Advies nr. 150/2018 van 19 december 2018
Betreft: Ontwerp van besluit van de Vlaamse Regering tot wijziging van het besluit van de Vlaamse Regering van 2 februari 2007 tot instelling van een tegemoetkoming in de huurprijs voor woonbehoeftige huurders en het besluit van de Vlaamse Regering van 4 mei 2012 tot instelling van een tegemoetkoming voor kandidaat-huurders (CO-A-2018-153)
De Gegevensbeschermingsautoriteit (hierna "de Autoriteit");
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikel 23 en 26 (hierna “WOG”);
Gelet op deVerordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna “AVG”);
Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG”);
Gelet op het verzoek om advies van Mevr. Liesbeth Homans, Vlaams Minister van Binnenlands Bestuur, Inburgering, Wonen, Gelijke Kansen en Armoedebestrijding ontvangen op 30 oktober 2018;
Gelet op het verslag van de heer Willem Debeuckelaere;
Brengt op 19 december 2018 het volgend advies uit:
I. VOORWERP VAN DE ADVIESAANVRAAG
1. De Vlaamse minister van Binnenlands Bestuur, Inburgering, Wonen, Gelijke Kansen en Armoedebestrijding (hierna “de aanvrager”) verzocht op 30 oktober 2018 het advies van de Autoriteit over een ontwerp van besluit van de Vlaamse Regering tot wijziging van het besluit van de Vlaamse Regering van 2 februari 2007 tot instelling van een tegemoetkoming in de huurprijs voor woonbehoeftige huurders en het besluit van de Vlaamse Regering van 4 mei 2012 tot instelling van een tegemoetkoming voor kandidaat-huurders (hierna “het Ontwerp”).
2. Het Ontwerp maakt onderdeel uit van een geheel aan maatregelen van de Vlaamse Regering die tot doel hebben om een onderbenut potentieel aan kwaliteitsvolle en betaalbare huurwoningen aan te boren. In het Ontwerp worden daarom nieuwe regels voorgesteld die zouden moeten bijdragen aan de versteviging van het vertrouwen van zowel sociale verhuurkantoren als private investeerders, opdat deze bereid zouden zijn om op lange termijn woningen ter beschikking te stellen. Concreet voorziet het Ontwerp in:
• een verhoging van de huursubsidie –en premie;
• een tegemoetkoming in functie van het inkomen en dit inkomen zal bovendien jaarlijks gecontroleerd worden;
• een extra inspanning voor huurders van nieuwe woningen die door sociale verhuurkantoren aangeboden worden;
• het optrekken van de inkomensgrenzen naar de inkomensgrenzen die vandaag voor de inschrijving bij een sociale huisvestingsmaatschappij van toepassing zijn (ten einde het aanbod via sociale verhuurkantoren en sociale huisvestingsmaatschappijen meer op gelijke voet te plaatsen);
• het wegvallen van de verplichting om zich in te schrijven bij een sociale huisvestingsmaatschappij voor huurders van woningen die door sociale verhuurkantoren aangeboden worden;
• het wegvallen van de begrenzing in de tijd van de gesubsidieerde periode voor huurders van woningen die door sociale verhuurkantoren aangeboden worden (vandaag wordt die periode immers beperkt tot 9 jaar);
• een gelijkstelling van de inkomensdefinitie en de wijze waarop het inkomen voor beide stelsels berekend wordt;
• een éénduidige formulering van het begrip “huurovereenkomst”;
• de voorwaarde dat verhuizers – om recht te hebben op huursubsidie – een woning verlaten die ongeschikt en onbewoonbaar werd verklaard.
3. Het is evident dat er in deze context ook tal van verwerkingen van persoonsgegevens zullen plaatsvinden en de Autoriteit gaat daarom na in hoeverre het Ontwerp in lijn ligt met de principes van het gegevensbeschermingsrecht.
II. ONDERZOEK VAN DE ADVIESAANVRAAG 1. Kwaliteit van de regelgevende grondslag
4. De Autoriteit stelt vooreerst vast dat het Ontwerp – zoals de titel het ook aangeeft – wijzigingen zal aanbrengen in twee bestaande uitvoeringsbesluiten:
• Besluit van de Vlaamse Regering van 2 februari 2007 tot instelling van een tegemoetkoming in de huurprijs voor woonbehoeftige huurders (hierna: “het Besluit van 2 februari 2007”)
• Besluit van de Vlaamse Regering van 4 mei 2012 tot instelling van een tegemoetkoming voor kandidaat-huurders (hierna: “het Besluit van 4 mei 2012”)
5. Deze uitvoeringsbesluiten bevatten vandaag reeds heel wat bepalingen die verwerkingen van persoonsgegevens impliceren. Het Ontwerp voorziet in een aantal – eerder beperkte - wijzigingen van sommige van die verwerkingen. De Autoriteit maakt evenwel van de gelegenheid gebruik om de kwaliteit van de globale regelgevende basis aan een evaluatie te onderwerpen, aangezien het Ontwerp inherent onderdeel uitmaakt van dit globale plaatje en een afzonderlijke beoordeling geen meerwaarde zou hebben. Zij buigt zich aldus ook over de bepalingen van de Besluiten van 2 februari 2007 & 4 mei 2012 die niet gewijzigd worden door het Ontwerp. Concreet meent de Autoriteit dat minstens1 de volgende aspecten uit onderhavige regelgeving verwerkingen van persoonsgegevens impliceren:
• In het kader van de ‘tegemoetkoming in de huurprijs voor woonbehoeftige huurders’2: o de beoordeling of woningen conform en/of inzake bezetting aangepast zijn
en/of aan bepaalde ‘mobiliteitscriteria’ voldoen;
o de vaststelling of de huurder een woning heeft verlaten die werd gesloopt;
o de vaststelling of huurder in een openluchtrecreatief verblijf gewoond heeft;
o de vaststelling of de huurder een verhoging van het leefloon heeft ontvangen;
o het achterhalen van het inkomen van de huurder en het controleren of de
‘patrimoniale voorwaarde’3 voldaan is;
1 Het is aan de verwerkingsverantwoordelijke(n) om een volledige inventaris van alle verwerkingen te maken (artikel 30 AVG).
2 Zie Besluit van 2 februari 2007 & artikelen 1 t.e.m. 12 van het Ontwerp.
3 De patrimoniale voorwaarde houdt in dat een huurder (noch zijn inwonende gezinsleden) geen huis/perceel in eigendom (of bv. vruchtgebruik) mag (mogen) hebben.
o de bepaling van de gezinssamenstelling en de personen ten laste;
o de vaststelling van de leeftijd/handicap van de huurder of het inwonend gezinslid;
o het genieten van eventuele andere tegemoetkomingen;
o de bepaling van de maximale huurprijs;
o de inschrijving in het inschrijvingsregister van een sociale huisvestingsmaatschappij;
o de jaarlijkse controle door het Agentschap Wonen-Vlaanderen om na te gaan of de huurder nog aan de voorwaarden voldoet;
o de terugvordering van onterecht uitbetaalde tegemoetkomingen;
• in het kader van de ‘tegemoetkoming voor kandidaat-huurders’4:
o de aanvulling van ‘de inschrijvingsregisters’ van de sociale huisvestingsmaatschappijen5;
o de aanvulling van ‘het actualisatiebestand’ van de Vlaamse Maatschappij voor Sociaal Wonen6;
o de creatie van ‘het referentiebestand’7; o de bepaling van ‘de domiciliemaatschappij’8;
o de beoordeling of woningen conform en/of inzake bezetting aangepast zijn;
o de bepaling van de hoofdverblijfplaats van de kandidaat-huurder;
o de bepaling van het inkomen en het aantal personen ten laste van de kandidaat-huurder;
o de vaststelling van de leeftijd/handicap van de kandidaat-huurder;
o de bepaling van de maximale huurprijs;
o de jaarlijkse controle door het Agentschap Wonen-Vlaanderen om na te gaan of de huurder nog aan de voorwaarden voldoet;
o de terugvordering van onterecht uitbetaalde tegemoetkomingen;
6. De verwerkingen betreffende de bovenstaande aspecten zouden (vrijwel) steeds artikel 6.1. c) AVG, of artikel 6.1. e) AVG als grondslag moeten hebben. De Autoriteit onderlijnt daarom het belang van artikel 6.3 AVG dat - in samenlezing met artikel 8 EVRM en artikel 22
4 Zie Besluit van 4 mei 2012 & artikelen 13 t.e.m. 20 van het Ontwerp.
5 Het betreft het register van elke sociale huisvestingsmaatschappij waarin kandidaat-huurders zijn ingeschreven (artikel 1, 7°, Besluit van 4 mei 2012).
6 Het betreft een bestand dat de wachtlijsten van de kandidaat-huurders bevat. Het wordt door de VMSW bijgehouden op basis van de periodieke actualisatie van de inschrijvingsregisters. (artikel 1, 1°, Besluit van 4 mei 2012).
7 Het betreft een uittreksel uit het actualisatiebestand dat alle kandidaat-huurders bevat wiens inkomen onder een bepaalde drempels zit (artikel 1, 12°, Besluit van 4 mei 2012).
8 Het betreft een sociale huisvestingsmaatschappij waarvan het werkgebied zich uitstrekt tot de woonplaats van de kandidaat- huurder (artikel 1, 4°, Besluit van 4 mei 2012).
van de Grondwet - voorschrijft dat regelgeving die dergelijke verwerkingen omkadert, in principe minstens de volgende essentiële elementen van die verwerkingen zou moet vermelden:
• het doel van de verwerking;
• de types of categorieën van te verwerken persoonsgegevens; Deze gegevens moeten bovendien beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”)9;
• de betrokkenen;
• de entiteiten waaraan en doeleinden waarvoor de persoonsgegevens mogen worden verstrekt;
• de opslagperioden10;
• de aanduiding van de verwerkingsverantwoordelijke(n)11.
7. Het komt de stellers van het Ontwerp toe om erover te waken dat elke verwerking die in onderhavige context zal plaatsvinden een rechtsbasis vindt in artikel 6 AVG – en desgevallend in artikel 9 AVG12 – en dat de in randnummer 6 opgesomde elementen in de regelgeving opgenomen worden. De Autoriteit constateert alvast dat uit de huidige tekst van het Ontwerp en van de Besluiten van 2 februari 2007 & 4 mei 2012 meestal wel kan afgeleid worden welke het doeleinde is van de vooropgestelde verwerkingen, maar dat de andere aspecten die in randnummer 6 worden opgesomd vaak niet of ondermaats aan bod komen. Heel wat bijkomende aanvullingen en preciseringen dringen zich dan ook op.
8. Ten tweede vestigt de Autoriteit de aandacht op artikel 5, §3, van het Besluit van 2 februari 2007, dat als volgt luidt: “De huurder en de inwonende gezinsleden geven door de indiening van de aanvraag de toestemming aan het agentschap om bij de bevoegde diensten van de Federale Overheidsdienst Financiën, bij het Rijksregister, bij de Kruispuntbank van de Sociale
9 Zie artikel 5.1.c) AVG.
10 Zie ook artikel 5.1.e) AVG.
11 Indien er meerdere verantwoordelijken voor de verwerking zouden aangeduid worden, dient desgevallend ook rekening gehouden te worden met artikel 26 van de AVG, dat de verplichting oplegt om tussen gezamenlijke verwerkingsverantwoordelijken in een onderlinge contractuele regeling te voorzien waarin hun respectieve verantwoordelijkheden worden vastgelegd. Het dient in elk geval voor elke verwerking duidelijk te zijn welke actor(en) als verwerkingsverantwoordelijke(n) optreden.
12 In onderhavige context zullen in beperkte mate – met name in de gevallen waarin gegevens verwerk worden van “personen ten laste” die “beschouwd worden als ernstig gehandicapt” – ook bijzondere categorieën van persoonsgegevens in de zin van artikel 9.1 AVG verwerkt worden. De Autoriteit merkt in dit verband op dat als de aanvrager een dergelijke verwerking zou willen stoelen op artikel 9.2. g) AVG, hij het zwaarwegend algemeen belang moet aantonen dat de verwerking van deze gegevens noodzaakt. Bovendien moet de regelgeving die deze verwerking omkadert specifieke maatregelen bevatten om te waken over de bescherming van de grondrechten en de fundamentele belangen van de betrokkenen en dient deze regelgeving aan dezelfde algemene kwaliteitsvereisten te voldoen zoals hoger werd geschetst in randnummer 6. Het Ontwerp dient aldus in die zin te worden aangepast opdat het in overeenstemming zou zijn met artikel 9 AVG.
Zekerheid en bij de lokalen besturen digitaal de noodzakelijke gegevens te verkrijgen betreffende het inkomen, de gezinssamenstelling en de patrimoniale voorwaarde (…)”
Artikel 5 van het Besluit van 4 mei 2012 bevat een gelijkaardige bepaling:
De kandidaat-huurder en de inwonende gezinsleden geven door de indiening van het invulformulier, vermeld in artikel 4, de toestemming aan het agentschap, aan de sociale huisvestingsmaatschappij en aan de VMSW om bij de bevoegde diensten van de Federale van de Federale Overheidsdienst Financiën, bij het Rijksregister, bij de Kruispuntbank van de Sociale Zekerheid en bij de lokalen besturen digitaal de gegevens in te zien die betrekking hebben op de voorwaarden, vermeld in dit besluit, en op de voorwaarden om kandidaat- huurder te zijn.”
De Autoriteit wijst er op dat de “toestemming” in onderhavige context niet de geschikte rechtsgrondslag vormt om persoonsgegevens te verwerken.
Overweging 43 van de AVG verbiedt immers “toestemming” als rechtsgrond in de relatie tussen burger en overheid: “(…) mag toestemming geen geldige rechtsgrond zijn voor de verwerking van persoonsgegevens in een specifiek geval wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, met name wanneer de verwerkingsverantwoordelijke en overheidsinstantie is (…)”. Afhankelijk van de wijze waarop deze toestemming in de praktijk wordt gevraagd, is overigens mogelijks evenmin sprake van een ‘geïnformeerde’ en ‘ondubbelzinnige’ wilsuiting13 14. En in ondergeschikte orde kan er ook nog op gewezen worden dat de “inwonende gezinsleden”
waarvan sprake in de twee geciteerde artikels, wellicht sowieso geen toestemming geven.
Gelet op al deze knelpunten en zoals hoger reeds aangehaald, is de Autoriteit van oordeel dat artikel 6.1. punt c) of punt e) AVG, in onderhavige context de meest geschikte rechtsgronden vormen. De Autoriteit verzoekt dan ook om de notie “toestemming” uit de geciteerde bepalingen te verwijderen.
9. Aansluitend met wat in randnummer 6 wordt uiteengezet, wijst de Autoriteit er ook op dat deze twee in randnummer 8 geciteerde artikels uit de Besluiten van 2 februari 2007 & 4 mei 2012 een opsomming zouden moeten bieden van alle authentieke bronnen waar het Agentschap Wonen-Vlaanderen (en eventuele andere instellingen) gegevens kunnen opvragen (en/of kunnen aan doorgeven), alsook van de gegevenscategorieën die zullen verwerkt worden. Het zou ook duidelijk moeten zijn welke verwerkingen precies zullen uitgevoerd worden: gaat het om een doorgifte of om een loutere consultatie? Zullen de gegevens gebruikt worden ter verificatie van informatie die ook door de betrokkenen worden aangeleverd (zie artikel 6 van het Besluit van 2 februari 2007 & artikel 5, tweede lid, van het
13 Zie artikel 4, punt 11), artikel 6.1. punt a) & artikel 7 AVG.
14 Zie ook de Richtsnoeren (WP 259) van de rechtsvoorganger van de EDPB mbt het concept “toestemming” in de zin van de AVG: (https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051 )
Besluit van 4 mei 2012) of worden de gegevens gewoon rechtstreeks in deze bronnen geconsulteerd/opgevraagd en hoeft de betrokken deze zelf niet meer aan te leveren? Ook op deze twee punten dienen de hoger geciteerde artikels van de Besluiten van 2 februari 2007 &
4 mei 2012 aldus te worden verduidelijkt. Bovendien moet hierbij rekening gehouden worden met de bestaande regelgeving inzake egovernment15, die voorschrijft dat gegevens – in de mate van het mogelijke – rechtstreeks bij de authentieke bron (en niet bij de burger) zouden worden opgevraagd.
10. Ten derde stelt de Autoriteit vast dat in artikel 5, vierde lid, van het Besluit van 4 mei 2012, nog wordt verwezen naar het machtigingssysteem zoals dit in het verleden in de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer en opzichte van de verwerking van persoonsgegevens was vastgelegd. De Autoriteit wijst er op dat deze wet intussen werd opgeheven. Tegelijk vestigt de Autoriteit de aandacht op:
• het recente artikel 20 van de WVG en op artikel 16 van het Vlaams decreet van 8 juni 201816, die aan overheden de verplichting opleggen om protocolakkoorden af te sluiten voor gegevensuitwisselingen in de publieke sector;
• de bevoegdheden van het recent opgerichte “informatieveiligheidscomité”17.
11. Tot slot dringt de Autoriteit er op aan om de organisatie en de coördinatie van de diverse gegevensstromen te laten gebeuren door wettelijk omkaderde dienstenintegratoren (zoals de Vlaamse Dienstenintegrator en/of de Kruispuntbank van de Sociale Zekerheid), aangezien deze actoren ter zake over de meeste ervaring en expertise beschikken. Voor sommige verwerkingen is de tussenkomst van dienstenintegratoren overigens wettelijk verplicht. Het strekt tot aanbeveling om de tussenkomst van de bevoegde dienstenintegratoren ook expliciet in het Ontwerp te vermelden.
2. Verantwoordelijkheid
12. Artikel 4.7 AVG bepaalt dat voor de verwerkingen waarvan de regelgeving het doel en de middelen vastlegt, de verwerkingsverantwoordelijke diegene is die de wetgeving in kwestie aanduidt. Het Ontwerp bevat dienaangaande geen specifieke bepalingen, wat zoals hoger aangehaald een hiaat betreft (zie hoger randnummer 6).
15 Zie artikel 3 van het Vlaams decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer.
16 Decreet van 8 juni 2018 houdende de aanpassing van de decreten aan de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming))
17 https://dt.bosa.be/nl/ivc
13. Volledigheidshalve – en onverminderd alle andere verplichtingen die de AVG en de WVG opleggen – wijst de Autoriteit op de plicht van elke verwerkingsverantwoordelijke om na te gaan of de aanstelling van een functionaris voor de gegevensbescherming (artikel 37 AVG)18 en/of het uitvoeren van een gegevensbeschermingseffectenbeoordeling (artikel 35 AVG)19 20 al dan niet noodzakelijk is.
3. Rechten van de betrokkenen
14. De Autoriteit neemt er akte van dat het Ontwerp geen afwijkingen op de AVG-rechten voorziet.
4. Beveiligingsmaatregelen
15. Artikel 32 AVG verplicht de verwerkingsverantwoordelijke om gepaste technische en organisatorische maatregelen te treffen die nodig zijn voor de bescherming van de persoonsgegevens. Deze maatregelen moeten een passend beveiligingsniveau verzekeren rekening houdend, enerzijds, met de stand van de techniek ter zake en de kosten voor het toepassen van de maatregelen en, anderzijds, met de aard van de te beveiligen gegevens en de potentiële risico’s.
16. Artikel 32 AVG wijst in dit verband op een aantal voorbeeldmaatregelen om, waar passend, een op het risico afgestemd beveiligingsniveau te waarborgen:
- de pseudonimisering en versleuteling van persoonsgegevens;
18 Voor richtlijnen dienaangaande, zie:
- Info op website van de Autoriteit: https://www.gegevensbeschermingsautoriteit.be/themadossier-functionaris-voor- gegevensbescherming
- Aanbeveling nr. 04/2017 van de Commissie voor de bescherming van de persoonlijke levenssfeer (hierna “CBPL”) (https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_04_2017_0.pdf ) - Richtlijnen Groep 29 (WP 243)
(https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/wp243rev01_nl.pdf )
19 Voor richtlijnen dienaangaande, zie:
- Info op website van de Autoriteit: https://www.gegevensbeschermingsautoriteit.be/gegevensbeschermingseffectbeoordeling- 0
- Aanbeveling CBPL nr. 01/2018
(https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_01_2018.pdf ) - Richtlijnen Groep 29 (WP 248)
(https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/wp248%20rev.01_nl.pdf )
20 Een gegevensbeschermingseffectbeoordeling kan overigens ook reeds uitgevoerd worden in het stadium waarin regelgeving – zoals bv. het Ontwerp en/of haar uitvoeringsbesluit – wordt voorbereid. Zie in dit verband artikel 35.10 AVG en randnummers 90-91 van de Aanbeveling CBPL nr. 01/2018.
Zie ook artikel 23 van de WVG, die in de verplichting voorziet om hoe dan ook een gegevensbeschermingseffectbeoordeling uit te voeren vóór de verwerkingsactiviteit, ook al werd reeds een algemene gegevensbeschermingseffectbeoordeling uitgevoerd in het kader van de vaststelling van de wettelijke grondslag.
- het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen te garanderen;
- het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;
- een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.
17. Voor de concrete uitwerking hiervan wijst de Autoriteit op de aanbeveling21 ter voorkoming van gegevenslekken en op de referentiemaatregelen22 die bij elke verwerking van persoonsgegevens in acht zouden moeten worden genomen. De Autoriteit onderstreept ook het belang van een behoorlijk gebruikers- en toegangsbeheer.23
18. Bijzondere categorieën van persoonsgegevens in de zin van de artikelen 9 & 10 AVG behoeven strengere beveiligingsmaatregelen (zie hoger voetnoot 12). De artikelen 9 & 10,§2, van de WVG geven aan welke bijkomende veiligheidsmaatregelen zullen moeten voorzien worden:
• de categorieën van personen aanwijzen die de persoonsgegevens kunnen raadplegen, waarbij hun hoedanigheid ten opzichte van de verwerking van de betrokken gegevens nauwkeurig moet worden omschreven;
• de lijst van de aldus aangewezen categorieën van personen ter beschikking houden van de Autoriteit;
• ervoor zorgen dat de aangewezen personen door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling ertoe gehouden zijn het vertrouwelijke karakter van de betrokken gegevens in acht te nemen.
19. Noch het Ontwerp, noch de Besluiten van 2 februari 2007 & 4 mei 2012, vermelden iets over de beveiliging van de persoonsgegevens. Hoewel deze verplichting natuurlijk voortvloeit uit de hoedanigheid van verwerkingsverantwoordelijke, beveelt de Autoriteit aan om in het Ontwerp de beveiligingsplicht beter te omkaderen.
21 Aanbeveling CBPL nr. 01/2013
(https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_01_2013_0.pdf )
22 Referentiemaatregelen CBPL voor de beveiliging van elke verwerking van persoonsgegevens, Versie 1.0 (https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/referentiemaatregelen_voor_de_b eveiliging_van_elke_verwerking_van_persoonsgegevens_0.pdf )
23 Zie ook Aanbeveling CBPL nr. 01/2008
(https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_01_2008_0.pdf ) Verschillende instanties kunnen hiervoor aangepaste technologische oplossingen bieden (zoals bijvoorbeeld de Kruispuntbank van de Sociale zekerheid).
III. BESLUIT
20. Het Ontwerp biedt onvoldoende waarborgen wat de bescherming van de persoonsgegevens van de betrokkenen betreft, omdat het geen oplossing biedt voor de vele hiaten/gebreken die in de Besluiten van 2 februari 2007 & 4 mei 2012 zijn geslopen. De volgende knelpunten dienen met name te worden aangepakt:
- de correcte rechtsgrond(en) aanwenden (randnummer 8);
- de essentiële elementen van alle geplande gegevensverwerkingen in het Ontwerp integreren (randnummers 6-7);
-de gegevensuitwisselingen vanuit overheidsinstanties door wettelijk omkaderde dienstenintegratoren laten organiseren (randnummer 11);
- bijkomende waarborgen preciseren teneinde een passend beveiligingsniveau te verzekeren (randnummer 19).
OM DEZE REDENEN
brengt de Autoriteit een ongunstig advies uit aangaande het ontwerp van besluit van de Vlaamse Regering tot wijziging van het besluit van de Vlaamse Regering van 2 februari 2007 tot instelling van een tegemoetkoming in de huurprijs voor woonbehoeftige huurders en het besluit van de Vlaamse Regering van 4 mei 2012 tot instelling van een tegemoetkoming voor kandidaat-huurders
De Wnd. Administrateur, De Voorzitter,
(get.) An Machtens (get.) Willem Debeuckelaere
