Kenniscentrum

Advies 247/2022 betreffende de planning, uitvoering en opvolging van het mobiliteits- en verkeersveiligheidsbeleid

Het Kenniscentrum bracht op verzoek van de Brusselse minister voor Mobiliteit een advies uit over een voorontwerp van ordonnantie tot vaststelling van een kader voor de planning, uitvoering en opvolging van het mobiliteits- en verkeersveiligheidsbeleid. Dit ontwerp geeft gevolg aan het mobiliteitsplan "Good move". Het heeft met name tot doel een kader te bieden voor de verwerking van gegevens die noodzakelijk zijn voor het uitvoeren van enquêtes en analyses, die het mogelijk zal maken mobiliteitstools in te voeren.

• De fundamentele bezorgdheid van het Kenniscentrum heeft betrekking op het gebrek aan precisie en voorspelbaarheid van de beoogde gegevensverwerkingen, die een aanzienlijke inbreuk vormen op het recht op bescherming van persoonsgegevens, aangezien zij onder meer gegevens kruisen uit verschillende bronnen (waaronder "gevoelige" gegevens, zoals gegevens betreffende de gezondheid, strafbare feiten of zelfs locatiegegevens).
• Het was bijvoorbeeld niet duidelijk welke "locatiegegevens" zullen worden verwerkt : gegevens over de plaats van auto's in de parkeergarages van het Brussels Gewest, gegevens over het gebruik van Uber-diensten of een Limestep of de localisatie van de GPS-chip in deelauto's, gegevens van ANPR -camera's?
• Wat de kruising van gegevens betreft, kon uit het voorontwerp ook niet worden afgeleid welke gegevens aan welke andere gegevens zullen worden gekoppeld (en in welke mate) en vooral welk concreet doel of welke concrete doelen elke koppeling zal dienen. Uit het ontwerp bleek bijvoorbeeld niet duidelijk of ANPR-cameragegevens zouden worden gekoppeld aan belastinggegevens over mobiliteitsgerelateerde voordelen in natura.
• Het Kenniscentrum beval de wetgever aan een analyse te maken van de noodzaak en de evenredigheid van elke gegevenskoppeling met inachtneming van het nagestreefde doel.

Ook het COC (Controleorgaan op de politionele informatie) bracht een advies uit over dit ontwerp betreffende de verwerking van persoonsgegevens door de geïntegreerde politiediensten.

Advies 165/2022 van 19 juli 2022 over een ontwerpbesluit van de Waalse regering betreffende slimme meters

Dit ontwerpbesluit beoogde de invoering van slimme meters te regelen. Het Kenniscentrum wijst erop dat de installatie van een slimme/communicerende meter, ook al volgt deze op een verzoek van de netgebruiker, een verwerking van persoonsgegevens inhoudt die een aanzienlijke inbreuk vormt op de rechten en vrijheden van de betrokkenen. Dit ontwerpbesluit gaf de distributienetbeheerder (hierna de " DNB " genoemd) de bevoegdheid om de voorwaarden van de aanvraag voor de installatie van een slimme meter vast te stellen.

• Het Kenniscentrum stelde dat de gegevens of categorieën van gegevens die moeten worden verzameld, in het ontwerpbesluit moesten worden aangegeven om te voldoen aan de eis van voorspelbaarheid en wettigheid. Het kan niet aan het oordeel van de DNB worden overgelaten om te bepalen welke gegevens relevant en noodzakelijk zijn voor de behandeling van verzoeken om plaatsing van een slimme meter.
• Het Kenniscentrum vond ook dat de frequentie van de gegevensverzameling - niet gespecificeerd - zou moeten worden geregeld om te voorkomen dat de DNB te veel gegevens verzamelt.

Het Kenniscentrum verzocht de wetgever duidelijk te specificeren dat een dergelijk platform zowel gegevens over de opname als over de inbreng kan weergeven zolang de uitgangspoort van de slimme meter is geactiveerd en de gebruiker daarom heeft verzocht.

Advies 11/2022 over een ontwerpdecreet betreffende de oprichting van een openbaar nutsbedrijf voor gegevens (" Vlaams Datanutsbedrijf ") door de Vlaamse regering

Het Kenniscentrum bracht advies uit omtrent een ontwerp van decreet houdende oprichting van een openbaar nutsbedrijf voor gegevens (" Vlaams Datanutsbedrijf ") Dit datanutsbedrijf heeft tot doel data vlot en veilig te laten stromen en een data-markt in de hand te werken, om op die manier de Vlaamse data-economie op een duurzame wijze te ondersteunen, met inbegrip van data beter vindbaar te maken, interoperabel beschikbaar te maken en data-samenwerking te faciliteren, dienstverlening aan diverse actoren te bieden om de waarde van data te verhogen, de data-infrastructuur en data-vaardigheden uit te bouwen en de ontwikkeling van datagedreven ecosystemen (waaronder datakluizen) te ondersteunen en te realiseren die burgers de regie verlenen over de eigen data.

• Het Kenniscentrum zette ook vraagtekens bij de rechtspositie van dit openbaar datanutsbedrijf, gezien het voornemen om taken van openbaar belang uit te voeren en tegelijkertijd uit te groeien tot een volledig marktgerichte en dus zuiver commerciële onderneming, binnen een onvoldoende afgebakend kader. Zo vraagt het Kenniscentrum zich met betrekking tot de ontwikkeling van een systeem voor digitaal identiteitsbeheer concreet af op welk niveau en in welk kader een dergelijke gegevensverwerking wordt overwogen (regionaal ? eID ? Itsme ?).
• Door de ruime en abstracte formuleringen van de doelstellingen van het ontwerp kon het Kenniscentrum zich geen duidelijk beeld vormen van de activiteiten die het openbaar datanutsbedrijf zou ontwikkelen, noch een begrijpelijke kijk krijgen op de gegevensverwerking die daaruit zou voortvloeien.

Het Kenniscentrum, dat tot taak heeft de kwaliteit van de voorgelegde wet te beoordelen, concludeerde dat het ontwerp in zijn huidige vorm onvoldoende garanties voor gegevensbescherming bood en dat de tekst geen rechtsgrondslag voor concrete gegevensverwerking kon vormen. Het Kenniscentrum verzocht de aanvrager dan ook het ontwerp grondig te herzien in het licht van zijn opmerkingen.

Advies 231/2022 van 29 september 2022 betreffende een voorontwerp van wet houdende diverse fiscale en financiële bepalingen, Titel 9 - Wijzigingen van de wet van 16 december 2015 tot regeling van de mededeling van inlichtingen betreffende financiële rekeningen, door de Belgische financiële instellingen en de FOD Financiën, in het kader van een automatische uitwisseling van inlichtingen op internationaal niveau en voor belastingdoeleinden

Het Kenniscentrum onderzocht een voorontwerp van wet tot regeling van de mededeling van inlichtingen betreffende financiële rekeningen, door de Belgische financiële instellingen en de FOD Financiën, in het kader van een automatische uitwisseling van inlichtingen op internationaal niveau ter bestrijding van domiciliefraude in een internationale context.

• Het Kenniscentrum merkte op dat de risicoanalyse om de te controleren belastingplichtigen te identificeren, gebaseerd was op " datamining , gedefinieerd als op geavanceerde wijze zoeken naar informatie in grote gegevensbestanden.
• De voorgelegde ontwerptekst voorzag slechts in de toepassing van een bestaand algoritme op de betrokken gegevens om fraude op te sporen. Het Kenniscentrum riep de wetgever op een passend kader voor een dergelijke verwerking te scheppen. In het voorgelegde ontwerp kon met name niet worden beoordeeld in hoeverre de selectie van gegevens voor verdere controle geheel of gedeeltelijk zou worden geautomatiseerd en in hoeverre menselijke tussenkomst zou worden gekoppeld aan het door het algoritme in gang gezette besluitvormingsproces.
• Het Kenniscentrum herinnerde eraan dat passende maatregelen moeten worden genomen om de rechten en vrijheden van de betrokkenen te waarborgen wanneer wordt overwogen een beslissing (bijvoorbeeld controle) uitsluitend op geautomatiseerde gegevensverwerking te baseren. Om de evenredigheid van de beoogde verwerking en de kwaliteit van de verwerkte gegevens te waarborgen, wordt met name aanbevolen na te gaan of de parameters en hun combinatie een significant verband vertonen met de gezochte fraude.
• Het Kenniscentrum adviseerde ook om voorafgaand aan de uitvoering van de verwerking een voorafgaande effectbeoordeling uit te voeren op basis van toereikende en ter zake doende vooraf vastgestelde criteria, en een geschikte testfase.

Advies 66/2022 betreffende het verzamelen en het bewaren van de identificatiegegevens en van metagegevens in de sector van de elektronische communicatie ("dataretentie") en de verstrekking ervan aan de autoriteiten

Het Kenniscentrum onderzocht een nieuw voorgesteld wettelijke kader met betrekking tot de bewaring te organiseren van identificatiegegevens en metadata door aanbieders van elektronische communicatiediensten met het oog op de overdracht van die gegevens aan overheidsinstanties, voor wetshandhavingsdoeleinden of voor de uitvoering van opdrachten van inlichtingen- en veiligheidsdiensten.

• Onder de vele opmerkingen merkt het Kenniscentrum ook op dat het toekomstige rechtskader tot doel heeft anonieme communicatie op het internet onmogelijk - of op zijn minst zeer moeilijk - te maken. Het idee was om het mogelijk te maken gebruikers van berichtendiensten zoals Signal of WhatsApp indirect te identificeren, maar ook (mogelijk) te lokaliseren en zo al hun bewegingen volgen. Dit is een echte paradigmaverschuiving ten opzichte van de privacyregels die met de e-privacyrichtlijn 2002/58/EG zijn opgelegd.
• Het Kenniscentrum roept de wetgever op dit te evalueren en een grondig parlementair debat te voeren over de gevolgen van een dergelijke wijziging, in het bijzonder met betrekking tot het recht op privacy en het recht op vrijheid van meningsuiting. Het Kenniscentrum riep de wetgever op ervoor te zorgen dat de inmenging in rechten en vrijheden daadwerkelijk noodzakelijk en proportioneel zouden zijn.

Prioriteitenbeheer - standaardadviezen

De prioritaire taak van het Kenniscentrum bestaat erin voorafgaandelijk en verplicht advies uit te brengen over alle wet- en regelgeving van algemene strekking die de verwerking van persoonsgegevens tot stand brengt, aanpast of ten uitvoer legt. De wet legt het Kenniscentrum termijnen op voor het uitvaardigen en publiceren van deze adviezen. Het halen van deze deadlines is een uitdaging voor het Kenniscentrum vanwege verschillende elementen zoals :

• het aantal gelijktijdige adviezen dat moet worden verstrekt;
• de noodzakelijke voorbereiding van de meeste adviesaanvragen (uitwisseling van vragen en antwoorden met de auteurs van de tekst) ;
• de complexiteit en verscheidenheid van de onderwerpen;
• dringende adviesaanvragen waarvoor de reikwijdte van het onderzoek van het Kenniscentrum niet verschilt van die van adviesaanvragen die binnen het normale tijdsbestek worden aangevraagd ;
• en ten slotte de tijds- en organisatorische beperkingen die zich voordoen bij de interne aanneming van adviezen in de context van het collegiale karakter van het Kenniscentrum (vastleggen van zittingen met vaste termijnen voor mondelinge besprekingen, voorbereid via schriftelijke uitwisselingen, tussenkomst van "externe" leden, anticipatie op deze zittingen door toezending van ontwerpen);
• de beperkte middelen van de dienst in vergelijking met andere gegevensbeschermingsautoriteiten, ondanks de kaderuitbreiding die eind 2022 aan de gehele GBA is toegekend, waarvan het Kenniscentrum in 2023 gedeeltelijk zal genieten. Ter herinnering: de GBA heeft in haar begrotingsverzoek van november jl. aangegeven dat bij de CNIL (Franse gegevensbeschermingsautoriteit) 32 juristen worden ingezet voor het opstellen van voorafgaande adviezen en het voorbereiden van parlementaire hoorzittingen (tegenover 8 bij de GBA), met ondersteuning van een tiental ingenieurs van de "service expertise technologique". In 2021 bracht de CNIL 121 adviezen uit en is zij 22 keer gehoord in het Parlement. In 2021 heeft de GBA dus bijna twee keer zoveel adviezen uitgebracht als de CNIL met slechts een kwart van het personeel van de CNIL. Soortgelijke moeilijkheden deden zich voor in 2022.

Aangezien het onmogelijk is alle wetgevingsadviesaanvragen te behandelen die aan het Kenniscentrum worden voorgelegd, heeft het geen andere keuze dan "standaardadviezen" uit te brengen voor ontwerpen die duidelijk geen significante inbreuk maken op de rechten en vrijheden van de betrokken personen, of wanneer zijn personele middelen het niet mogelijk maken verzoeken die op het eerste gezicht geen inbreuk maken in concreto te onderzoeken. In dergelijke gevallen brengt het Kenniscentrum een standaardadvies uit waarin de goede praktijken voor het opstellen van wetgevingsnormen worden samengevat. Een dergelijk antwoord wordt gegeven wanneer de aanvrager niet aangeeft dat het ingediende ontwerp aanleiding zou kunnen geven tot grote risico's voor de rechten en vrijheden van de betrokkenen en wanneer uit de door de aanvrager op het formulier gegeven informatie ook niet kan worden afgeleid dat dergelijke risico's zouden bestaan.

De verstrekking van standaardadviezen brengt aanzienlijke administratieve werkzaamheden met zich mee, aangezien de desbetreffende documenten ter goedkeuring aan het Kenniscentrum als collegiaal orgaan moeten worden voorgelegd.

Deze praktijk van standaardadviezen geldt sinds mei 2022. In 2022 werden 205 inhoudelijke en 73 standaardadviezen uitgebracht.

In dit verband benadrukt het Kenniscentrum dat in een dergelijke context, de verantwoordelijkheid voor de beschrijving van de reikwijdte van zijn wetsontwerp in fine bij de aanvrager ligt.

• Indien het Kenniscentrum geen correcte risicobeoordeling verstrekt, of indien het geen advies in concreto kan uitbrengen in gevallen waarin het wetgevingsadvies een risico van inmenging in de rechten en vrijheden van de betrokkenen inhoudt, kan het overheidsorgaan dat belast is met de uitvoering van de wetgeving, worden blootgesteld aan klachten (bijvoorbeeld bij de Geschillenkamer), of latere beroepen tegen de aangenomen norm, omdat onvoldoende rekening is gehouden met de wettelijke verplichtingen inzake persoonsgegevensbescherming. 
• De adviezen van het Kenniscentrum, die niet bindend zijn, zijn bedoeld om de wetgever te informeren en zijn aandacht te vestigen op eventuele problemen in verband met de kwaliteit van de voorgestelde wetgeving met betrekking tot de regels inzake de bescherming van persoonsgegevens (bijvoorbeeld de voorspelbaarheid van de norm in het licht van het doel van de gegevensverwerking, de categorieën verwerkte gegevens, passende rechtsgrondslag, enz.)  Het Kenniscentrum is ingenomen met het feit dat de kaderuitbreiding dat eind 2022 werd toegekend voor de gehele GBA, gedeeltelijk ten goede komt aan zijn wetgevingsadviesactiviteiten in 2023.

Tot slot heeft het Kenniscentrum van de GBA in 2022 ook zijn formulier voor adviesaanvragen voor een ontwerp van normatieve tekst alsook de toelichtende nota daarbij bijgewerkt. Het bijgewerkte formulier bepaalt dat het besluit tot goedkeuring van de betrokken ontwerpnorm door de Ministerraad/Regering aan de adviesaanvraag moet worden toegevoegd in alle gevallen waarin de ontwerpnorm aan de Ministerraad /Regering moet worden voorgelegd, om te voorkomen dat het Kenniscentrum aan niet-definitieve teksten werkt.

Aanbevelingen

Aangezien het Kenniscentrum in 2022 niet over voldoende middelen beschikte om alle adviesaanvragen in concreto te behandelen, moest het zijn inspanningen richten op het sorteren en verstrekken van dergelijk advies in 2022. Tegelijkertijd was het Kenniscentrum betrokken bij het opstellen van aanbevelingen en nam het deel aan de werkzaamheden van de EDPB (European Data Protection Board).

• Het Kenniscentrum heeft met name het voortouw genomen bij de ontwikkeling van EDPB-richtsnoeren voor de herziening en actualisering van aanbevelingen en goede praktijken inzake anonimiseringstechnieken voor persoonsgegevens.
• Het Kenniscentrum is ook betrokken bij de werkzaamheden voor richtsnoeren voor pseudonimisering. Deze twee technieken – anonymisering en pseudonimisering - worden vaak verward, hetgeen niet zonder gevolgen is, omdat alleen met anonymisering de verwerkte gegevens aan het toepassingsgebied van de AVG kunnen ontsnappen. In de context waarin de regels van de AVG aanzienlijke beperkingen opleggen aan elk ontwerp waarbij persoonsgegevens worden verwerkt (bv. vereiste van minimale gegevensverwerking of evenredigheid van de verwerkte gegevens), wil het Kenniscentrum bijdragen tot het zoeken naar oplossingen door na te denken over technieken om de uitvoering van ontwerpen waarbij dit soort gegevens wordt verwerkt, te vergemakkelijken.

Verwezenlijkingen in cijfers

Het Kenniscentrum publiceerde in 2022 in totaal 278 adviezen op ontwerpen van normatieve wetteksten, waarvan 73 standaardadviezen.