Advies nr. 99/2019 van 3 april 2019 Betreft:

Advies nr. 99/2019 van 3 april 2019

Betreft: Advies betreffende

- een ontwerp van koninklijk besluit

tot wijziging van diverse koninklijke besluiten met betrekking tot het netwerk van de sociale zekerheid

- een ontwerp van koninklijk besluit

tot wijziging van het koninklijk besluit van 16 januari 2002 tot uitbreiding van het netwerk van de sociale zekerheid tot sommige overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten, met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid

(CO-A-2019-051)

De Gegevensbeschermingsautoriteit (hierna "de Autoriteit");

Gelet op de wet van 3 december 2017

tot oprichting van de Gegevensbeschermingsautoriteit,

inzonderheid op artikelen 23 en 26 (hierna “WOG”);

Gelet op deVerordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016

betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG

(hierna “AVG”);

Gelet op de wet van 30 juli 2018

betreffende de bescherming van natuurlijke personen met betrekking

tot de verwerking van persoonsgegevens

(hierna “WVG”);

Gelet op het verzoek om advies van mevrouw Maggie De Block, Minister van Sociale Zaken en Volksgezondheid, ontvangen op 24/01/2019;

Gelet op een eerste bespreking van het dossier op de plenaire vergadering van de Autoriteit op 20/03/2019;

Gelet op een herwerkte versie van het ontwerp van koninklijk besluit

tot wijziging van het koninklijk besluit van 16 januari 2002 tot uitbreiding van het netwerk van de sociale zekerheid tot sommige overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten, met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid

, ontvangen op 28/03/2019;

Gelet op het verslag van de heer Willem Debeuckelaere;

Brengt op 3 april 2019 het volgend advies uit:

I. VOORWERP VAN DE ADVIESAANVRAAG

1. Minister van Sociale Zaken en Volksgezondheid (hierna de aanvrager) verzoekt om het advies van de Autoriteit aangaande 2 ontwerpen van koninklijk besluit:

-

een ontwerp van koninklijk besluit

tot wijziging van diverse koninklijke besluiten met betrekking tot het netwerk van de sociale zekerheid

(hierna het ontwerp 'diverse bepalingen')

-

een ontwerp van koninklijk besluit

tot wijziging van het koninklijk besluit van 16 januari 2002 tot uitbreiding van het netwerk van de sociale zekerheid tot sommige overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten, met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid

(hierna het ontwerp 'uitbreiding netwerk')

Context

2. Een deel van de bepalingen uit beide ontwerpen beogen een aanpassing van de bewoordingen in een aantal KB's die betrekking hebben op het netwerk van de sociale zekerheid, aan de nieuwe terminologie ingevoerd ingevolge de AVG en de wet van 5 september 2018

tot

oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende

de uitvoering van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27

april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking

van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG

' (hierna IVC-wet), zoals o.a.: 'Toezichtscomité' of 'Sectoraal comité van de sociale zekerheid en van de gezondheid' wordt 'informatieveiligheidscomité'; 'machtiging' of 'advies' wordt 'beraadslaging'; 'veiligheidsconsulent' wordt 'functionaris voor gegevensbescherming', ….

De louter terminologische aanpassingen behoeven in het kader van dit advies geen verdere bespreking.

3. Het ontwerp 'diverse bepalingen' voorziet voorts een beperking van de inhoud van de aangifte die bij het informatieveiligheidscomité moet gebeuren van mededelingen van sociale gegevens, die ingevolge artikel 15, §1, tweede zin, van de wet van 15 januari 1990

houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid

(hierna KSZ-wet), vrijgesteld zijn van een voorafgaande beraadslaging van het informatieveiligheidscomité (cf. infra:

A. Het ontwerp 'diverse bepalingen'

).

4.

Het ontwerp 'uitbreiding netwerk' wil een aantal wijzigingen doorvoeren aan het KB van 16 januari 2002

tot uitbreiding van het netwerk van de sociale zekerheid tot sommige overheidsdiensten en openbare instellingen van de Gemeenschappen en de Gewesten, met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid

(hierna het KB van 16 januari 2002)

,

inzonderheid de uitbreiding van de lijst van aangelegenheden waarop de opdrachten van voormelde overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten betrekking moeten hebben opdat ze tot het netwerk van de sociale zekerheid kunnen toetreden.

De actuele lijst van 12 gemeenschaps- en gewestaangelegenheden die de toetreding tot het netwerk van de sociale zekerheid kunnen rechtvaardigen, wordt uitgebreid tot 24 aangelegenheden, waaronder bv. onderwijs, onthaal en integratie van inwijkelingen, bescherming van het leefmilieu, afvalstoffenbeleid, … (cf. infra:

B. Het ontwerp 'uitbreiding netwerk

').

5. Beide ontwerpen voorzien tot slot in een aanpassing van de lijst van artikels uit de KSZ-wet die van toepassing zijn op:

- de pensioen- en solidariteitsinstellingen enerzijds, en de openbare centra voor maatschappelijk welzijn (hierna ocmw's), anderzijds, ingevolge hun opname via KB¹ in

1 Het betreft het koninklijk besluit van 15 oktober 2004 tot uitbreiding van het netwerk van de sociale zekerheid tot de pensioen- en solidariteitsinstellingen belast met het uitvoeren van de wet van 28 april 2003 betreffende de aanvullende pensioenen en het belastingstelsel van die pensioenen en van sommige aanvullende voordelen inzake sociale zekerheid, de programmawet (I) van 24 december 2002 of de programmawet (I) van 27 december 2006, met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid, enerzijds, en het koninklijk besluit van 4 maart 2005 tot uitbreiding van het netwerk van de sociale zekerheid tot de openbare centra voor maatschappelijk

het netwerk van de sociale zekerheid (zie artikelen 6, 1° en 7 van het ontwerp 'diverse bepalingen)

- de overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten, die conform voormeld KB van 16 januari 2002, tot het netwerk van de sociale zekerheid zijn toegetreden of nog zullen toetreden (zie artikel 2 van het ontwerp 'uitbreiding netwerk'.

Artikel 18 van de KSZ-wet bepaalt immers dat het de Koning is die, in het kader van hun inschakeling in het netwerk van de sociale zekerheid, bepaalt welke rechten en plichten (artikelen) van de KSZ-wet worden uitgebreid tot andere personen dan de instellingen van sociale zekerheid.²

De aangepaste lijst van artikels beoogt vooreerst een actualisering ingevolge opheffingen van diverse bepalingen. Daarnaast wordt aan de lijst ook artikel 5 van de KSZ-wet toegevoegd.

Inzonderheid het toepasselijk maken op voormelde instellingen van artikel 5 van de KSZ-wet springt in het oog. Dit impliceert immers, dat de sociale gegevens van

- de pensioen- en solidariteitsinstellingen³ en van de ocmw's⁴ en

- overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten, die conform voormeld KB van 16 januari 2002, tot het netwerk van de sociale zekerheid zijn toegetreden of zullen toetreden⁵ en voor zover hun opdrachten betrekking hebben de daarin gepreciseerde aangelegenheden⁶,

door de Kruispuntbank kunnen worden ingezameld, opgeslagen, samengevoegd en gedeeld met het oog op het verrichten van onderzoeken die nuttig zijn voor de kennis, de conceptie en het beheer van de sociale bescherming.

welzijn, voor wat betreft hun opdrachten inzake het recht op maatschappelijke dienstverlening, met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid.

2 Artikel 18 van de KSZ-wet voorziet inzake de uitbreiding van het netwerk van de sociale zekerheid het volgende: "Onder de voorwaarden en volgens de modaliteiten die Hij bepaalt, kan de Koning, bij een in Ministerraad overlegd besluit op voorstel van het Beheerscomité van de Kruispuntbank en na advies van de Commissie voor de bescherming van de persoonlijke levenssfeer, het geheel of een deel van de rechten en plichten voortvloeiend uit deze wet en haar uitvoeringsmaatregelen uitbreiden tot andere personen dan de instellingen van sociale zekerheid. Deze personen worden in het netwerk ingeschakeld in de mate van de uitbreiding waartoe wordt beslist."

3 Ingevolge artikel 2, §2, 2°, van het KB van 15 oktober 2004 (zie voetnoot 1) worden met 'sociale gegevens' gelijkgesteld: "de gegevens die door de pensioeninstellingen en de solidariteitsinstellingen worden verwerkt voor het uitvoeren van de wet van 28 april 2003 betreffende de aanvullende pensioenen en het belastingstelsel van die pensioenen en van sommige aanvullende voordelen inzake sociale zekerheid (van Titel II, Hoofdstuk 1, Afdeling 4 van de programmawet (I) van 24 december 2002 of van Titel XI, Hoofdstuk VII, van de programmawet (I) van 27 december 2006)".

4 Ingevolge artikel 1, §2, 2°, van het KB van 4 maart 2005 (zie voetnoot 1): worden met 'sociale gegevens' gelijkgesteld: "de gegevens die door de openbare centra voor maatschappelijk welzijn worden verwerkt voor het uitvoeren van hun opdrachten met betrekking tot het recht op maatschappelijke dienstverlening".

5 Ingevolge artikel 3 van het KB van 16 januari 2002 worden met 'sociale gegevens' gelijkgesteld: "de gegevens die nodig zijn voor de uitvoering van de opdrachten van de tot het netwerk behorende overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten" (m.a.w. alle door deze instellingen verwerkte (persoons)gegevens).

6 Ingevolge het op 25/03/2019 vanwege de aanvrager ontvangen herwerkte ontwerp 'uitbreiding netwerk', wordt artikel 5 van de KSZ-wet niet meer van toepassing verklaard op alle Gemeenschaps- en Gewestinstellingen die tot het netwerk van de sociale zekerheid zijn toegetreden of zullen toetreden, maar tot die instellingen wiens opdrachten betrekking hebben op een selectie aangelegenheden gepreciseerd in artikel 2, 1°, 2°, 3°, 4°, 7°, 8°, 9° en 10° van het KB van 16 januari 2002 en in artikel 1, b), 13°, 15° en 24°, van het ontwerp 'uitbreiding netwerk'.⁷ De wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens wordt opgeheven door artikel 280 WVG.

In de praktijk zullen deze gegevens van voornoemde instellingen dus kunnen worden opgenomen in de Datawarehouse Arbeidsmarkt en Sociale Bescherming. Hierop wordt dieper ingegaan onder punt

C. Uitbreiding Datawarehouse Arbeidsmarkt en Sociale Bescherming

.

II. ONDERZOEK VAN DE ADVIESAANVRAAG

A. Het ontw erp 'diverse bepalingen' (hierna het ontwerp)

6. Zoals hiervoor reeds toegelicht beoogt het ontwerp 'diverse bepalingen' wijzigingen aan te brengen aan een aantal KB's die betrekking hebben op het netwerk van de sociale zekerheid.

7. Voor de mededelingen van sociale gegevens van persoonlijke aard die, ingevolge artikel 15,

§1, tweede zin, KSZ-wet en het KB van 4 februari 1997

tot organisatie van de mededeling van sociale gegevens van persoonlijke aard tussen instellingen van sociale zekerheid

(artikel 2), worden vrijgesteld van een beraadslaging van het informatieveiligheidscomité, wordt niettemin voorzien in een aangifte ervan bij het informatieveiligheidscomité.

Artikel 4 van het ontwerp wijzigt/beperkt de elementen met betrekking tot de mededeling/verwerking die deze aangifte dienen te bevatten. Voorheen werd terzake verwezen naar de elementen vermeld in artikel 17 van de wet van 8 december 1992

tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens

^(inzake de voorafgaande aangifte van verwerkingen bij de rechtsvoorganger van de Autoriteit); het ontwerp vermeldt nu enkel nog volgende elementen:

"de datum, de identiteit van de betrokken partijen, de toepasselijke regelgeving, de doeleinden, de categorieën verwerkte persoonsgegevens en de voorziene veiligheidsmaatregelen".

In de mate dat niet meer kan worden verwezen naar de intussen opgeheven wet van 8 december 1992⁷, adviseert de Autoriteit om de elementen in de aangifte zoals voorzien in artikel 4 van het ontwerp nog aan te vullen met: de categorieën van ontvangers én de maximale bewaartermijn van de persoonsgegevens en dit naar analogie met het opgeheven artikel 17 van de wet van 8 december 1992 en aangezien deze elementen twee van de essentiële elementen van een verwerking van persoonsgegevens uitmaken.

7 De wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens wordt opgeheven door artikel 280 WVG.

B. Het ontw erp 'uitbreiding netwerk' (hierna het ontwerp)

8. Het tweede ontwerp beoogt de uitbreiding van het netwerk van de sociale zekerheid mogelijk te maken tot overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten met opdrachten die betrekking hebben op de daarin opgesomde aangelegenheden.

9. Artikel 2 van het KB van 16 januari 2002 voorziet momenteel dat de overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten kunnen verzoeken om een toetreding tot het netwerk van de sociale zekerheid voor zover hun opdrachten betrekking hebben op volgende aangelegenheden:

- de sociale vorming, de sociale promotie en beroepsomscholing en –bijscholing;

- de arbeidsbemiddeling;

- de programma's voor wedertewerkstelling van de uitkeringsgerechtigde volledig werklozen of van de daarmee gelijkgestelde personen;

- de toepassing van de normen betreffende tewerkstelling van buitenlandse arbeidskrachten;

- het beleid betreffende de zorgenverstrekking in en buiten de verplegingsinrichtingen;

- de gezondheidsopvoeding alsook de activiteiten en diensten op het vlak van de preventieve gezondheidszorg;

- het gezinsbeleid met inbegrip van alle vormen van hulp en bijstand aan gezinnen en kinderen;

- het beleid inzake maatschappelijk welzijn;

- het beleid inzake mindervaliden, met inbegrip van de beroepsopleiding, de omscholing en de herscholing van mindervaliden;

- het bejaardenbeleid;

- het jeugdbeleid en de jeugdbescherming, met inbegrip van de sociale bescherming en de gerechtelijke bescherming;

- de sociale huisvesting.

10. Ingevolge artikel 1, b) van het ontwerp wordt deze lijst met aangelegenheden aangevuld als volgt:

- het onderwijs;

- de permanente opvoeding, de voorschoolse vorming in de peutertuinen en de post- en parascolaire, artistieke, intellectuele, morele en sociale vorming;

- het beleid inzake onthaal en integratie van inwijkelingen;

- de sociale hulpverlening aan gedetineerden met het oog op hun sociale re-integratie;

- de bescherming van het leefmilieu;

- het afvalstoffenbeleid;

- de waterproductie en watervoorziening;

- de distributie en het plaatselijk vervoer van elektriciteit;

- de openbare gasdistributie;

- het gemeenschappelijk stads- en streekvervoer;

- het ondersteunen en begeleiden van overheidsdiensten en openbare instellingen met rechtspersoonlijkheid bij het verwezenlijken van projecten inzake administratieve vereenvoudiging, e-governement en informatie- en communicatietechnologie;

- de gezinsbijslagen.

11. De Autoriteit stelt vast dat voormelde lijst een zeer uitgebreide waaier aan aangelegenheden opsomt waarvan de link met de sociale zekerheid niet steeds duidelijk is.⁸ Niettemin beperkt het ontwerp zich tot deze loutere opsomming zonder daarbij te verduidelijken in welke mate de voor deze aangelegenheden bevoegde instellingen nood hebben aan sociale gegevens uit het netwerk van de sociale zekerheid voor het uitvoeren van hun (concrete) opdrachten. Iedere precisering of kadering ontbreekt.

Dit maakt het voor de Autoriteit moeilijk de rechtmatigheid van de opname van de betrokken (weliswaar niet nader beschreven) Gemeenschaps- en Gewestinstellingen in het netwerk van de sociale zekerheid ingevolge hun behoefte aan sociale gegevens te beoordelen in de zin van de artikel 6.1. c) of e) en artikel 9.2.b) van de AVG.⁹

12. De Autoriteit is van oordeel dat de link met de sociale zekerheid (zoals gedefinieerd in artikel 2, 1°, van de KSZ-wet) toch de toetssteen moet zijn van een toetreding van een in voormelde aangelegenheden bevoegde Gemeenschaps- of Gewestinstelling tot het netwerk van de sociale zekerheid. De Autoriteit neemt akte van het feit dat het gewijzigde ontwerp 'uitbreiding netwerk' preciseert dat een instelling maar kan toetreden voor zover deze voor het uitvoeren van diens opdrachten systematisch behoefte heeft aan persoonsgegevens van instellingen van sociale zekerheid.¹⁰

8 Het is mogelijk dat in sommige van voormelde aangelegenheden voor bepaalde gebruikers 'sociale tarieven' worden gehanteerd (bv. gas- en elektriciteitsdistributie) maar voor andere aangelegenheden is dit veel minder duidelijk (bv.

bescherming van het leefmilieu en het ondersteunen en begeleiden van overheidsdiensten en openbare instellingen met rechtspersoonlijkheid bij het verwezenlijken van projecten inzake administratieve vereenvoudiging, e-government en informatie- en communicatietechnologie)

9 De rechtsvoorganger van de Autoriteit benadrukte reeds het belang van duidelijk omschreven doeleinde in deze context in:

- advies nr. 13/1999 van 12 april 1999 betreffende het ontwerp van koninklijk besluit tot uitbreiding van het netwerk van de sociale zekerheid tot sommige overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten, met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid (https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/advies_13_1999_0.pdf, inzonderheid randnummers 8 t.e.m. 11).

- advies nr. 20/2007 van 23 mei 2007 over het ontwerp van koninklijk besluit tot uitbreiding van het netwerk van de sociale zekerheid tot de externe diensten voor preventie en bescherming op het werk (https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/advies_20_2007_0.pdf, inzonderheid randnummers 12 e.v.).

10 De Autoriteit herinnert er daarenboven aan dat een Gemeenschaps- of Gewestinstelling die voor de uitvoering van (bepaalde van) haar opdrachten (waaronder bv. het toekennen van een sociaal tarief) (eerder sporadisch) ook steeds met toepassing van

13. De Autoriteit neemt akte van het feit dat een verzoek tot toetreding tot het netwerk van de sociale zekerheid moet ingewilligd worden door het Beheerscomité van de Kruispuntbank (zie artikel 1, a), van het ontwerp) na beraadslaging van de kamer sociale zekerheid en gezondheid van het informatieveiligheidscomité.

De Autoriteit neemt akte van deze onontbeerlijke voorafgaandelijke toetsing aan de gegevensbeschermingsprincipes van elk 'individueel' toetredingsverzoek (overigens uitdrukkelijk voorgeschreven door artikel 18 van de KSZ-wet). Het ontwerp en de daarin opgenomen elementen en vooral het gebrek aan duiding, laat de Autoriteit immers niet toe in het kader van onderhavig advies een degelijke toetsing door te voeren van het rechtmatig en noodzakelijk karakter van de verwerking van sociale gegevens uit het netwerk van de sociale zekerheid door (nog niet nader bepaalde) instellingen van de Gemeenschappen en Gewesten in het kader van hun (niet nader beschreven) opdrachten in voormelde uitermate disparate sectoren/aangelegenheden, waarvan de link met de sociale zekerheid vaak onduidelijk is.

C. Uitbreiding Datawarehouse Arbeidsmarkt en Sociale Bescherming (voortvloeiend uit beide ontwerpen)

14. Artikel 18 van de KSZ-wet voorziet inzake de uitbreiding van het netwerk van de sociale zekerheid het volgende:

"Onder de voorwaarden en volgens de modaliteiten die Hij bepaalt, kan de Koning, bij een in Ministerraad overlegd besluit op voorstel van het Beheerscomité van de Kruispuntbank en na advies van de Commissie voor de bescherming van de persoonlijke levenssfeer, het geheel of een deel van de rechten en plichten voortvloeiend uit deze wet en haar uitvoeringsmaatregelen uitbreiden tot andere personen dan de instellingen van sociale zekerheid. Deze personen worden in het netwerk ingeschakeld in de mate van de uitbreiding waartoe wordt beslist."

15. Zoals hiervoor reeds aangehaald, wordt door beide ontwerpen artikel 5 van de KSZ-wet toegevoegd aan de lijst van artikels uit de KSZ-wet die van toepassing zijn op:

- de pensioen- en solidariteitsinstellingen ingevolge hun toetreding tot het netwerk van de sociale zekerheid krachtens het KB van 15 oktober 2004¹¹ (zie artikel 6, 1° van het ontwerp 'diverse bepalingen')

- de ocmw's ingevolge hun toetreding tot het netwerk van de sociale zekerheid krachtens het KB van 4 maart 2005¹² (zie artikel 7 van het ontwerp 'diverse bepalingen')

artikel 15 van de KSZ-wet om een beraadslagingvan het informatieveiligheidscomité kan verzoeken voor een mededeling van sociale gegevens vanuit het netwerk van de sociale zekerheid.

11 Zie voetnoot 1.

12 Zie voetnoot 1.

- de overheidsdiensten en openbare instellingen van de Gemeenschappen en de Gewesten die reeds zijn toegetreden of nog zullen toetreden krachtens het KB van 16 januari 2002 voor zover hun opdrachten betrekking hebben de daarin gepreciseerde aangelegenheden (zie voetnoot 6), meer bepaald:

o de sociale vorming, de sociale promotie en de beroepsomscholing en –bijscholing;

o de arbeidsbemiddeling;

o de programma's voor wedertewerkstelling van de uitkeringsgerechtigde volledig werklozen of van de daarmee gelijkgestelde personen;

o de toepassing van de normen betreffende de tewerkstelling van buitenlandse arbeidskrachten;

o het gezinsbeleid met inbegrip van alle vormen van hulp en bijstand aan gezinnen en kinderen;

o het beleid inzake maatschappelijk welzijn;

o het beleid inzake mindervaliden, met inbegrip van de beroepsopleiding, de omscholing en de herscholing van mindervaliden;

o het bejaardenbeleid;

o het onderwijs;

o het beleid inzake onthaal en integratie van inwijkelingen;

o de gezinsbijslagen.

16. Artikel 5 van de KSZ-wet stipuleert o.m.:

"De Kruispuntbank verzamelt sociale gegevens bij de instellingen van sociale zekerheid, slaat ze op, voegt ze samen en deelt ze mee aan personen die ze nodig hebben voor het verrichten van onderzoeken die nuttig zijn voor de kennis, de conceptie en het beheer van de sociale bescherming"

.

In de praktijk worden deze ingezamelde gegevens sinds bijna 20 jaar permanent opgeslagen in een 'Datawarehouse Arbeidsmarkt en Sociale Bescherming' (hierna DW AM&SB) waarbij de omvang van deze databank in de loop van de tijd gestaag toenam.¹³

13 "De Datawarehouse Arbeidsmarkt werd in 1999 opgezet in het kader van een Agora-project van de toenmalige Dienst voor Wetenschappelijke, Technische en Culturele Aangelegenheden, het huidige Federale Wetenschapsbeleid (BELSPO). Op vraag van een aantal socialezekerheidsinstellingen werd een datawarehouse gecreëerd waarin de administratieve data waarover zij beschikken permanent worden opgeslagen. (…) Bij de start van dit project waren zes instellingen betrokken: RIZIV, RKW (huidige FAMIFED), RSVZ, RSZ, RSZPPO (daarna DIBISS en nu deel van de RSZ) en de RVA. (…) Zie dienaangaande ook advies nr. 01/01 van 6 februari 2001 betreffende de creatie van een "Datawarehouse Arbeidsmarkt" met het oog op de mededeling door de Kruispuntbank van geaggregeerde standaardtabellen voor wetenschappelijke doeleinden (https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/beraadslaging_SS_001b_2001_0.p df).

Vanaf 2003 werd het aantal participerende instellingen sterk uitgebreid. (…) Volgende instellingen leveren sindsdien eveneens data: FOD SZ, FAO en FBZ (nu Fedris), NIC, POD MI, RJV, FPD, VDAB/ACTIRIS/Forem/ADG, RR, AHOVOKS, …. Op die manier is het gezichtsveld van het Datawarehouse Arbeidsmarkt (…) verruimd tot allerlei vormen van inactiviteit. (…) Dit resulteerde in 2003 in een naamsverandering, namelijk (…) Datawarehouse Arbeidsmarkt en Sociale Bescherming." (zie https://www.ksz- bcss.fgov.be/nl/dwh/dwh_page/content/websites/datawarehouse/about/historiek.html).

17. Door het, bij koninklijk besluit, van toepassing verklaren van artikel 5 van de KSZ-wet op de pensioen- en solidariteitsinstellingen, op de ocmw's en op een (onbepaald) aantal instellingen bevoegd voor een waaier van gemeenschaps- en gewestaangelegenheden (zie randnummer 15), kunnen de (sociale)¹⁴ gegevens van voornoemde instellingen worden opgenomen in de DW AM&SB, waarvan de omvang dienvolgens weerom -op een ontransparante wijze- wordt uitgebreid.

18. De Autoriteit stelt daarbij vast dat de praktijk (de Kruispuntbank als beheerder van een steeds uitdijende permanente databank (DW AM&SB) van (ook bijzondere categorieën¹⁵ van) persoonsgegevens) niet meer strookt met de inhoud van artikel 5 van de KSZ-wet (de Kruispuntbank als facilitator van gegevensstromen en intermediaire organisatie bij het ter beschikking stellen van sociale gegevens voor onderzoek) en deze eigenlijk ver overschrijdt.

19. De Autoriteit is zich bewust van het nut en de nood aan degelijk (beleidsondersteunend) onderzoek in het kader van de sociale zekerheid/sociale bescherming en de meerwaarde die de DW AM&SB terzake biedt, maar herinnert eraan dat, ingevolge artikel 8 EVRM en artikel 22 van de Grondwet, elke overheidsinmenging in het recht op eerbiediging van de persoonlijke levenssfeer (waaronder de bescherming van persoonsgegevens) moet worden voorgeschreven in een 'voldoende precieze wettelijke bepaling' die beantwoordt aan een dwingende maatschappelijke behoefte en evenredig is met de nagestreefde doelstelling.

In een dergelijke precieze wettelijke bepaling moeten de essentiële elementen van de met de overheidsinmenging gepaard gaande verwerkingen van persoonsgegevens omschreven zijn.¹⁶ Het gaat hierbij minstens om:

- de welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden;

- de (categorieën) van persoonsgegevens die ter zake dienend en niet overmatig zijn;

- de maximale bewaartermijn van de geregistreerde persoonsgegevens;

- de aanduiding van de verantwoordelijke voor de verwerking.

14 Zie voetnoten 3, 4, en 5 waarin wordt toegelicht welke gegevens van deze instellingen met 'sociale gegevens' moeten worden gelijkgesteld en welke dus in aanmerking komen voor opname in de DW AM&SB. Voor de Gemeenschaps- en Gewestinstellingen gaat het eigenlijk om alle gegevens (zonder enige beperking) die door deze instellingen in het kader van hun opdrachten worden verwerkt.

15 Bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG.

16 Zie DEGRAVE, E., "L'egouvernement et la protection de la vie privée – Légalité, transparance et contrôle", Collection du CRIDS, Larcier, Brussel, 2014, p. 161 e.v. (zie o.m.: EHRM, arrest Rotaru c. Roumania, 4 mei 2000); Zie ook enkele arresten van het Grondwettelijk Hof: Arrest nr. 44/2015 van 23 april 2015 (p. 63), Arrest nr. 108/2017 van 5 oktober 2017 (p. 17) en Arrest nr. 29/2018 van 15 maart 2018 (p. 26).

20.

Gelet op het voorgaande, is de Autoriteit van oordeel dat artikel 5 van de KSZ-wet, in samenlezing met artikelen 6 en 7 van het ontwerp 'diverse bepalingen' en artikel 2 van het ontwerp 'uitbreiding netwerk' (ontwerpen in uitvoering van artikel 18 van de KSZ-wet) bezwaarlijk kan worden gekwalificeerd als een 'voldoende precieze wettelijke bepaling', waarvan in voorgaand randnummer sprake.¹⁷

21. De Autoriteit vestigt in deze context ook de aandacht op artikel 6.3 AVG dat -in samenlezing met artikel 8 EVRM en artikel 22 van de Grondwet- voorschrijft dat regelgeving die de verwerking van persoonsgegevens omkadert, in principe minstens volgende essentiële elementen van die verwerking zou moet vermelden:

- het doel van de verwerking;

- de types of categorieën van te verwerken persoonsgegevens;

- de betrokkenen;

- de entiteiten waaraan en doeleinden waarvoor de persoonsgegevens mogen worden verstrekt;

- de opslagperioden;

- evenals de aanduiding van de verwerkingsverantwoordelijke.

3.1. Doeleinde

22. Volgens artikel 5.1.b) AVG is de verwerking van persoonsgegevens enkel toegestaan voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden.

23. Artikel 5 van de KSZ-wet definieert het doeleinde van de DW AM&SB als volgt:

"het verrichten van onderzoeken die nuttig zijn voor de kennis, de conceptie en het beheer van de sociale bescherming"

.

24. Ingevolge artikel 11 van de IVC-wet werd in voormeld artikel 5

"sociale zekerheid"

vervangen door

"sociale bescherming"

zonder dat daarbij enige indicatie of definitie wordt gegeven van wat hieronder moet worden verstaan, terwijl de KSZ-wet in artikel 2, 1° wel een definitie geeft voor

"sociale zekerheid"

.

Deze wijziging van artikel 5 lijkt ontegensprekelijk een uitbreiding van de scope van de DW AM&SB tot doel te hebben, maar bepaalt deze niet duidelijk.

17 Zie randnummers 59 e.v. van het advies nr. 34/2018 van de rechtsvoorganger van de Autoriteit van 11 april 2018 inzake een voorontwerp van wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening (EU) 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/advies_34_2018.pdf).

25. Een dergelijke ruime en bovendien onduidelijke formulering biedt uiteraard zeer weinig houvast voor de betrokkenen wiens gegevens in de DW AM&SB zullen terechtkomen.

26. De Autoriteit is dan ook van oordeel dat het aldus geformuleerde doeleinde niet beantwoordt aan het krachtens artikel 5.1.b) AVG vereiste welbepaald en uitdrukkelijk omschreven doeleinde.

3.2. Proportionaliteit van de verwerking

27. Artikel 5.1.c), AVG bepaalt dat persoonsgegevens toereikend, terzake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de beoogde doeleinden ('minimale gegevensverwerking').

28. Zoals in randnummer 19 en 21 reeds aangehaald, wordt de bepaling van de types of categorieën van persoonsgegevens die voor het beoogde doeleinde zullen worden verwerkt, beschouwd als zijnde één van de essentiële elementen van de verwerking die in principe dienen te worden vastgelegd in de regelgeving die de verwerking van persoonsgegevens omkadert.

29. Artikel 5 van de KSZ-wet vermeldt

"sociale gegevens van de instellingen van sociale zekerheid"

als de (in de DW AM&SB) te verzamelen, samen te voegen en op te slagen (persoons)gegevens

.

In artikel 2, 4° van de KSZ-wet worden

"sociale gegevens"

als volgt gedefinieerd:

"alle gegevens die nodig zijn voor de toepassing van de sociale zekerheid"

. Artikel 2, §2, 2°, van het KB van 15 oktober 2004 (zie voetnoot 1 en 3), artikel 1, §2, 2°, van het KB van 4 maart 2005 (zie voetnoot 1 en 4) en artikel 3, §2, 2° van het KB van 16 januari 2002 (zie voetnoot 5), leren ons dat, naast de hiervoor gedefinieerde sociale gegevens, ook andere gegevens kunnen worden gelijkgesteld met sociale gegevens: voor de pensioen- en solidariteitsdiensten en de ocmw's zijn deze 'gelijkgestelde' gegevens nog enigszins beperkt en begrensd, maar voor de overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten worden kennelijk alle gegevens (zonder enige beperking) die deze instellingen nodig hebben in het kader van hun opdrachten, met sociale gegevens gelijkgesteld (zie voetnoot 5). Hoewel het herwerkte ontwerp 'uitbreiding netwerk' artikel 5 van de KSZ-wet niet meer van toepassing verklaard op alle Gemeenschaps- en Gewestinstellingen die tot het netwerk van de sociale zekerheid zijn toegetreden of zullen toetreden, maar tot die instellingen wiens opdrachten betrekking hebben op een selectie van aangelegenheden (zie randnummer 15 en voetnoot 6) is de link met 'de sociale zekerheid' niet steeds duidelijk voorhanden, wat dan ook lijkt in te druisen tegen het principe van de minimale gegevensverwerking. Immers,

niet àlle door deze instellingen verwerkte persoonsgegevens zijn nodig voor de toepassing van de sociale zekerheid.

De Autoriteit is van oordeel dat in artikel 3 van het KB van 16 januari 2002 de met 'sociale gegevens' gelijk te stellen 'gegevens die nodig zijn voor de uitvoering van de opdrachten van de tot het netwerk behorende overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten' dienen te worden begrensd tot die 'gegevens die nodig zijn voor de toepassing van de sociale zekerheid'; zulks alleszins tot een gebeurlijke aanpassing/uitbreiding van artikel 5 van de KSZ-wet kan worden gerealiseerd.

Het komt immers niet aan de Koning toe om het in de wet gedefinieerde 'sociale gegevens' naar eigen goeddunken in te vullen en uit te breiden.

30. De onduidelijkheid en het gebrek aan begrenzing in de huidige formulering laat niet toe een duidelijk zicht te krijgen op de (types of categorieën van) persoonsgegevens die uiteindelijk in de DW AM&SB zullen worden opgeslagen en verwerkt.

31. Afwezigheid van of onduidelijkheid omtrent het doeleinde van de verwerking (zie punt

3.1.

Doeleinde

) en/of omtrent de te verwerken types of categorieën van persoonsgegevens, laat de Autoriteit niet toe een behoorlijke toetsing door te voeren van het principe van de minimale gegevensverwerking, zoals voorgeschreven door artikel 5.1.c), AVG.

32. In de mate dat 'onderzoek nuttig voor de kennis, de conceptie en het beheer van de sociale bescherming' nood heeft aan meer en andere dan enkel 'sociale gegevens', dringt, van zodra als mogelijk, een aanvulling/wijziging van artikel 5 van de KSZ-wet zich op.

3.3. Bewaartermijn van de gegevens

33. Krachtens artikel 5.1.e) AVG mogen persoonsgegevens niet langer worden bewaard, in een vorm die het mogelijk maakt de betrokkenen te identificeren, dan noodzakelijk voor de verwezenlijking van de doeleinden waarvoor zij worden verwerkt.

34. Zoals in randnummers 19 en 21 reeds aangehaald, wordt ook de bepaling van de opslagperiode van persoonsgegevens, beschouwd als zijnde één van de essentiële elementen die in principe dienen te worden vastgelegd in de regelgeving die de verwerking van die persoonsgegevens omkadert.

35. De Autoriteit stelt vast dat, noch in artikel 5, noch elders in de KSZ-wet, een bewaartermijn wordt voorzien voor de in de DW AM&SB opgeslagen persoonsgegevens.

36. In het licht van artikel 6.3 van de AVG, dringt de Autoriteit erop aan om, van zodra als mogelijk, in de KSZ-wet een dergelijke maximale bewaartermijn te voorzien, of minstens criteria op te nemen die toelaten deze bewaartermijn te bepalen.

3.4. Verantwoordelijkheid

37. Artikel 4.7) AVG bepaalt dat voor de verwerkingen waarvan de regelgeving het doel en de middelen vastlegt, de verwerkingsverantwoordelijke diegene is die daarin als dusdanig wordt aangewezen.

38. Hoewel de Kruispuntbank de DW AM&SB beheert¹⁸, vermeldt artikel 5, §3, van de KSZ-wet:

"Voor de toepassing van dit artikel wordt de Kruispuntbank beschouwd als een intermediaire organisatie, in de zin van een andere organisatie dan de verantwoordelijke voor de verwerking van niet-gepseudonimiseerde persoonsgegevens die instaat voor het pseudonimiseren ervan"

.

39. De KSZ-wet bevat dienaangaande geen andere specifieke en expliciete bepalingen. Het is nochtans van belang dat alle betrokkenen perfect weten tot wie zich te richten met het oog op het uitoefenen en afdwingen van de hen door de AVG toegekende rechten. Aan deze lacune moet zo spoedig mogelijk worden verholpen.

3.5 Gegevensbeschermingseffectbeoordeling

40. Volledigheidshalve -en onverminderd alle andere verplichtingen die de AVG en de WVG opleggen- wijst de Autoriteit op de plicht van elke verwerkingsverantwoordelijke om na te gaan of het uitvoeren van een gegevensbeschermingseffectbeoordeling (artikel 35 AVG)¹⁹²⁰ al dan niet noodzakelijk is. De Autoriteit is van oordeel dat een verwerking, zoals het beheer van de

18 Zie: https://www.ksz-bcss.fgov.be/nl/dwh/dwh_page/content/websites/datawarehouse/about/missie.html.

19 Voor richtlijnen dienaangaande, zie:

- Info op website Autoriteit: https://www.gegevensbeschermingsAutoriteit.be/gegevensbeschermingseffectbeoordeling-0 - Aanbeveling uit eigen beweging van de Commissie nr. 01/2018 van 28 februari 2018 met betrekking tot de gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging.

(https://www.gegevensbeschermingsAutoriteit.be/sites/privacycommission/files/documents/aanbeveling_01_2018.pdf ) - Richtlijnen Groep 29 (WP 248)

(https://www.gegevensbeschermingsAutoriteit.be/sites/privacycommission/files/documents/wp248%20rev.01_nl.pdf )

20 Een gegevensbeschermingseffectbeoordeling kan overigens ook reeds uitgevoerd worden in het stadium waarin regelgeving wordt voorbereid. Zie in dit verband artikel 35.10 AVG en randnummers 90-91 van de Aanbeveling van de Commissie nr.

01/2018.

DW AM&SB -een permanente grootschalige databank van (ook bijzondere categorieën²¹ van) persoonsgegevens- alleszins het voorwerp moet uitmaken van een gegevensbeschermingseffectbeoordeling, inzonderheid gelet op de uitbreiding ervan die de voorgelegde ontwerpen van koninklijk besluit met zich meebrengen.²²

3.6. Beveiligingsmaatregelen

41. Artikelen 5.1.f), 24.1 en 32 van de AVG vermelden uitdrukkelijk de verplichting voor de verwerkingsverantwoordelijk om gepaste technische en organisatorische maatregelen te treffen die nodig zijn voor de bescherming van de persoonsgegevens. Deze maatregelen moeten een passend beveiligingsniveau verzekeren rekening houdend, enerzijds, met de stand van de techniek ter zake en de kosten voor het toepassen van de maatregelen en, anderzijds, met de aard van de te beveiligen gegevens en de potentiële risico’s.

42. Artikel 32 AVG wijst in dit verband op een aantal voorbeeldmaatregelen om, waar passend, een op het risico afgestemd beveiligingsniveau te waarborgen:

- de pseudonimisering en versleuteling van persoonsgegevens;

- het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen te garanderen;

- het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;

- een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.

43. Voor de concrete uitwerking hiervan herinnert de Autoriteit aan de aanbeveling²³ ter voorkoming van gegevenslekken en aan de referentiemaatregelen²⁴ die bij elke verwerking van persoonsgegevens in acht zouden moeten worden genomen.

21 Bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG.

22 Zie WP 248 van de Groep Gegevensbescherming Artikel 29 van 4 oktober 2017 houdende Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een hoog risico inhoudt" in de zin van Verordening 2016/679, in het bijzonder punt C. Wat met reeds bestaande verwerkingen op p. 16 (zie https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/wp248%20rev.01_nl.pdf).

23 Aanbeveling uit eigen beweging van de Commissie nr. 01/2013 van 21 januari 2013 betreffende de na te leven veiligheidsmaatregelen ter voorkoming van gegevenslekken.

(https://www.gegevensbeschermingsAutoriteit.be/sites/privacycommission/files/documents/aanbeveling_01_2013_0.pdf )

24 Referentiemaatregelen van de Commissie voor de beveiliging van elke verwerking van persoonsgegevens, Versie 1.0 (https://www.gegevensbeschermingsAutoriteit.be/sites/privacycommission/files/documents/referentiemaatregelen_voor_de_b eveiliging_van_elke_verwerking_van_persoonsgegevens_0.pdf )

44. Bijzondere categorieën van persoonsgegevens in de zin van de artikel 9 van de AVG, behoeven strengere beveiligingsmaatregelen. Artikel 9 van de WVG geeft aan welke bijkomende veiligheidsmaatregelen moeten voorzien worden:

• de categorieën van personen aanwijzen die de persoonsgegevens kunnen raadplegen (voor alle betrokken instanties), waarbij hun hoedanigheid ten opzichte van de verwerking van de betrokken gegevens nauwkeurig moet worden omschreven;

• de lijst van de aldus aangewezen categorieën van personen ter beschikking houden van de bevoegde toezichthoudende autoriteit;

• ervoor zorgen dat de aangewezen personen door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling ertoe gehouden zijn het vertrouwelijke karakter van de betrokken gegevens in acht te nemen

45. De verwerkingsverantwoordelijke moet erop toezien dat voormelde veiligheidsmaatregelen te allen tijde worden nageleefd.

III. BESLUIT

46. De Autoriteit is van oordeel dat de voorgelegde ontwerpen van koninklijk besluit voldoende waarborgen kunnen bieden wat de bescherming van de persoonsgegevens van de betrokkenen betreft op voorwaarde dat volgende elementen bijkomend worden geïmplementeerd:

- vervolledigen van in de aangifte, waarvan sprake in artikel 4 van het ontwerp 'diverse bepalingen', op te nemen essentiële elementen van de verwerking (zie randnummer 7);

- duiding bij de lijst van nieuwe Gemeenschaps- en Gewestaangelegenheden vermeld in artikel 1, b) van het ontwerp 'uitbreiding netwerk' welke aanleiding kunnen geven tot toetreding tot het netwerk van de sociale zekerheid van terzake bevoegde instellingen; inzonderheid hun link met de sociale zekerheid (zie randnummer 11);

47. Hoewel de Autoriteit zich bewust van het nut en de nood aan degelijk (beleidsondersteunend) onderzoek in het kader van de sociale zekerheid/sociale bescherming en de meerwaarde die de DW AM&SB terzake biedt, is zij niettemin van oordeel dat zo spoedig mogelijk werk moet worden gemaakt van een degelijk reglementair kader voor de DW AM&SB, inzonderheid in mate waarin de scope ervan ook ingevolge de voorgelegde ontwerpen van koninklijk besluit wordt uitgebreid. Er worden momenteel immers onvoldoende waarborgen geboden wat de bescherming van de persoonsgegevens van de betrokkene betreft daar voor de DW AM&SB en de daarmee gepaard gaande verwerkingen van persoonsgegevens een aantal essentiële

elementen (zoals vereist krachtens artikelen 6.3. AVG, 8 EVRM en 22 Grondwet) in het reglementair kader ontbreken, inzonderheid:

- welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doeleinde (zie randnummers 16 tot 18 en 26);

- duidelijke opgave van de te verwerken types of categorieën van persoonsgegevens (zie randnummers 29 tot 32);

- precisering van de opslagperiode van de persoonsgegevens in de DW AM&SB (zie randnummer 36);

- aanduiding als dusdanig van de verwerkingsverantwoordelijke van de DW AM&SB (zie randnummer 39).

48.

In afwachting van de uitwerking van een degelijk reglementair kader voor de DW AM&SB, zoals hiervoor beschreven, adviseert de Autoriteit om in artikel 3 van het KB van 16 januari 2002 de met 'sociale gegevens' gelijk te stellen 'gegevens die nodig zijn voor de uitvoering van de opdrachten van de tot het netwerk behorende overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten' te begrenzen tot die 'gegevens die nodig zijn voor de toepassing van de sociale zekerheid' (zie randnummer 29).

49.

De Autoriteit wijst daarenboven op de verplichting om over te gaan tot de opmaak van een gegevensbeschermingseffectbeoordeling met betrekking tot de DW AM&SB, inzonderheid gelet op de intentie om de scope ervan nog uit te bereiden en zulks hetzij tijdens het wetgevend proces, hetzij voorafgaand aan de effectieve uitbreiding van de DW AM&SB (zie randnummer 40).

OM DEZE REDENEN

Oordeelt de Autoriteit dat de opmerkingen vermeld onder randnummers 46, en 48 bijkomend dienen te worden geïmplementeerd in de voorgelegde ontwerpen van koninklijk besluit, inzonderheid:

-

ontwerp van koninklijk besluit

tot wijziging van diverse koninklijke besluiten met betrekking tot het netwerk van de sociale zekerheid

-

ontwerp van koninklijk besluit

tot wijziging van het koninklijk besluit van 16 januari

2002 tot uitbreiding van het netwerk van de sociale zekerheid tot sommige

overheidsdiensten en openbare instellingen van de Gemeenschappen en Gewesten,

met toepassing van artikel 18 van de wet van 15 januari 1990 houdende oprichting en

organisatie van een Kruispuntbank van de sociale zekerheid.

Oordeelt de Autoriteit dat, zodra als mogelijk, werk moet worden gemaakt van een degelijk reglementair kader voor de DW AM&SB en een gegevensbeschermingseffectbeoordeling, zoals vermeld onder randnummers 47 en 49.

(get.) An Machtens (get.) Willem Debeuckelaere

Wnd. Administrateur, Voorzitter,

Directeur Kenniscentrum