Advies nr. 131/2019 van 3 juli 2019
Betreft: Ontwerp van Besluit van de Waalse Regering tot invoeging in het Waals Wetboek van Sociale Actie en Gezondheid van bepalingen betreffende de collectieve huisvesting van personen in langdurige moeilijkheden (CO-A-2019-134)
De Gegevensbeschermingsautoriteit (hierna "de Autoriteit");
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikel 23 en 26 (hierna “WOG”);
Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (hierna "AVG")
Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG");
Gelet op de adviesaanvraag van Mevrouw Alda Greoli, Viceminister-president en Minister van Sociale Actie, Gezondheid, Gelijke kansen, Openbaar ambt en Administratieve Vereenvoudiging, ontvangen op 17 mei 2019;
Gelet op het verslag van Mevrouw Alexandra Jaspar, Directeur van het Kenniscentrum van de Gegevensbeschermingsautoriteit;
Brengt op 3 juli 2019 het volgend advies uit:
I. ONDERWERP VAN DE AANVRAAG
1. Het ontwerp van Besluit van de Waalse Regering tot invoeging in het Waals Wetboek van Sociale Actie en Gezondheid van bepalingen betreffende de collectieve huisvesting van personen in langdurige moeilijkheden (hierna "ontwerp van besluit") regelt de voorwaarden en nadere regels voor de toekenning en intrekking van de erkenningsaanvraag die door het decreet van 29 maart 2018 wordt opgelegd aan1 elk huis voor collectieve huisvesting.
2. Het ontwerpbesluit voorziet in de gegevensverwerking van werknemers of toekomstige werknemers en bewoners van huizen voor collectieve huisvesting via het aanvraagdossier voor erkenning als huis voor collectieve huisvesting (art. 1968 en bijlage 139) ; het register van bewoners (art. 1972) ; het formulier " projet de vie " (bijlage 141) ; het formulier dat is opgesteld tussen bewoners en inrichtingen (bijlage 140) ; het klachtenformulier (art. 1980) en het huishoudelijk reglement (bijlage 142). Deze gegevens worden gedeeld met de Agence wallonne de la santé, de la protection sociale, du handicap et des familles (hierna "het Agentschap" opgericht door artikel 2 van het Waalse Wetboek van Sociale Actie en Gezondheid.
II. ONDERZOEK VAN DE ADVIESAANVRAAG
Verwerkingsverantwoordelijke als bedoeld in artikel 4.2.(7) van de AVG
3. De verwerkingsverantwoordelijke voor de verwerking van de persoonsgegevens wordt niet vermeld in het ontwerpbesluit. De Autoriteit beveelt aan dat de verwerkingsverantwoordelijke duidelijk wordt aangewezen in het ontwerpbesluit en dat de verdeling van de verantwoordelijkheden tussen het Agentschap en de huizen voor collectieve huisvesting in het ontwerpbesluit wordt vermeld om ervoor te zorgen dat elke actor zich aan de regels houdt en om de uitoefening van de in de artikelen 15 tot en met 22 van de AVG vastgelegde rechten te vergemakkelijken.
1 Decreet van 29 maart 2018 tot invoeging van bepalingen betreffende de collectieve huisvesting van personen in langdurige moeilijkheden in het Waalse Wetboek van Sociale Actie en Gezondheid, artikel 694/15 en volgende
Aard van de gegevens, doeleinden en proportionaliteit van de verwerkingen van persoonsgegevens.
4. De Autoriteit is van mening dat de persoonsgegevens die worden vermeld in het aanvraagdossier voor de erkenning van een huis voor collectieve huisvesting (artikel 1968 en bijlage 139) ; het register van bewoners (artikel 1972) ; het formulier dat tussen bewoners en inrichtingen is opgesteld (bijlage 140) ; het klachtenformulier (art. 1980) en het huishoudelijk reglement (bijlage 142) noodzakelijk, pertinent en niet overmatig zijn in het licht van de doeleinden van de verwerking2.
5. De categorieën persoonsgegevens « profil(s) des résidents » (bewonersprofielen) en« origine(s) géographique (geografische oorsprong) ingezameld via het formulier « projet de vie » van bijlage 141 worden niet voldoende precies omschreven om te begrijpen welke categorieën persoonsgegevens worden gevraagd en voor welke doeleinden. Bijgevolg kan de Autoriteit zich niet uitspreken over de proportionaliteit van de gegevensverwerkingen. Deze categorieën gegevens moeten worden verduidelijkt en het doeleinde van de verwerking ervan moet worden opgehelderd.
6. In ieder geval kan de gegevenscategorie « origine(s) géographique » zoals zij thans is geformuleerd, potentieel worden beschouwd als een gegeven dat het "ras of etnische afkomst onthult" en bijgevolg behoort tot de bijzondere categorieën gegevens in de zin van artikel 9 van de AVG. De verwerking van deze bijzondere categorie gegevens heeft in het ontwerp van besluit bovendien betrekking op kwetsbare personen (personen in langdurige moeilijkheden).
Deze twee criteria (verwerking van bijzondere categorie gegevens en kwetsbare personen) worden vermeld in de Aanbeveling 01/2018 van de Autoriteit als een hoog risico vormend dat een gegevensbeschermingseffectbeoordeling vereist in de zin van artikel 35.1 van de AVG . Bij de uitvoering van deze gegevensbeschermingseffectenbeoordeling moet het advies worden ingewonnen van de functionaris voor gegevensbescherming (art. 35.2 van de AVG). Zij moet minstens de volgende elementen bevatten (art. 35.7 van de AVG):
a) "een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd;
2 Zoals aangegeven in het voorontwerp van besluit, en in overeenstemming met het decreet van 29 maart 2018 tot invoeging van bepalingen betreffende de collectieve huisvesting van personen in langdurige moeilijkheden in het Waalse Wetboek van Sociale Actie en Gezondheid, zijn de belangrijkste doelstellingen van het voorontwerp (vrije vertaling) "de bescherming van de gezondheid, de veiligheid en het welzijn van de bewoners van huizen voor collectieve huisvesting" en " de AViQ (Agence pour une vie de qualité) in staat stellen om de wettelijke normen in deze inrichtingen te controleren.
b) een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden;
c) een evaluatie van de in lid 35.1 bedoelde risico's voor de rechten en vrijheden van betrokkenen; en
d) de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie".
Bewaartermijn
7. In het ontwerp van besluit wordt in geen enkele bewaartermijn voorzien voor de verwerkte persoonsgegevens. Overeenkomstig het beginsel van artikel 5, 1, e) van de AVG dient de aanvrager een bewaartermijn te bepalen en deze termijn te verantwoorden.
Transparantie
8. De Autoriteit herinnert eraan dat de verwerkingsverantwoordelijke conform artikel 12 AVG de betrokkenen dient te informeren over de verwerkingen van hun persoonsgegevens. Voor de gegevens die rechtstreeks bij de betrokkene worden verzameld (bijvoorbeeld via de formulieren), zal de in artikel 13 van de AVG opgesomde informatie moeten meegedeeld worden. Indien de gegevens onrechtstreeks worden verzameld, moet de in artikel 14 van de AVG vermelde informatie worden verstrekt.
9. Artikel 1980 bepaalt dat de bewoners een klacht kunnen indienen bij het Agentschap (vrije vertaling) « via een formulier dat toegankelijk is op de website van het Agentschap en automatisch wordt doorgestuurd naar de betrokken dienst Gezien de mogelijk schadelijke gevolgen die deze verwerking voor de ingezetene/klager zou kunnen hebben, moedigt de Autoriteit de aanvrager in het bijzonder aan om, zoals voorgeschreven in artikel 13 van de AVG, de identiteit te preciseren van de ontvangers van de gegevens die via het klachtenformulier worden doorgegeven en de doeleinden van de verwerking van deze gegevens in bijlage 142 en het online beschikbare formulier te vermelden.
Beveiliging
10. Alle uitwisselingen van gegevens en met name die bedoeld in artikel 1972, dat verwijst naar artikel 694/25 van het Waalse wetboek van sociale actie en gezondheid, (datum van het verzoek, de
naam van de persoon en de reden waarom huisvesting werd geweigerd) en in artikel 1980 (klacht bij het Agentschap) moeten worden omkaderd door organisatorische en technische beveiligingsmaatregelen naargelang van de risico's die de verwerkingen met zich meebrengen, in overeenstemming met het beginsel van artikel 32 van de AVG.
OM DIE REDENEN, de Autoriteit
De Autoriteit eist dat de aanvrager in het ontwerp van besluit van de Waalse Regering tot invoeging in het Waals Wetboek van Sociale Actie en Gezondheid van bepalingen betreffende de collectieve huisvesting van personen in langdurige moeilijkheden, rekening houdt met de volgende opmerkingen :
- Punt 3, de aanwijzing van de verwerkingsverantwoordelijke als bedoeld in artikel 4.2.(7) van de AVG;
- Punten 5-6, de categorieën gegevens « profil(s) des résidents » en « origine(s) géographique »die vermeld worden in bijlage 141 verduidelijken en, gezien de gevoelige aard van de verwerkte gegevens en de kwetsbare situatie van de betrokken personen, overgaan tot een gegevensbeschermingseffectbeoordeling in de zin van artikel 35.1 van de AVG;
- Punt 7, de bewaartermijn van de gegevens vermelden en motiveren;
- Punt 8, de betrokkenen informeren overeenkomstig artikelen 12, 13, 14 van de AVG;
- Punt 10, de beveiligingsmaatregelen waarvan sprake in artikel 32 van de AVG invoeren.
(get.) An Machtens (get.) Alexandra Jaspar
Wnd. Administrateur Directeur van het Kenniscentrum
