert eraan dat de elektronische facturatie en gegevensinvoer de veiligheidsvereisten moeten eerbiedigen van artikel 32 van de AVG. Bovendien, hoewel de gegevensinvoer effectief wordt verricht aan de hand van elektronische toepassingen, zal het onontbeerlijk zijn de rol te bepalen van alle actoren van dit ecosysteem (verwerkingsverantwoordelijke; verwerker; gezamenlijke verwerkingsverantwoordelijken) en zich te verzekeren van de naleving van de van kracht zijnde bepalingen door ieder van hen.
Advies 154/2018 - 4/4
OM DIE REDENEN, de Autoriteit,
brengt een gunstig advies uit over het voorontwerp van ordonnantie met betrekking tot de overname van de bevoegdheden Gezondheid en Bijstand aan personen door de bicommunautaire Dienst voor Gezondheid, Bijstand aan Personen en Gezinsbijslag, en tot wijziging van de ordonnantie van 23 maart 2017 houdende de oprichting van de bicommunautaire Dienst voor Gezondheid, Bijstand aan Personen en Gezinsbijslag, op voorwaarde dat rekening wordt gehouden met de opmerkingen die geformuleerd werden in de punten 3, 4 en 5.
De Wnd. Administrateur, De Voorzitter,
(get.) An Machtens (get.) Willem Debeuckelaere
