De Commissie voor de bescherming van de persoonlijke levenssfeer
Beraadslaging STAT nr 09/2013 van 2 april 2013
Betreft: aanvraag van de Université de Liège (ValoRH) om vanwege de Algemene Directie Statistiek en Economische Informatie gecodeerde studiegegevens te ontvangen uit de enquête naar de arbeidskrachten (EAK) 2013 voor een beter begrip van het concept “flexicurity” (STAT-MA-2013/002)
De Commissie voor de bescherming van de persoonlijke levenssfeer (hierna "de Commissie");
Gelet op de wet van 4 juli 1962 betreffende de openbare statistiek (hierna "wet openbare statistiek");
Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna "WVP");
Gelet op het koninklijk besluit van 13 februari 2001 ter uitvoering van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna "koninklijk besluit van 13 februari 2001");
Gelet op het koninklijk besluit van 7 juni 2007 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van het Statistisch Toezichtscomité opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer;
Gelet op de aanvraag van Université de Liège (ValoRH) ontvangen op 12/02/2013;
Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Economie, KMO, Middenstand en Energie (Algemene Directie Statistiek en Economische Informatie) op 13/02/2013;
Gelet op het technisch en juridisch advies ontvangen op 26/03/2013;
Gelet op het verslag van de Voorzitter;
Beslist op 2 april 2013, na beraadslaging, als volgt:
I. ONDERWERP VAN DE AANVRAAG
1. De aanvrager wenst vanwege de Algemene Directie Statistiek en Economische Informatie (hierna ADSEI) gecodeerde studiegegevens te ontvangen uit de enquête naar de arbeidskrachten 2013.
2. De aanvraag strekt er tevens toe het vertrouwelijkheidscontract goed te keuren dat tussen de partijen moet worden afgesloten.
II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING
Wet openbare statistiek
3. Krachtens de artikelen 15 en 15bis van de statistiekwet, is het Statistisch Toezichtscomité bevoegd om enerzijds de doorgifte te machtigen van gecodeerde studiegegevens door ADSEI aan de bestemmelingen, vermeld in de statistiekwet en anderzijds om het vertrouwelijkheidscontract goed te keuren dat tussen de betrokken partijen wordt afgesloten.
4. Artikel 16 van het voormeld koninklijk besluit van 7 juni 2007 bepaalt dat de Commissie wordt belast met de opdrachten van het Statistisch Toezichtscomité tot aan de installatie en benoeming van de leden van dit comité.
De WVP en het KB van 13 februari 2001
. . . . . .
5. Op grond van artikelen 1, § 1, en 3, § 1 van de WVP en artikel 1, 3° van het KB van 13 februari 2001 zijn gecodeerde studiegegevens betreffende geïdentificeerde of identificeerbare personen, persoonsgegevens waarvan de verwerking slechts mag gebeuren onder de in de WVP en het KB van 13 februari 2001 gestelde voorwaarden1.
B. WETTELIJKE BASIS VAN DE AANVRAAG
6. De aanvrager staat vermeld tussen de limitatief opgesomde ontvangers in artikel 15 van de statistiekwet.
7. Onder deze ontvangers worden inderdaad in het 1ste lid, 4° de natuurlijke- of rechtspersonen vermeld die onder de opgesomde voorwaarden een wetenschappelijk doel nastreven.
8. De aanvrager kan dus een machtigingsaanvraag indienen om de bedoelde gegevens te ontvangen.
C. DOELEINDEN
9. Persoonsgegevens moeten worden verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (art. 4, §1, 2° van de WVP).
10. De gevraagde gegevens zijn bestemd voor het onderzoekproject ARC (Actions de Recherche Concertées) met als hoofddoel het concept flexicurity te begrijpen door ze op verschillende niveaus te bekijken. Het project zal hoofdzakelijk de verwachtingen van de werknemers bepalen inzake flexibiliteit op het werk en werkzekerheid (vertrekkende vanuit verschillende taxonomies van indicatoren afkomstig uit de wetenschappelijke literatuur zoals de arbeidstijd, werkruimte, arbeidsovereenkomst, werkstabiliteit,…). Ook wordt een beter begrip nagestreefd van de onderliggende mechanismen inzake de professionele doorstroming en het professioneel traject en hoe deze verzekerd zijn.
11. Aangaande de verschillende niveaus: allereerst zal een team arbeidspsychologen (ValoRH) op individueel niveau via een reeks interviews, de individuele verwachtingen van de werknemers inzake werkflexibiliteit en werkzekerheid empirisch verkennen. Deze gesprekken
1 Volgens artikel 1, 3° van het KB van 13 februari 2001 tot uitvoering van de wet voor de bescherming van persoonlijke levenssfeer evenals de Memorie van toelichting van de wet van 11 december 1998 tot omzetting van de Richtlijn 95/46/EB van 24 oktober 1995 van het Europees parlement en de Raad betreffende de bescherming van de natuurlijke personen ten aanzien van de verwerking van persoonsgegevens en het vrije verkeer van die gegevens, 1566/1, 97/98, blz. 12, “Ook gecodeerde informatie waarbij door de verantwoordelijke voor de verwerking zelf niet kan nagegaan worden op welk individu de informatie betrekking heeft, vermits hij niet in het bezit is gesteld van de daarvoor noodzakelijke sleutels, wordt derhalve als « persoonsgegevens» beschouwd indien de identificatie nog door iemand anders kan verricht worden”.
vormen de basis voor een kwantitatieve vragenlijst die op zijn beurt een empirische basis zal zijn voor een dieper onderzoek van de flexicurity-inrichting binnen ondernemingen.
Vervolgens zal dit project op organisatorisch niveau een gedetailleerd en longitudinaal onderzoek verrichten (via semi gestructureerde interviews, observaties, documentaire analyse,…) naar een twaalftal privé-initiatieven (in België en Europa) waarbij fexibiliteit en zekerheid op organisatorisch niveau met elkaar kunnen worden verzoend. Er wordt voorkeur gegeven aan de initiatieven rond professionele doorstroming. De onderzoekers zullen onderzoeken in welke mate deze initiatieven al of niet voldoen aan de flexibiliteits- zekerheidsbehoeften van de verschillende betrokken partijen. Om te eindigen wordt onderzoek verricht op institutioneel niveau. Een team sociologen van het CRIS (sociologie van acties van de overheid en problemen op het werk) zal een studie uitvoeren dat een groot aantal actoren zal positioneren die belast zijn met de uitvoering van het werkgelegenheidsbeleid: intermediaire actoren, syndicale en patronale organisaties, ministeries en overheidsagentschappen, verantwoordelijken voor de instroommechanismen, gebruikers, … De bevraging zal meer precies handelen over de rol van de tussenpersonen op de arbeidsmarkt: hoe slagen zij er in om de in- en uitstroom op de arbeidsmarkt vlot te laten verlopen en de job doorstroom te verzekeren?
12. Deze welbepaalde doeleinden zijn in overeenstemming met de voormelde vereisten van de WVP.
13. Artikel 15 van de Statistiekwet bepaalt dat gecodeerde gegevens moeten worden meegedeeld voor wetenschappelijke of statistische doeleinden. Volgens de beheersinstelling is het doeleinde uitsluitend statistisch, nl het gebruiken van enquêtegegevens voor een beter begrip van het fenomeen flexicurity. De Commissie volgt dit advies en bevestigt dat de voormelde doeleinden de finaliteitsvereisten van de WVP en de Statistiekwet eerbiedigen.
D. PROPORTIONALITEIT De gevraagde gegevens
14. De gevraagde gegevens zijn de gegevens uit de enquête naar de arbeidskrachten (EAK) 2013.
De meegedeelde gegevens zullen betrekking hebben op:
- Berekende variabelen:
o Professioneel statuut (werkloos/actief/inactief) - Onafhankelijke variabelen
o Leeftijd
o Geslacht - Contextuele variabelen:
o Gezinssamenstelling
o Regio of provincie (van verblijfplaats en werkplaats) o Nationaliteit (3 categorieën)
- Identificatievariabelen
o Hoofdactiviteit en nevenactiviteit o Inkomens
o onderwijsniveau - Flexicurity variabelen
o hoofdactiviteit en bijkomende activiteit (arbeidsbemiddelingsinstellingen)
o hoofdactiviteit en bijkomende activiteit (type contract, stabiliteit, tijdelijke arbeid)
o hoofdactiviteit en bijkomende activiteit (voltijds, deeltijds) o hoofdactiviteit en bijkomende activiteit
o duur van de hoofdactiviteit o tweede job
o bijzonder uurrooster in de referentiemaand (regeling van de werkuren, bijzondere uurroosters)
o wensen ten aanzien van de job (compromis)
o werkloze personen of personen in volledige loopbaanonderbreking (gezin) o gezocht werk (compromis)
o zoeken naar ander werk (doorstroming)
o personen zonder werk of in volledige loopbaanonderbreking (of tijdskrediet) langer dan 3 maanden (doorstroming)
Noodzaak van het verkrijgen van de gecodeerde gegevens
15. De onderzoeker mag enkel de gecodeerde persoonsgegevens ontvangen indien de verwerking van anonieme gegevens niet de mogelijkheid biedt de statistische of wetenschappelijke doeleinden die hij betracht, te verwezenlijken (artikel 4 van de WVP).
16. Alleen aan de hand van gecodeerde individuele persoonsgegevens kan hier een zeer gedetailleerd onderzoek plaatsvinden.
17. De onderzoeker heeft bijgevolg de gevraagde gecodeerde persoonsgegevens nodig. Een mededeling van zuiver anonieme gegevens volstaat hier niet.
18. De doeleinden rechtvaardigen bijgevolg de verwerking van gecodeerde persoonsgegevens.
Het aantal gegevens
19. Het bewijs hiervoor werd algemeen geformuleerd.
20. Volgens het technisch en juridisch advies, beantwoorden de gegevens perfect aan de doelstellingen van het onderzoek en dit zou moeten leiden tot een beter begrip van het concept flexicurity. Alle gevraagde variabelen staan in rechtstreeks verband met het doel van het onderzoek.
21. De Commissie sluit zich bij dit advies aan en beschouwt de gevraagde gegevens als toereikend, ter zake dienend en niet overmatig (artikel 4, §1, 3° van de WVP).
Frequentie van de gegevensverstrekking
22. De gecodeerde gegevens zullen verstrekt worden nadat het vertrouwelijkheidcontract werd afgesloten.
23. De gegevens van het eerste trimester 2013 zijn onmiddellijk beschikbaar (in de loop van de maand juni naargelang de beheersinstelling). Daarna zullen de gegevens driemaandelijks geleverd worden evenals een jaarlijks bestand van zodra het werd gevalideerd, zodat de aanvrager kan beschikken over eventueel herziene gegevens.
Bewaartermijn van de gegevens
24. De persoonsgegevens mogen niet langer bewaard worden dan de tijd die nodig is om de doeleinden te verwezenlijken waarvoor die gegevens werden verkregen en verder worden verwerkt (artikel 4, §1, 5° van de WVP).
25. De aanvrager wenst de informatie gedurende 4 jaar te bewaren, te rekenen vanaf hun levering. De bewaartermijn van de gegevens is beperkt tot de noden van het onderzoek. De ADSEI gaat met deze termijn akkoord en de Commissie sluit zich hierbij aan.
26. Eens de bewaartermijn van 4 jaar is verstreken, te rekenen vanaf de levering van de gegevens moet de aanvrager de gegevens volledig vernietigen. Het is niet toegestaan om de deze gecodeerde studiegegevens nog verder te gebruiken voor dezelfde doeleinden behalve
als er een verlenging werd overeengekomen. Wanneer de doeleinden zijn verwezenlijkt vòòr het verstrijken van deze termijn, moet de aanvrager de gegevens en back-ups vernietigen zodra de doeleinden zijn verwezenlijkt.
E. AANGIFTE
27. De aanvrager moet vooraleer hij begint met de verwerking van de bedoelde gecodeerde gegevens, daarvan aangifte doen bij de Commissie (art. 17 van de WVP).
F. BEVEILIGING
28. De onderzoeker moet instaan voor de bescherming en de beveiliging van de verstrekte onderzoeksgegevens (art. 16 van de WVP en 15bis van de Statistiekwet).
29. Uit het evaluatieformulier blijkt dat:
1. de aanvrager geen consulent inzake informatiebeveiliging heeft aangesteld;
2. werd verwezenlijkt:
identificatie van de diverse dragers waarbij persoonsgegevens betrokken zijn;
informatie aan het personeel over hun plichten inzake vertrouwelijkheid en beveiliging;
de invoering van beveiligingsmaatregelen ter verhindering van niet-gemachtigde of onnodige fysieke toegang tot de dragers die persoonsgegevens bevatten;
beveiligingsmaatregelen ter bescherming van de verschillende netwerken waarmee de apparatuur die persoonsgegevens verwerkt is verbonden;
ter beschikking houden van een actuele lijst van de verschillende bevoegde personen die toegang hebben tot de persoonsgegevens en van hun respectievelijk toegangsniveau;
een mechanische voor toegangsmachtiging op de informatiesystemen zodat de persoonsgegevens en de verwerkingen die er betrekking op hebben enkel toegankelijk zijn voor de personen en toepassingen die hiervoor uitdrukkelijk gemachtigd zijn;
een informatiesysteem dat permanente registreert wie toegang heeft gehad tot de persoonsgegevens;
controle van de geldigheid en de doeltreffendheid in de tijd van de ingestelde organisatorische en technische maatregelen ter garantie van de beveiliging van de persoonsgegevens;
3. werden niet verwezenlijkt:
een geschreven versie van het beveiligingsbeleid waarin het beveiligingsbeleid inzake persoonsgegevensbescherming werd geïntegreerd (de verwezenlijking is lopende);
evaluatie van de risico’s en de eigen beveiligingsbehoeften;
invoering van maatregelen ter verhindering van elke fysieke schade die de persoonsgegevens in gevaar kunnen brengen;
invoering van urgentieprocedures bij beveiligingsincidenten waarbij persoonsgegevens betrokken zijn;
Een bijgewerkte documentatie betreffende de beveiligingsmaatregelen (in verwezenlijking).
Verantwoordelijke natuurlijke persoon
30. De identiteit van de verantwoordelijke, natuurlijke persoon werd meegedeeld. Deze persoon is verantwoordelijk voor de naleving van alle wettelijke, reglementaire en contractuele verplichtingen m.b.t. bescherming van de privacy en de bepalingen van onderhavige beslissing van de Commissie. Hij is eveneens verantwoordelijk voor de daadwerkelijke controle van het rechtmatig gebruik van de verstrekte gegevens. Hij moet er ook persoonlijk op toezien dat de gegevens worden vernietigd eens de statistische resultaten werden behaald of na afloop van de bewaartermijn van de gegevens.
Scheiding van de andere verwerkingen
31. De onderzoeker moet de gegevensverwerking waarvan hier sprake is, apart houden van eventuele andere gegevensverwerkingen waarvoor hij de verantwoordelijke zou zijn.
Verbod op decodering
32. De onderzoeker verbindt er zich contractueel toe om alles in het werk te stellen zodat de identiteit van de personen waarop de gegevens betrekking hebben, niet achterhaald kan worden. Volgens de beheersinstelling is het risico op identificatie onbestaande.
Koppelverbod
33. De onderzoeker mag niets ondernemen om de verkregen persoonsgegevens te koppelen aan gegevens die hij reeds in het kader van andere machtigingen verkreeg.
Vertrouwelijkheid
34. De aanvrager verbindt er zich toe om de vertrouwelijkheid van de studiegegevens te bewaren en waakt erover dat die gegevens uitsluitend gebruikt worden door zijn persoonsleden voor het bedoelde onderzoek. Het evaluatieformulier vermeldt dat het personeel is ingelicht over hun plichten inzake vertrouwelijkheid en beveiliging.
G. ANDERE GEBRUIKSVOORWAARDEN Verspreiding van de resultaten
35. De onderzoeker moet ervoor zorgen dat, na analyse en gebruik van de gegevens, de gepubliceerde resultaten anoniem en globaal blijven, zodat de persoonsgegevens er niet rechtstreeks of onrechtstreeks uit geïdentificeerd kunnen worden.
36. Ten minste 15 dagen voor de verspreiding moet de onderzoeker de resultaten voorleggen aan de ADSEI die dan eventueel de verspreiding kan verbieden. De term "verspreiding"
moet in brede zin worden begrepen want houdt rekening met de evolutie in de informatiemaatschappij en omvat elke schriftelijke, mondelinge of online verspreiding.
Controle
37. De aanvrager stemt er uitdrukkelijk mee in dat vertegenwoordigers van de Commissie altijd en zonder voorafgaande ingebrekestelling toegang krijgen tot de lokalen en tot de informatica-infrastructuur waar de verstrekte gegevens worden bewaard om na te gaan of de bepalingen van de voorliggende machtiging en van de wet openbare statistiek en haar uitvoeringsbesluiten, alsook de bepalingen van het vertrouwelijkheidscontract worden uitgevoerd.
38. Op eenvoudig verzoek kan de Commissie toegang krijgen tot andere lokalen en ICT- systemen om te controleren of er geen inbreuk gepleegd wordt op de bepalingen van de beslissing van de Commissie en de wet openbare statistiek en haar uitvoeringsbesluit en de bepalingen van het vertrouwelijkheidscontract.
Onderzoek zoals bedoeld in artikel 15, 1ste lid, 4° van de statistiekwet
39. De aanvraag omschrijft uitdrukkelijk onderzoeksmethodes en -normen die de onderzoeker zal hanteren. Het onderzoek wordt verricht overeenkomstig de geldende wetenschappelijke criteria en aan de hand van gepaste onderzoeksmethodes.
Onderaanneming
40. Bij onderaanneming vereist artikel 16 van de WVP dat er een contract wordt afgesloten waarin de beveiligingsmaatregelen worden vermeld evenals de punten bedoeld in dit artikel.
III. VETROUWELIJKHEIDSCONTRACT
41. De studiegegevens worden aan de onderzoeker verstrekt krachtens een vertrouwelijkheidscontract dat werd afgesloten met de ADSEI.
42. Het vertrouwelijkheidscontract, bijgevoegd aan de aanvraag voor mededeling van gegevens, stelt de voorwaarden vast waaronder ADSEI de gegevens mag verstrekken waarvan de onderzoeker zal gebruik maken.
43. Het vertrouwelijkheidscontract bevat tenminste de wettelijk verplichte vermeldingen zoals bepaald in artikel 15bis van de statistiekwet, waaronder de duur van het vertrouwelijkheidscontract, in dit geval 4 jaar. Dit betekent geenszins dat na afloop van het contract de vertrouwelijkheid van de gegevens zelf mag verbroken worden. Die vertrouwelijkheid moet onbeperkt in de tijd worden nageleefd.
44. De contractuele bepalingen inzake privacy en vertrouwelijkheid maken integraal deel uit van onderhavige beslissing waardoor ook de personen vreemd aan het vertrouwelijkheidscontract zich kunnen wenden tot de Commissie om te laten controleren of de voorwaarden waaronder de onderzoeker de gegevens mag gebruiken, worden nageleefd.
IV. ALGEMEEN BESLUIT
45. De onderzoeker dient bij de verwerking van de verkregen persoonsgegevens rekening te houden met de WVP, de wet openbare statistiek, hun uitvoeringsbesluiten en elke andere wettelijke of reglementaire bepaling tot bescherming van de persoonlijke levenssfeer, de
bepalingen van de onderhavige beslissing van de Commissie, en de bepalingen van het vertrouwelijkheidscontract tussen ADSEI en de onderzoeker.
V. SPECIFIEK BESLUIT
46. De Commissie oordeelt dat:
de aanvrager een wettelijke grond heeft om de gevraagde studiegegevens op te vragen (zie de punten 6 tot en met 8);
dat het toegelaten is dat de ADSEI de gevraagde studiegegevens verstrekt aan de aanvrager (zie punt 15) voor de verwezenlijking van de geplande doeleinden (zie punten 10 en 11);
de bewaartermijn van de gegevens en dus de duur van het vertrouwelijkheidscontract is beperkt tot 4 jaar te rekenen vanaf de levering van de gegevens door ADSEI, termijn waarin de vertrouwelijkheid van de gegevens zelf onbeperkt in de tijd moeten worden geëerbiedigd;
na het onderzoek mogen de gegevens uitsluitend na afdoende aggregatie gepubliceerd worden.
OM DIE REDENEN, De Commissie
Machtigt de Algemene Directie Statistiek en Economische Informatie om onder de voormelde voorwaarden aan de Université de Liège (ValoRH) de bovenvermelde persoonsgegevens te verstrekken.
Keurt het bijhorend vertrouwelijkheidscontract goed.
De Wnd. Administrateur, De Voorzitter,
(get.) Patrick Van Wouwe (get.) Willem Debeuckelaere
