Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid de artikelen 23 en 26

(1)

Advies nr. 91/2018 van 26 september 2018

Betreft: Voorontwerp van besluit van de Vlaamse Regering ter uitvoering van het decreet betreffende de overname van de psychiatrische verzorgingstehuizen, initiatieven van beschut wonen, revalidatieovereenkomsten, revalidatieziekenhuizen en multidisciplinaire begeleidingsequipes voor palliatieve verzorging (CO-A-2018-075).

De Gegevensbeschermingsautoriteit (hierna de Autoriteit);

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid de artikelen 23 en 26;

Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna AVG);

Gelet op het verzoek om advies van Dhr. Jo Vandeurzen, Vlaams minister van welzijn, volksgezondheid en gezin, ontvangen op 25 juli 2018;

Gelet op het verslag van Dhr. Dirk Van Der Kelen;

Brengt op 26 september 2018 het volgend advies uit:

(2)

I. VOORWERP VAN DE ADVIESAANVRAAG

1. De Vlaams minister van welzijn, volksgezondheid en gezin, de aanvrager, verzoekt het advies van de Autoriteit over een ontwerp van besluit tot uitvoering van het decreet betreffende de overname van psychiatrische verzorgingstehuizen, initiatieven van beschut wonen, revalidatieovereenkomsten, revalidatieziekenhuizen en multidisciplinaire begeleidingsequipes voor palliatieve zorgen (hierna: het ontwerpbesluit).

Context

2. Het ontwerpbesluit geeft uitvoering aan het decreet betreffende de overname van de sectoren psychiatrische verzorgingstehuizen, initiatieven beschut wonen, revalidatieovereenkomsten, revalidatieziekenhuizen en multidisciplinaire begeleidingsequipes voor palliatieve verzorging¹ (hierna: overnamedecreet)².

3. Om de continuïteit van de dienstverlening te verzekeren, koos de aanvrager ervoor om niet alle nieuwe pijlers tegelijkertijd onder te brengen in de Vlaamse sociale bescherming³. Daarom biedt het overnamedecreet de decretale grondslag voor een overgangsregeling die finaal leidt tot de gefaseerde inschakeling van vijf nieuwe pijlers in de Vlaamse sociale bescherming. Het gaat om deze vijf pijlers: psychiatrische verzorgingstehuizen, initiatieven beschut wonen, revalidatieovereenkomsten, revalidatieziekenhuizen en multidisciplinaire begeleidingsequipes voor palliatieve verzorging.

4. Op 1 januari 2019 treedt het overnamedecreet in werking en zou de Vlaamse gemeenschap de operationele bevoegdheden in deze sectoren overnemen van het Rijksinstituut voor ziekte- en invaliditeitsverzekering (RIZIV) en de Federale Overheidsdienst Volksgezondheid. Tijdens deze fase blijft het recht op een tegemoetkoming verbonden aan de federale verzekerbaarheid en zullen de verzekeringsinstellingen instaan voor de uitbetaling van deze tegemoetkomingen.

Het Agentschap Vlaamse Sociale Bescherming zal in de plaats treden van het RIZIV om de verzekeringsinstellingen hiertoe te financieren.

5. Het ontwerpbesluit geeft uitvoering aan het overnamedecreet. De aanvrager koos ervoor om in dit uitvoeringsbesluit de bestaande federale uitvoeringswetgeving grotendeels te hernemen en te consolideren.

1 Het Vlaams Parlement nam dit decreet aan op 27 juni 2018. Op datum van onderhavig advies is het decreet nog niet gepubliceerd in het Belgisch Staatsblad. De aangenomen tekst kan worden geraadpleegd op de website van het Vlaams Parlement via de link https://www.vlaamsparlement.be/parlementaire-documenten/parlementaire-initiatieven/1268467 .

2 Besluit van de Vlaamse Regering houdende de uitvoering van het decreet van 24 juni 2016 houdende de Vlaamse sociale bescherming, BS 16 december 2016.

3 Recent bracht de Autoriteit haar advies 63/2018 uit over het voorontwerp van besluit van de Vlaamse Regering tot uitvoering van het decreet houdende de Vlaamse sociale bescherming, te raadplegen via de link

https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/advies_63_2018.pdf .

(3)

6. In haar advies 55/2017 van 20 september 2017⁴ sprak de Commissie voor de bescherming van de persoonlijke levenssfeer, de Commissie, zich uit over een voorontwerp van decreet dat zou uitmonden in het overnamedecreet dat wordt uitgevoerd door dit ontwerpbesluit. In dit advies vestigde de Commissie de aandacht op onder meer de volgende punten:

- precisering van de betrokken categorieën gegevens, hetzij in de tekst van het decreet, hetzij door deze te specifiëren in een besluit, hetzij door middel van een machtiging;

- precisering van de bewaartermijn van de verwerkte persoonsgegevens of erin voorzien dat de Regering zal bepalen gedurende welke concrete termijn deze maximaal zullen worden bewaard;

- de noodzaak tot het omkaderen van de verdere verwerking van persoonsgegevens voor onderzoeks- en beleidsondersteunende doeleinden.

7. Het voorliggende advies houdt rekening met de mate waarin de aanvrager navolging gaf aan de opmerkingen die de Commissie formuleerde in advies 55/2017.

II. ONDERZOEK VAN DE ADVIESAANVRAAG

8. In overeenstemming met artikel 23, §1, 1° wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit beperkt de Autoriteit haar analyse tot de wetsbepalingen die betrekking hebben op de verwerking van persoonsgegevens.

1. Doeleinde en rechtsgrondslag

9. Volgens artikel 5.1.b) AVG is de verwerking van persoonsgegevens enkel toegestaan voor welbepaalde uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Elke verwerking van persoonsgegevens moet bovendien steunen op een rechtsgrondslag in de zin van artikel 6 AVG. De verwerking van bijzondere categorieën van persoonsgegevens, waaronder gegevens over gezondheid, is volgens artikel 9.1 AVG principieel verboden, tenzij de verantwoordelijke van de verwerking zich kan beroepen op één van de rechtvaardigingsgronden van artikel 9.2 AVG.

10. Krachtens artikel 22 van de Grondwet zijn de nagestreefde doeleinden essentiële elementen die de formele wet of het decreet zelf moeten vastleggen⁵. Het overnamedecreet bakent deze

4 Advies 55/2017 van de Commissie van 20 september 2017, te raadplegen via de link

5 Advies 34/2018 van de Commissie van 11 april 2018, randnummer 31, te raadplegen via de link

(4)

doelstellingen af waardoor het ontwerpbesluit - zonder formele wetsgrondslag - geen nieuwe, autonome doelstellingen in het leven kan roepen. In advies 55/2017 stelde de Commissie vast dat de doelstellingen van het overnamedecreet welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn⁶.

11. In verband met de rechtsgrondslag voor de verwerking van gezondheidsgegevens neemt de Autoriteit er akte van dat het overnamedecreet deze steunt op artikel 9.2.h) AVG⁷.

2. Proportionaliteit

12. Artikel 5.1.c) AVG bepaalt dat persoonsgegevens beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”).

13. In haar advies 55/2017 was de Commissie van mening dat de toenmalige omschrijving van de categorieën van gegevens in het overnamedecreet niet toeliet om de proportionaliteit van de gegevensverwerking te beoordelen. Bovendien merkte de Raad van State op dat krachtens het legaliteitsbeginsel vervat in artikel 22 van de Grondwet, de verwerkte persoonsgegevens in het decreet zelf moesten worden omschreven⁸. In antwoord op deze bemerkingen besloot de aanvrager om artikel 13, §2 van het overnamedecreet aan te passen door voor elke actor alle wettelijke opdrachten op te sommen en te bepalen dat zij slechts de persoonsgegevens mogen verwerken die voor deze opdrachten noodzakelijk zijn. In de memorie van toelichting geeft de aanvrager aan dat het onmogelijk is om een exhaustieve lijst van persoonsgegevens vast te leggen in het decreet⁹.

14. Uit artikel 4 van het ontwerpbesluit blijkt de keuze van de aanvrager om de persoonsgegevens die de verzekeringsinstellingen, de zorgkassencommissie, de expertencommissie en de zorgvoorzieningen verwerken, nader te bepalen bij besluit van de Vlaamse regering. Artikel 4, §1 somt voor elk van deze actoren een specifieke lijst van gegevenscategorieën op:

- A) de zorgkassencommissie : voornaam, achternaam, leeftijd, geslacht, rijksregister- nummer, woon- en verblijfplaats, verzekeringsstatus en gezondheidsgegevens.

6 Advies 55/2017 van de Commissie van 20 september 2017, randnummer 9, te raadplegen via de link

7 Dit blijkt met name uit artikel 13, §1, tweede lid van het overnamedecreet.

8 Advies 62.477/1 van de Raad van State van 19 februari 2018, randnummer 21, te raadplegen via de link http://www.raadvst-consetat.be/dbx/adviezen/62477.pdf#search=62477 .

9 Parl.St. Vlaams Parlement 2017-2018, nr. 1588/1, te raadplegen via de link

https://www.vlaamsparlement.be/parlementaire-documenten/parlementaire-initiatieven/1253684 .

(5)

- B) de expertencommissie :dezelfde persoonsgegevens als vermeld in punt A) en de naam en de kwalificatie van de leidinggevenden van de revalidatievoorziening.

- C) de zorgvoorzieningen :dezelfde persoonsgegevens als vermeld in punt A) en de nationaliteit van de zorggebruiker.

- D) verzekeringsinstellingen : dezelfde persoonsgegevens als vermeld in punt C), de gezinssamenstelling, het gezinsinkomen, de loongegevens, het sociaal statuut en het attest van gevangenschap.

15. De Autoriteit verwelkomt deze uitwerking van de te verwerken gegevenscategorieën en merkt op dat een nadere omschrijving van de uitgewisselde gezondheidsgegevens plaats kan vinden door een beraadslaging van de kamer sociale zekerheid en gezondheid van het informatieveiligheidscomité¹⁰. De Autoriteit merkt echter op dat het ontwerpbesluit niet op dezelfde manier aangeeft welke gegevenscategorieën het Agentschap Zorg en Gezondheid zal verwerken. De Autoriteit nodigt de aanvrager uit om de gegevensstromen die aankomen en vertrekken bij het Agentschap Zorg en Gezondheid beter te omschrijven, ofwel door het ontwerpbesluit zelf aan te passen, ofwel door middel van een beraadslaging van het informatieveiligheidscomité.

16. Artikel 315, §1 van het ontwerpbesluit somt de persoonsgegevens op die deel uitmaken van het patiëntendossier dat de multidisciplinaire begeleidingsequipe bijhoudt van elke palliatieve persoon.

17. In uitvoering van artikel 13, §6 van het overnamedecreet bepalen de artikelen 4, §3 en §4 de wijze voor de doorgifte van bepaalde persoonsgegevens met het oog op het voeden van evidence-based beleidsvoering. De verzekeringsinstellingen, de expertencommissie en de zorgkassencommissie bezorgen uitsluitend statistische informatie aan het Agentschap Zorg en Gezondheid en het Agentschap Vlaamse Sociale Bescherming. Binnen het kader van deze drie gegevensstromen ontvangen deze agentschappen dus zelf geen persoonsgegevens.

18. Krachtens de artikelen 4, §4, eerste lid, 90 en 145 van het ontwerpbesluit bezorgen de zorgvoorzieningen (psychiatrische verzorgingstehuizen en initiatieven beschut wonen) jaarlijks aan het Agentschap Zorg en Gezondheid de persoonsgegevens van de zorggebruikers vermeld in bijlagen 1 of 2 van het ontwerpbesluit. Beide bijlagen bevatten een lijst van twintig persoons-

10 Zie artikel 2 en 18 van de wet van 5 september 2018 tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG, BS 10 september 2018.

(6)

gegevens die uitsluitend gekoppeld zijn aan het behandelingsnummer¹¹ van de zorggebruiker.

Het gaat om gepseudonimiseerde persoonsgegevens.

19. In tegenstelling tot wat artikel 13, §7 van het overnamedecreet oplegt, bepaalt het ontwerpbesluit noch de wijze, noch de periodiciteit waarmee de gegevens worden bezorgd aan het Intermutualistisch Agentschap.

20. Voor de verwerking van persoonsgegevens voor statistische doelen en beleidsondersteunend onderzoek zullen de verzekeringsinstellingen, de zorgvoorzieningen, de expertencommissie en de zorgkassencommissie rekening moeten houden met Titel 4 van de wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens¹². Gelet op het advies 55/2017 van de Commissie benadrukt de Autoriteit het belang om de entiteiten aan te duiden die de onderliggende persoonsgegevens zullen aggregeren als Trusted Third Party (TTP)¹³. Indien deze actoren zelf de persoonsgegevens voldoende aggregeren vooraleer zij de statistische gegevens overmaken aan de agentschappen, is de tussenkomst van een TTP strikt genomen niet noodzakelijk.

21. Samengevat stelt de Autoriteit vast dat de persoonsgegevens vermeld in randnummers 14 tot en met 20 van dit advies, relevant en niet overmatig zijn om het beoogde doel te bereiken.

De aanvrager moet echter de persoonsgegevens die het Agentschap Zorg en Gezondheid zal verwerken beter omschrijven en de wijze en periodiciteit van de gegevensuitwisseling met het Intermutualistisch Agentschap bepalen.

3. Bewaartermijn

22. Volgens artikel 5.1.e) AVG mogen persoonsgegevens niet langer worden bewaard, in een vorm die het mogelijk maakt de betrokkenen te identificeren, dan noodzakelijk voor de verwezenlijking van de doeleinden waarvoor zij worden verwerkt.

23. Artikel 13, §4 van het overnamedecreet bepaalt dat de Vlaamse Regering, na advies van de Autoriteit, de maximale bewaartermijn zal bepalen van de verwerkte persoonsgegevens.

11 Het behandelingsnummer moet bovendien uniek zijn en mag geen persoonsgegevens, zoals een geboortedatum, bevatten.

12 De Kamer van Volksvertegenwoordigers nam de tekst aan op 19 juli 2018, maar op datum van onderhavig advies is de wettekst nog niet gepubliceerd in het Belgisch Staatsblad, te raadplegen via de link

http://www.dekamer.be/kvvcr/showpage.cfm?section=/flwb&language=nl&cfm=/site/wwwcfm/flwb/flwbn.cfm?lang=N&legisl at=54&dossierID=3126 .

13 Zie ook Aanbeveling nr. 02/2010 van de Commissie van 31 maart 2010 omtrent de privacybeschermende rol van Trusted

Third Parties (TTP) bij gegevensuitwisseling, te raadplegen via de link :

https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/recommandation_02_2010_0.pdf

(7)

24. Artikel 315, §4 van het ontwerpbesluit bepaalt dat het patiëntendossier ten hoogste tien jaar wordt bewaard na het laatste contact met de palliatieve persoon in kwestie.

25. Voor de overige pijlers voorziet het ontwerpbesluit in geen enkele bewaartermijn. Artikel 4,

§3 van het ontwerpbesluit bepaalt dat persoonsgegevens die verwerkt worden in het kader van het overnamedecreet niet langer mogen bewaard worden dan noodzakelijk. Door artikel 5.1.e) AVG eenvoudigweg te herhalen biedt dit artikel geen juridische toegevoegde waarde en schendt het bovendien het overschrijfverbod van de AVG. Het ontwerpbesluit bepaalt dus niet voor elke afzonderlijke finaliteit een maximale bewaartermijn.

26. De Autoriteit dringt er bij de aanvrager op aan om artikel 13, §4 van het overnamedecreet uit te voeren zodat het mogelijk wordt de bewaartermijnen te toetsen op hun proportionaliteit.

4. Artikelsgewijze opmerkingen

27. De artikelen 110 en 153 van het ontwerpbesluit bepalen dat respectievelijk de psychiatrische verzorgingstehuizen en de initiatieven beschut wonen, een reglement moeten aannemen en meedelen aan de zorggebruikers over de verwerking van persoonsgegevens. Dit reglement is een verdere aanvulling op artikel 13 van de AVG. De Autoriteit verwelkomt dit initiatief dat verder geen aanleiding tot opmerkingen geeft.

28. De artikelen 5 tot en met 8 van het voorontwerp regelen de bewijswaarde van persoonsgegevens verkregen bij het Rijksregister van de natuurlijke personen. Deze regeling laat zich samenvatten als volgt:

- in de betrekkingen tussen enerzijds de verzekeringsinstellingen en het Agentschap Zorg en Gezondheid en anderzijds derden, hebben deze persoonsgegevens bewijswaarde op voorwaarde dat zij worden opgetekend op een gedateerd en gevalideerd elektronisch bestand (artikel 5 ontwerpbesluit );

- in de onderlinge betrekkingen tussen de verzekeringsinstellingen en het Agentschap Zorg en Gezondheid, hebben deze persoonsgegevens bewijswaarde indien ze voorkomen in een gegevensbank die een historiek bijhoudt van alle mededelingen van die gegevens vanuit het Rijksregister voor natuurlijke personen (artikel 6 ontwerpbesluit );

- in afwachting van de oprichting van die gegevensbank is artikel 5 van het ontwerpbesluit van toepassing tussen de verzekeringsinstellingen en het Agentschap Zorg en Gezondheid onderling.

(8)

29. De Autoriteit wijst erop dat deze uitgebreide regeling – geïnspireerd op een koninklijk besluit van 10 oktober 1994¹⁴ – niet nodig is om de bewijswaarde van informatiegegevens afkomstig uit het Rijksregister te garanderen. Na aanpassing door de wet van 25 april 2007¹⁵ stelt artikel 4, derde lid van de Rijksregisterwet¹⁶ immers dat: “De gegevens die het Rijksregister opneemt en bewaart […], gelden tot bewijs van het tegendeel”. Uit de memorie van toelichting blijkt uitdrukkelijk de intentie van de wetgever om door dit wetsartikel de bewijskracht te regelen

“zowel ten aanzien van de betrokkene die zijn eigen gegevens raadpleegt als met betrekking tot andere gemachtigde gebruikers (Belgische overheidsdiensten, […])^”¹⁷. Deze aanpassing nam de noodzaak weg om de bewijswaarde van Rijksregistergegevens te regelen in afzonderlijke besluiten¹⁸.

30. Het verlenen van bewijswaarde aan Rijksregistergegevens is geen legitieme doelstelling om deze gegevensbank op te richten aangezien artikel 4, derde lid van de Rijksregisterwet^dit doeleinde al vervult. Bovendien zouden deze bepalingen van het ontwerpbesluit aanleiding kunnen geven tot een nodeloze duplicatie van Rijksregistergegevens – een vorm van gegevensintegratie – wat ingaat tegen het principe dat overheidsinstanties in de eerste plaats de authentieke bronnen zelf, in casu het Rijksregister, moeten raadplegen¹⁹.

31. Samengevat moet de aanvrager – in het licht van de randnummers 28 en 29 – nagaan of het überhaupt nog noodzakelijk is om deze gegevensbank op te richten en zo ja (indien er dus een andere finaliteit bestaat dan het verlenen van bewijskracht aan Rijksregistergegevens), voorzien in een omkadering van de doeleinden, toegang, gegevens en verantwoordelijkheid van deze gegevensbank.

III. BESLUIT

32. Gelet op het voorgaande oordeelt de Autoriteit dat het ontwerpbesluit voldoende waarborgen biedt wat de bescherming van de persoonsgegevens van de betrokkenen betreft op voorwaarde dat:

14 Koninklijk besluit van 10 oktober 1994 tot uitvoering van artikel 8 van de wet betreffende de verplichte verzekering voor geneeskundige verzorging en uitkeringen, gecoördineerd op 14 juli 1994, BS 8 december 1994.

15 Wet van 25 april 2007 houdende diverse bepalingen (IV), BS 8 mei 2007.

16 Wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, BS 21 april 1984.

17 Stukken, Kamer, 2006-2007, nr. 2873/001, blz. 8, te raadplegen via de link http://www.dekamer.be/FLWB/PDF/51/2873/51K2873001.pdf .

18 Zie in verband met het juridisch vacuüm dat deze noodzaak creëerde: F. Robben, “Bewijsrecht en informatietechnologie: de aanpak in de Belgische sociale zekerheid, Tijdschrift Computerrecht 1993/2, 56-60, te raadplegen via de link

https://www.anthologieprivacy.be/sites/anthology/files/Bewijsrecht_en_informatietechnologie.pdf .

19 Aanbeveling nr. 03/2009 van 1 juli 2009 uit eigen beweging in verband met integratoren in de overheidssector, https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_03_2009_1.pdf , randnummers 5 tot en met 12.

(9)

- de aanvrager de persoonsgegevens die het Agentschap Zorg en Gezondheid zal verwerken beter omschrijft en de wijze en periodiciteit van de gegevensuitwisseling met het Intermutualistisch Agentschap bepaalt (randnummer 20);

- de aanvrager artikel 13, §4 van het overnamedecreet uitvoert zodat het mogelijk wordt de bewaartermijn voor elke afzonderlijke finaliteit te toetsen op proportionaliteit (randnummer 26);

33. De Autoriteit brengt echter een ongunstig advies uit over de artikelen 5 tot en met 8 van het ontwerpbesluit aangezien de aanvrager de noodzaak om de gegevensbank in artikel 6 van het ontwerpbesluit op te richten moet evalueren. Indien deze toch noodzakelijk zou zijn moet de aanvrager voorzien in een omkadering van de doeleinden, toegang, persoonsgegevens en verantwoordelijkheid van deze gegevensbank (randnummer 31).

OM DEZE REDENEN

Brengt de Autoriteit een ongunstig advies uit over de artikelen 5 tot en met 8 van het ontwerpbesluit en een gunstig advies voor de overige bepalingen van het ontwerpbesluit onder naleving van de voorwaarden vermeld in randnummer 32.

De Wnd. Administrateur, De Voorzitter,

(get.) An Machtens (get.) Willem Debeuckelaere