Advies, Gegevensbeschermingsautoriteit, 2024-02-23

Advies nr. 21/2024 van 23 februari 2024 Betreft: Advies m.b.t. voorontwerp van decreet tot oprichting en regeling van het Vlaams Meldpunt voor Grensoverschrijdend Gedrag (CO-A-2023-606) Sleutelwoorden: beroepsgeheim – catch all bepaling – beveiliging – SharePoint als bewaarplaats voor de bijzondere categorieën gegevens – toestemming – verantwoordingsplicht om toestemming te bewijzen – objectieve criteria bewaartermijn – maximale bewaartermijn één jaar – bijzondere categorieën gegevens en proportionele beveiligingsmaatregelen – gradaties in toegankelijkheid – specificeren van categorieën betrokken en gegevens – gezamenlijke verwerkingsverantwoordelijkheid – onverenigbaarheid protocol Het Kenniscentrum van de Gegevensbeschermingsautoriteit (hierna: de Autoriteit), aanwezig mevrouw Cédrine Morlière, mevrouw Nathalie Ragheno en mevrouw Griet Verhenneman en de heren Yves-Alexandre de Montjoye en Bart Preneel Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikelen 23 en 26 (hierna: WOG) Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna: AVG) Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna: WVG) Gelet op het verzoek om advies van mevrouw Zuhal Demir, Vlaams minister van Justitie en Handhaving, Omgeving, Energie en Toerisme, (hierna: de aanvrager) ontvangen op 26/12/2023; brengt op 23 februari 2024 het volgend advies uit: I. Kadering van de aandachtspunten: 1) Toepassingsgebied vereist verdere nauwkeurigheid 2) Vaststelling gezamenlijke verwerkingsverantwoordelijkheid 3) Onverenigbaarheid protocol voor de gezamenlijke verwerkingsverantwoordelijken 4) Het beginsel van de minimale gegevensverwerking en de proportionaliteit is over de hele lijn onvoldoende in acht genomen 5) Binnen het kader van integriteit, vertrouwelijkheid en beveiliging is verdere aandacht vereist m.b.t. verschillende graden van gemachtigde toegang, de uitzonderingen op het beroepsgeheim 6) Voorwaarden van een geldige toestemming en invoering van bewijsverplichting voor de verwerkingsverantwoordelijke 7) Rechten van de betrokkenen, m.n. de informatieverplichting 8) Bewaartermijn mag niet langer dan 1 jaar zijn, tenzij uitdrukkelijke motivering, en moet rekening houden met de aard van de gegevens II. VOORWERP VAN DE ADVIESAANVRAAG 1. Op 26 december 2023 verzocht de aanvrager het advies van de Autoriteit met betrekking tot een voorontwerp van decreet tot oprichting en regeling van het Vlaams Meldpunt voor Grensoverschrijdend Gedrag (hierna: het ontwerp). 2. Het ontwerp beoogt grensoverschrijdend gedrag in de Vlaamse sectoren aan te pakken. Hiertoe wordt binnen het Agentschap Justitie en Handhaving (hierna: AJH) een onafhankelijke werking gecreëerd, het meldpunt AJH, als onderdeel van het Vlaams Meldpunt voor Grensoverschrijdend Gedrag.1 Deze werking moet het mogelijk maken om grensoverschrijdend gedrag op een laagdrempelige wijze te kunnen melden. Om dit te bewerkstelligen wordt een samenwerking tussen het AJH en het Vlaams Mensenrechteninstituut (hierna: VMRI) voorzien. 3. Dit alles veronderstelt verwerking van persoonsgegevens door het AJH teneinde enerzijds meldingen van grensoverschrijdend gedrag te ontvangen en er passende gevolgen aan te verbinden en anderzijds aanbevelingen formuleren door het monitoren en in kaart brengen van de meldingen van grensoverschrijdend gedrag binnen de Vlaamse sectoren. III. ONDERZOEK TEN GRONDE a. Rechtsgrond ➢ Algemene principes 4. Elke verwerking van persoonsgegevens moet een rechtsgrond of een rechtmatigheidsgrond hebben, zoals bepaald in artikel 6, lid 1, van de AVG. Gegevensverwerkingen die bij een normatieve maatregel zijn ingevoerd, zijn bijna altijd gebaseerd op artikel 6, lid 1, punt c) of e), van de AVG.2 5. Een norm die de verwerking van persoonsgegevens regelt (en die van nature een inmenging vormt in het recht op bescherming van persoonsgegevens) moet niet alleen noodzakelijk en evenredig zijn, maar ook voldoen aan de eisen van voorspelbaarheid en nauwkeurigheid, zodat de betrokkenen, over wie gegevens worden verwerkt, een duidelijk beeld krijgen van de verwerking van hun gegevens. Krachtens artikel 6.3 van de AVG, gelezen in samenhang met artikel 22 van de Grondwet en artikel 8 van het EVRM, moet dergelijke wettelijke norm de essentiële elementen van de met de overheidsinmenging gepaard gaande verwerkingen beschrijven. Het gaat hierbij minstens om: - het (de) precieze en concrete doeleinde(n) van de gegevensverwerkingen; - de aanduiding van de verwerkingsverantwoordelijke(n) (tenzij dit duidelijk is). Voor zover de met de overheidsinmenging gepaard gaande verwerkingen van persoonsgegevens een belangrijke inmenging in de rechten en vrijheden van de betrokkenen vertegenwoordigen, omvat de wettelijke bepaling terzake tevens volgende (aanvullende) essentiële elementen: - de (categorieën van) verwerkte persoonsgegevens die ter zake dienend en niet overmatig zijn; - de categorieën van betrokkenen wiens persoonsgegevens worden verwerkt; - de (categorieën van) bestemmelingen van de persoonsgegevens, evenals de omstandigheden waarin en de redenen waarom de gegevens worden verstrekt; - de maximale bewaartermijn van de geregistreerde persoonsgegevens; - de eventuele beperking van de verplichtingen en/of rechten vermeld in de artikelen 5, 12 tot 22 en 34 AVG. ➢ Toepassing van deze principes 6. De verwerking van persoonsgegevens waartoe het voor advies voorliggende ontwerp aanleiding geeft, berust op artikel 6(1)(e) AVG.3 De doeleinden van de verwerking en de te verwerken categorieën van persoonsgegevens, in aanmerking genomen, is de Autoriteit van oordeel dat er sprake is van een belangrijke inmenging in de rechten en vrijheden van de betrokkenen. Het betreft immers een verwerking van persoonsgegevens van kwetsbare natuurlijke personen die tevens ook betrekking kan hebben op bijzondere categorieën van persoonsgegevens (gevoelige gegevens) in de zin van de artikelen 9 en/of 10 van de AVG en/of hoogstpersoonlijke gegevens. 7. Hierna gaat de Autoriteit na in hoeverre het ontwerp aan deze voorwaarden beantwoordt. b. Doeleinden 8. Volgens artikel 5.1.b) AVG kan de verwerking van persoonsgegevens enkel uitgevoerd worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. 9. Uit artikel 3, §1 lid 2, van het ontwerp volgt dat een onafhankelijk Vlaams Meldpunt voor Grensoverschrijdend Gedrag wordt opgericht met het oog op de aanpak van grensoverschrijdend gedrag in de Vlaamse sectoren. Het bepalen van het toepassingsgebied, zorgt ipso facto voor een verdere afbakening van het doeleinde. Doch moet het toepassingsgebied voldoende nauwkeurig omschreven zijn, zodat er sprake kan zijn van een ‘welbepaalde’ omlijning. Bijgevolg wordt de aandacht gevestigd op het materiële en personele toepassingsgebied van het ontwerp. 10. Wat het materiële toepassingsgebied betreft volgt uit artikel 2, 7°, van het ontwerp, dat: “7° grensoverschrijdend gedrag: elke aantasting van de integriteit van een persoon wegens ongewenst seksueel gedrag, geweld, pesterijen of discriminerende intimidatie;” 11. Hieronder vallen consequent ook meldingen aangaande artikel 2, 5°, 6°, 10°, 11° van het ontwerp, zoals hiernavolgend weergeven: “5° discriminerende intimidatie: intimidatie als vermeld in artikel 17, §1, van het decreet van 10 juli 2008; 6° geweld: elke feitelijkheid waarbij iemand psychisch of fysiek wordt bedreigd of aangevallen; 10° ongewenst seksueel gedrag: seksuele intimidatie als vermeld in artikel 17, §2, van het decreet van 10 juli 2008; 11° pesterijen: onrechtmatig geheel van verschillende, vergelijkbare of uiteenlopende, gedragingen die plaatsvinden gedurende een bepaalde tijd, en die tot doel of gevolg hebben dat de persoonlijkheid, de waardigheid of de fysieke of psychische integriteit van een persoon wordt aangetast, dat zijn betrekking in gevaar wordt gebracht of dat een bedreigende, vijandige, beledigende, vernederende of kwetsende omgeving wordt gecreëerd; ”4 12. Voorts stipuleert artikel 5, lid 5, van het ontwerp, het volgende: “Het meldpunt AJH is toegankelijk voor elke persoon met een melding over grensoverschrijdend gedrag in alle aangelegenheden die onder de bevoegdheden van de Vlaamse Gemeenschap en het Vlaams Gewest vallen.” 13. Het materiële toepassingsgebied moet aldus als volgt worden begrepen: meldingen over een “grensoverschrijdend gedrag” in “alle aangelegenheden die onder de bevoegdheden van de Vlaamse Gemeenschap en het Vlaams Gewest vallen.” 14. Terzake specifieert artikel 5, vierde en vijfde alinea, van de Memorie van Toelichting: “Het is niet noodzakelijk dat het grensoverschrijdend gedrag in het kader van een organisatie wordt gesteld, het is voldoende dat er een rechtstreekse link is met een bepaalde sector of organisatie. Op die manier wordt grensoverschrijdend gedrag door bijvoorbeeld een freelance fotograaf of door een student op kot niet uitgesloten bij het toepassingsgebied van het decreet. Organisaties is een ruim begrip waarmee ook ondernemingen, instellingen, voorzieningen,… worden gevat.” 15. De Autoriteit interpreteert het materiële toepassingsgebied als zijnde elke melding: • over een grensoverschrijdend gedrag (hetgeen gelet op de definities een uitermate verrijkende reikwijdte heeft); • die een “rechtstreekse” link moet hebben (om maar niet te zeggen enige, gelet op de brede interpretatie); • met “[…] organisaties en sectoren die […] onder de bevoegdheid van de Vlaamse Gemeenschap of het Vlaams Gewest [vallen], ” waarbij expliciet aangegeven wordt dat organisaties geïnterpreteerd moet worden als een ruim begrip. 16. Concreet wil...