Advies, Gegevensbeschermingsautoriteit, 2023-11-20

Advies nr. 158/2023 van 20 november 2023 Betreft: een voorontwerp van ordonnantie betreffende het preventieve gezondheidsbeleid (CO-A-2023-435) Originele versie Het Kenniscentrum van de Gegevensbeschermingsautoriteit (hierna de “Autoriteit”), aanwezig: mevrouw Juline Deschuyteneer, mevrouw Cédrine Morlière, mevrouw Nathalie Ragheno en mevrouw Griet Verhenneman en de heren Yves-Alexandre de Montjoye, Bart Preneel en Gert Vermeulen Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikelen 23 en 26 (hierna “WOG”) Gelet op artikel 25, lid 3, WOG volgens hetwelk de beslissingen van het Kenniscentrum bij meerderheid van stemmen worden aangenomen Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna “AVG”) Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG”); Gelet op het verzoek om advies van de heer Alain Maron, lid van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie, belast met Gezondheid en Welzijn (hierna "de aanvrager"), ontvangen op 05/09/2023; Gelet op de bijkomende stukken, ontvangen op 05/09/2023; Gelet op de bijkomende inhoudelijke toelichting, ontvangen op 20/10/2023; Brengt op 20 november 2023 het volgend advies uit: I. VOORWERP VAN DE ADVIESAANVRAAG 1. De aanvrager verzoekt om het advies van de Autoriteit aangaande artikelen 8, 14, 15, 17, 19, . 20, 26, 27, 34, 40 en 42 van een voorontwerp van ordonnantie betreffende het preventieve gezondheidsbeleid (hierna "het voorontwerp van ordonnantie"). Context 2. De ordonnantie van 19 juli 2007 betreffende het preventieve 1 gezondheidsbeleid2 is, volgens de Memorie van toelichting (p. 1), na 15 jaar aan vernieuwing toe. Het voorontwerp van ordonnantie moet een aangepast en beter kader scheppen: “Een kader dat duidelijker en doeltreffender is, niet alleen voor de leden van de Verenigd College die bevoegd zijn voor de gezondheid en hun administratie op dit gebied, de Diensten van het Verenigd College, maar ook voor de partners die moeten deelnemen aan het preventieve gezondheidsbeleid en voor de hele Brusselse bevolking. 3 Ten slotte is het ook de bedoeling om de besluitvormingsprocedures betreffende uitzonderlijke gezondheidssituaties en maatregelen die rechten en vrijheden beperken, te verbeteren om transparantie en een democratisch debat met het Parlement te garanderen.” 3. De aan de Autoriteit voor advies voorgelegde artikelen uit het voorontwerp van ordonnantie betreffen o.m.: - de organisatie van preventieve acties ter bevordering van de gezondheid van de Brusselse bevolking door de Brusselse regionale maatschappijen van onderlinge bijstand 4 en de daarmee gepaard gaande gegevensverwerkingen en -uitwisselingen (zie artikel 8 van het voorontwerp van ordonnantie); - de organisatie van kankeropsporingsprogramma’s en de daarmee gepaard gaande gegevensverwerkingen (zie o.m. artikelen 14 en 15 van het voorontwerp van ordonnantie); - de gegevensregistratie van op het Brussels grondgebied toegediende (gesubsidieerde) vaccinaties (zie o.m. artikelen 19 en 20 van het voorontwerp van ordonnantie); - de gegevensregistraties met betrekking tot (de opsporing van) infectieziekten waarvoor een aangifteplicht bestaat (zie o.m. artikelen 17, 26, 27 en 34 van het voorontwerp van ordonnantie); - de gegevensverwerkingen (door contactopvolgingscentra5) en -uitwisselingen (met de bevoegde burgemeesters) in geval van een uitzonderlijke gezondheidssituatie 6 (zie artikelen 40 en 42 van het voorontwerp van ordonnantie). 4. De Autoriteit zal hierna de conformiteit nagaan van voormelde gegevensverwerkingen met de regelgeving terzake, inzonderheid de AVG en de WVG. II. ONDERZOEK VAN DE AANVRAAG Voorafgaande opmerkingen 5. Elke verwerking van persoonsgegevens moet een rechtsgrond of een rechtmatigheidsgrond hebben, zoals bepaald in artikel 6, lid 1, van de AVG. Gegevensverwerkingen die bij een normatieve maatregel zijn ingevoerd, zijn bijna altijd gebaseerd op artikel 6, lid 1, punt c) of e), van de AVG7. 6. Krachtens artikel 22 van de Grondwet, artikel 8 van het EVRM en artikel 6, lid 3, van de AVG, moet voor dergelijke verwerkingen duidelijke en nauwkeurige regelgeving gelden, waarvan de toepassing voor de betrokkenen voorzienbaar moet zijn8. Met andere woorden, de regelgeving die de gegevensverwerking regelt of waarvan de toepassing een gegevensverwerking met zich meebrengt, moet voldoen aan de vereisten van voorzienbaarheid en nauwkeurigheid, zodat bij lezing ervan, de betrokkenen duidelijk kunnen begrijpen welke verwerkingen met hun gegevens zullen worden verricht en onder welke omstandigheden deze verwerkingen zijn toegestaan. Bovendien is het volgens artikel 22 Grondwet noodzakelijk dat de "wezenlijke elementen" van de gegevensverwerking door middel van een formele wettelijke norm worden vastgesteld. 7. Overeenkomstig voormeld legaliteits- en voorzienbaarheidsbeginsel, moet de wetgevingsnorm minstens volgende essentiële verwerkingselementen vastleggen: - het (de) precieze en concrete doeleinde(n); - de identiteit van de verwerkingsverantwoordelijke(n) (tenzij dit duidelijk is). Voor zover de beoogde gegevensverwerkingen een belangrijke inmenging vertegenwoordigen in de rechten en vrijheden van de betrokkenen9, wat in casu ontegensprekelijk het geval is10, moet de wetgevingsnorm daarenboven volgende aanvullende (essentiële) verwerkingselementen vastleggen: - de (categorieën van) gegevens die noodzakelijk zijn voor de verwezenlijking van dit (deze) doeleinde(n); - de categorieën van betrokkenen wiens gegevens zullen worden verwerkt; - de maximale bewaartermijn van de gegevens; - de (categorieën van) ontvangers aan wie de gegevens worden meegedeeld, evenals de omstandigheden waarin en de redenen waarom de gegevens worden verstrekt; - in voorkomend geval en voor zover noodzakelijk, de beperking van de verplichtingen en/of rechten vermeld in de artikelen 5, 12 tot 22 en 34 AVG. 8. Artikel 22 Grondwet verbiedt de wetgever om af te zien van de mogelijkheid om zelf te bepalen welke inmengingen het recht op eerbiediging van de persoonlijke levenssfeer kunnen beknotten 11. In deze context is een delegatie aan de uitvoerende macht “niet in strijd met het wettigheidsbeginsel voor zover deze delegatie voldoende nauwkeurig is omschreven en louter betrekking heeft op de tenuitvoerlegging van maatregelen waarvan de essentiële elementen voorafgaandelijk door de wetgever zijn vastgelegd12”. 9. Aangezien de ingevolge het voorontwerp van ordonnantie omkaderde gegevensregistraties veelal gepaard gaan met een grootschalige verwerking van een bijzondere categorie van persoonsgegevens, nl. gegevens over gezondheid (zoals ook door de aanvrager zelf wordt aangegeven in het adviesaanvraagformulier), is/zijn de verwerkingsverantwoordelijke(n), krachtens artikel 35.3 van de AVG verplicht om vóór de verwerking een gegevensbeschermingseffectbeoordeling uit te voeren.13 Wanneer daaruit zou blijken dat de verwerking een hoog risico oplevert (ook na het nemen van maatregelen ter beperking van dat risico), moet de Autoriteit dienaangaande, in navolging van artikel 36 AVG, voorafgaandelijk worden geraadpleegd. A. ARTIKEL 8 VOORONTWERP VAN ORDONNANTIE – gegevensverwerking door RMOB’s bij preventieve acties ter bevordering van de gezondheid van de Brusselse bevolking 10. Artikel 8 van het voorontwerp van ordonnantie wil een kader bieden voor de verwerkingen van persoonsgegevens die gepaard gaan met de organisatie van preventieve acties door de Brusselse regionale maatschappijen voor onderlinge bijstand (of RMOB’s) die de gezondheid van (specifieke segmenten/doelgroepen van) de Brusselse bevolking of doelgroepen moet bevorderen. 11. De Autoriteit stelt vast dat dit artikel 8 van het voorontwerp van ordonnantie een omkadering (conform voormeld legaliteitsbeginsel zoals beschreven in randnrs. 6 en 7 van onderhavig advies) wil bieden voor de verwerkingen van persoonsgegevens die gepaard gaan met het realiseren door de Brusselse RMOB’s van een ongetwijfeld zeer divers amalgaam aan door het Verenigd College (nog) concreet te bepalen preventieve acties die de gezondheid van (eveneens) nog nader te definiëren doelgroepen binnen de Brusselse bevolking zouden moeten bevorderen. 12. Aangezien deze bepaling kennelijk een ruim en divers arsenaal aan acties en de daarmee gepaard gaande gegevensverwerkingen moeten capteren -die bovendien veelal pas in een later stadium door de uitvoerende macht zullen worden bepaald en uitgewerkt en waarvan de omvang en draagwijdte dus momenteel nog niet duidelijk is- blijft de formulering van deze ‘catch all’ bepaling zo vaag en allesomvattend dat ze haar doel voorbij schiet, meer bepaald: een voorzienbaar en nauwkeurig gegevensverwerkingskader bieden waarvan lezing de betrokkenen toelaat een duidelijk beeld te krijgen en te begrijpen welke verwerkingen met hun gegevens zullen worden verricht en onder welke omstandigheden deze verwerkingen zijn toegestaan. 13. Zoals hieronder nader zal worden toegelicht, maken onduidelijkheid en gebrek aan nauwkeurigheid van essentiële verwerkingselementen (inzonderheid het concreet beoogde doeleinde (in casu de concreet te realiseren preventieve acties) en de te verwerken (categorieën van) persoonsgegevens) het de Autoriteit moeilijk haar adviestaak naar behoren te vervullen en de naleving van de meest elementaire gegevensbeschermingsprincipes (waaronder doelbinding, minimale gegevensverwerking en opslagbeperking) waarvan sprake in artikel 5.1 AVG, te toetsen. 1. Verwerkingsdoeleinden 14. Volgens artikel 5.1.b) AVG is de verwerking van persoonsgegevens enkel toegestaan voor welbepaalde, uitdrukkelijk...