
De Privacycommissie werd tweemaal gevraagd een advies te verlenen over voorontwerpen van wet inzake het gebruik van camera’s. Toen zij zich in april een eerste keer uitsprak over beide voorontwerpen (nr. 15/2016), uitte zij op vier punten fundamentele bezwaren tegen de voorgelegde teksten en maakte zij daarnaast ook nog een lange lijst van kleinere opmerkingen en bedenkingen.
Vijf maanden later werd het voorstel – dat intussen grondig werden herwerkt door de aanvrager – opnieuw aan de Privacycommissie voorgelegd. Zij kon in haar tweede advies (nr. 50/2016) vaststellen dat dit herwerkte ontwerp een verbetering betrof in vergelijking met de teksten die eerder waren voorgelegd, wat resulteerde in een gunstig advies.
Toch uitte de Privacycommissie tegelijk haar bezorgdheid omtrent een aantal punten:
Daarom verleende zij haar gunstig advies onder strikte voorwaarden, waaronder de voorwaarde dat een collateraal orgaan van het parlement steeds toezicht zou uitoefenen op de Bijzondere Administratieve Methoden.
Het advies betreft een voorontwerp van wet tot wijziging van de Wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst. Het advies strekt ertoe bepaalde aspecten van de gegevensinzamelmethodes te verbeteren nadat ze voorafgaand aan een evaluatie waren onderworpen.
Vooreerst uitte de Privacycommissie kritiek over de manier waarop die gegevensinzamelmethodes werden geëvalueerd. Vervolgens richtte zij zich op de verschillende wijzigingen die een impact hebben op de bescherming van persoonsgegevens. Over de volgende aspecten sprak de Privacycommissie zich negatief uit:
De Privacycommissie behandelde twee wetsvoorstellen tot wijziging van de witwaswetgeving met het oog op de aanpak van “gewelddadig radicalisme” enerzijds en “religieuze haatspraak” anderzijds (hierna het eerste en tweede wetsvoorstel).
Wat betreft het eerste wetsvoorstel merkte de Privacycommissie op dat het Potpourri II wetsontwerp, waarnaar de aanvrager verwees, reeds in wetgeving was omgezet en reeds een kader biedt voor samenwerking tussen de Cel voor Financiële Informatieverwerking en OCAD. De noodzaak voor aanvullende maatregelen tot samenwerking was met andere woorden niet duidelijk. De meldingsplichtige instellingen zouden door de aanpassing van artikel 5 van de Wet van 11 januari 1993 bovendien een onderzoek moeten voeren naar het witwassen van de “illegale” herkomst van vermogen uit misdrijven die in verband staan met - de juridisch onvoldoende afgebakende, nieuwe notie - “gewelddadig radicalisme”, terwijl dit laatste op zich niet strafbaar is. Het wetsvoorstel dreigde dan ook een controlekader te installeren voor elke opbrengst van “gewelddadig radicalisme”, zelfs indien het niet is verkregen uit strafbare feiten.
Het tweede wetsvoorstel beoogde de aanpak van het fenomeen “religieuze haatspraak” door de wijziging van de witwaswetgeving. Er werd verwezen naar concrete stafrechtelijke inbreuken i.p.v. de introductie van vage noties zoals “extremisme” of “gewelddadig radicalisme”. Het doel in de toelichting (de financieringsstromen voor religieuze haatspraak laten opdrogen) kwam echter niet overeen met de draagwijdte van de voorgestelde wetswijziging (aanpassing van de Wet van 11 januari 1993). In plaats van de financiering van religieuze haatspraak (het aanzetten tot haat, discriminatie, geweld of segregatie op discriminatoire basis) aan te pakken, strekt de voorgestelde aanpassing er immers toe de eventuele illegale opbrengsten ervan onder de witwasbepalingen van de Wet van 11 januari 1993 te brengen. De misdrijven voorzien in de remedie (het aanzetten tot haat, discriminatie, geweld of segregatie op grond van zowat elke mogelijke discriminatiegrond náást “geloof”) waren niet aangepast aan de probleemstelling (“religieuze” haatspraak).
Gelet op voorgaande verleende de Privacycommissie een ongunstig advies over beide wetsvoorstellen.
De FOD Mobiliteit en Vervoer is van plan een overheidsopdracht te lanceren om, met behulp van informatie- en communicatietechnologieën, gegevens in te winnen over het personenverkeer op het Belgisch grondgebied, ongeacht het gebruikte vervoersmiddel. Hiermee wil men trachten het personenverkeer te beheren.
De overheidsopdracht veronderstelt de koppeling tussen locatiegegevens en klantgegevens (de aanvrager wenst immers geanonimiseerde tabellen op basis van een gegevensbank waarin variabelen zijn opgenomen zoals het geslacht, de leeftijd of het actieve karakter). De koppeling moet dus zijn grondslag vinden in deze vermeld onder artikel 5 van de Privacywet.
De gegevens die de FOD Mobiliteit en Vervoer wil verwerken, vragen een verdere verwerking van locatiegegevens die initieel werden verwerkt door operatoren en andere dienstenverstrekkers. In het kader van deze verwerking is de Privacycommissie van mening dat de aanvrager moet beschouwd worden als de verantwoordelijke voor de verwerking en de operatoren en andere dienstenverstrekkers als de verwerkers.
Het verdere doeleinde dat de FOD Mobiliteit en Vervoer nastreeft, kan worden beschouwd als een doeleinde dat kadert binnen een statistisch doeleinde dat verenigbaar is met de initiële verwerking. De Privacycommissie meent dat de aanvrager in het kader van deze verdere verwerking moet beschouwd worden als de verantwoordelijke voor de verwerking en de operatoren en andere dienstenverstrekkers als de verwerkers.
Die verdere statistische verwerking moet overigens tegemoet komen aan de beginselen van de Privacywet inzake doeleinde, proportionaliteit en rechtmatigheid.
Om tegemoet te komen aan het proportionaliteitsbeginsel, heeft de aanvrager in dit geval het recht om de gevraagde gegevens onder anonieme vorm, te ontvangen, overeenkomstig artikel 3 van het Koninklijk Besluit van 13 februari 2011 houdende uitvoering van de Privacywet. De analysecriteria mogen evenwel geen afbreuk doen aan de anonimiteit van de verstrekte gegevens.
Ten behoeve van de transparantie moet het project van de aanvrager bekend worden gemaakt op zijn website, en op deze van de bedrijven aan wie de overheidsopdracht werd toegekend, zodat het publiek ingelicht is.
De Privacycommissie brengt een gunstig advies op voorwaarde dat met haar opmerkingen rekening wordt gehouden.
Een eerste advies over dit wetsontwerp (nr. 54/2015) was gunstig, mits een aantal strikte voorwaarden werden nageleefd: o.m. de opname van het gebruik van het rijksregisternummer in de wet, aanduiding van de verantwoordelijke voor de verwerking en voorlegging van het koninklijk besluit aan de Privacycommissie voor advies. In het nieuwe wetsontwerp wordt aan deze vereisten voldaan.
Nu liggen de knelpunten in het koninklijk besluit: er heerst onduidelijkheid en een gebrek aan waarborgen bij het gebruik van het rijksregisternummer en de identificatiegegevens:
De gegevens worden bewaard in het licht van artikel 126 van de Wet betreffende elektronische communicatie (cf. Dataretentiewet van 29 mei 2016): onderaannemers zijn niet gebonden aan artikel 126 voor eigen opslag van deze ID-kaart, want het zijn geen “telecomoperatoren”.
Zoals het voorontwerp eerst voorlag rezen er risico’s voor de bescherming van de persoonlijke levenssfeer door het gebruik van het rijksregisternummer en andere bijkomende persoonsgegevens door private (commerciële) entiteiten waarbij de beveiliging van de persoonsgegevens niet of onvoldoende in beschouwing wordt genomen.
Uiteindelijk werd in de herwerkte versie van het koninklijk besluit grotendeels aan deze risico’s verholpen (o.m. chipkaart van de ID-kaart kan niet worden bewaard en ook de onderaannemers mogen de identificatiedata niet opslaan).
Een omzendbrief van de Minister van Binnenlandse Zaken en de Minister van Justitie over de uitwisseling van informatie en de opvolging van de uit België afkomstige foreign terrorist fighters (FTF) werd aangenomen op 21 augustus 2015. De omzendbrief voorziet in een gepersonaliseerde analyse van de dreiging voor elke FTF op basis van inlichtingen afkomstig van verschillende diensten - verzameld in een unieke gegevensbank - met een pakket gepersonaliseerde maatregelen en specifieke begeleidingsmaatregelen op lokaal niveau. Er wordt bepaald dat de gegevensbank zal gevoed worden door de politie- en inlichtingendiensten, alsook door iedere andere relevante partner.
De aanvrager heeft ervoor gekozen het juridisch kader van deze gemeenschappelijke gegevensbank op te nemen in de Wet van 5 augustus 1992 op het politieambt, zoals deze werd gewijzigd door de Wet van 27 april 2016 inzake aanvullende maatregelen ter bestrijding van terrorisme.
Het voor advies voorgelegde ontwerp van koninklijk besluit beoogt de oprichting van deze gemeenschappelijke gegevensbank, in uitvoering van de Wet terrorismebestrijding en in uitvoering van artikel 44/11/3bis, §4, 2de lid van de Wet van 5 augustus 1992 op het Politieambt.
Zich steunend op de opmerkingen die zij reeds formuleerde inzake de Wet terrorismebestrijding (advies nr. 57/2015), bracht de Privacycommissie een gunstig advies uit over het ontwerp van koninklijk besluit, op voorwaarde dat rekening wordt gehouden met de geformuleerde opmerkingen, met name de punten:
De Privacycommissie heeft gevraagd dat de lijst met personen die toegang krijgen tot de FTF databank niet alleen ter beschikking zou worden gehouden van haar diensten maar eveneens van het Comité I en het Controleorgaan van de politionele informatie (COC). Hierbij wordt geprecisieerd dat deze beide controleorganen - en dus niet alleen het OCAD - zicht moeten hebben op het intern validatiesysteem van de gegevens en op het overlegsysteem met het OCAD over het al dan niet behouden van gegevens in de FTF databank.
De Privacycommissie heeft eveneens haar bedenkingen geuit bij de wettelijke opdracht, opgelegd aan het openbaar ministerie, met betrekking tot het voeden van de FTF databank. Zij vraagt zich af of deze opdracht verenigbaar is met andere strafvorderlijke beginselen zoals het geheim van het onderzoek, de opportuniteitsbeoordeling door het openbaar ministerie en het beroepsgeheim.
De FOD Buitenlandse Zaken contacteerde de Privacycommissie met betrekking tot een verzoek van de Amerikaanse ambassade te Brussel tot mededeling van biometrische gegevens. Het ging om de biometrische gegevens van vier Burundese inwoners op wie Europese sancties van toepassing zijn (verbod op toegang tot het grondgebied en bevriezing van eigendommen) naar aanleiding van daden van geweld, onderdrukking of aanzetten tot geweld die zij zouden hebben begaan. Deze biometrische gegevens waren afkomstig van een visumaanvraag vanwege de vier betrokken Burundezen bij de Belgische ambassade van Bujumbura.
Volgens de door de FOD Buitenlandse Zaken verstrekte informatie was het de bedoeling van de Amerikaanse ambassade om in de Verenigde Staten gelijkaardige sancties op te leggen aan deze individuen.
De Privacycommissie verstrekte een ongunstig advies over deze aanvraag. Zij stelde dat de FOD Buitenlandse Zaken niet over een wettelijke basis beschikt die toelaat biometrische gegevens mee te delen aan de Amerikaanse ambassade teneinde deze autoriteit toe te laten de toegang tot haar grondgebied voor de betrokkenen in te perken.
De Privacycommissie wordt gevraagd advies uit te brengen over het voorontwerp van wet inzake elektronische identificatie. Het wetsontwerp bevat enerzijds een aantal maatregelen om hoofdstuk II van Verordening 910/2014 toe te passen en anderzijds een juridische basis voor de elektronische identificatie voor overheidstoepassingen:
De houder van het elektronisch identificatiemiddel kan op elk moment het identificatieproces afbreken en controleert uiteindelijk zelf in welke mate zijn gegevens worden meegedeeld. Van zodra een overheidsdienst alleen nog elektronisch beschikbaar is, valt deze controle weg.
Het door Verordening nr. 910/2014 opgezette systeem van grensoverschrijdende identificatie en authenticatie impliceert dat de gegevens via de elektronische ketting worden doorgegeven. De uitdaging zal erin bestaan erover te waken dat alle schakels van deze ketting hun afspraken respecteren (o.a. inzake beveiliging).
Dit advies focust op een wetsontwerp dat tot doel heeft om energiegegevens van particulieren systematisch door te zenden naar de Kruispuntbank van de Sociale Zekerheid (KSZ). Een selectie van deze gegevens zal worden doorgeven aan de sociale inspectie: de zogenaamde “push” doorgifte van energiegegevens van particulieren. Deze maatregel kadert in het opzet van het regeerakkoord van 9 oktober 2014 om de strijd tegen sociale fraude te versterken met behulp van data mining en de kruising van gegevens.
Hoewel deze problematiek niet nieuw is (de Privacycommissie sprak zich reeds in haar advies nr. 06/2012 uit over een doorgifte van energiegegevens vermeld in het voorontwerp van de Programmawet (I) van 29 maart 2012), vermeldt het nieuwe wetsontwerp een doorgifte van energiegegevens van particulieren op een veel grotere schaal dan voorheen. In plaats van informatie over individuele gevallen mee te delen, waarbij op voorhand vermoedens van fraude bestaan, ligt de focus nu op de doorgifte van een groot volume van gegevens die beantwoorden aan bepaalde criteria.
De aanvrager wenst te werken met correlaties tussen sociale gegevens enerzijds en lage of hoge waarden voor energie- of watergegevens anderzijds. Hij benadrukt in zijn aanvraag dat het slechts zou gaan om een “eerste indicator” of om een “fraudeknipperlicht” voor onder meer leegstandsfraude. De Privacycommissie wijst er in haar advies op dat het werken met selectiecriteria als “fraudeknipperlicht” of “eerste indicator” in feite neerkomt op het profileren van bepaalde groepen natuurlijke personen. Dit is het kwalificeren van personen als een groep met een hogere kans op fraude binnen de globale populaties van water- en energiegebruikers en uitkeringsgerechtigden (werklozen, invaliditeit,...).
De Privacycommissie benadrukt daarom dat een verbruik nooit a priori een beslissend element ten laste kan zijn in een controledossier en er dus, steunend op artikel 12bis van de Privacywet, ook geen sprake kan zijn van geautomatiseerde beslissingen op die basis.
Verder adviseert de Privacycommissie in haar advies nr. 24/2015 dat de wetgever duidelijk moet vermelden dat de sociale inspecties met een goede mix van proportionele en relevante (en dus ook flexibele) afwijkingscriteria moeten werken. Deze afwijkingscriteria moeten periodiek variëren en er dus voor zorgen dat de door de KSZ periodiek aan te leveren gegevens steeds beperkt, maar tegelijk ook relevant blijven om fraudetypologieën op te sporen.
De Privacycommissie vraagt verder, wegens de schaalgrootte van deze gegevensdoorgifte, ook bijkomende waarborgen zoals onder andere een motivering van de noodzaak om van een “push” naar een “pull” systeem over te stappen, een trainingsmechanisme waarbij vals positieve en vals negatieve resultaten op termijn zullen moeten worden geminimaliseerd (zogenaamd “trainen” van het model) en een machtiging van deze gegevensstromen door het Sectoraal comité van de Sociale Zekerheid en van de Gezondheid met als doel de proportionaliteit van de gebruikte afwijkingswaardes te bewaken.
De Privacycommissie verleent in dit adviesdossier een gunstig advies mits in de gewijzigde versie van het wetsontwerp strikt wordt voldaan aan deze voorwaarden.
De Privacycommissie verleende een advies over een ontwerp van Vlaams Decreet tot wijziging van het Energiedecreet van 8 mei 2009 (“het Energiedecreet”), wat betreft het voorkomen, opsporen, vaststellen en bestraffen van energiefraude.
Na eerdere adviezen over sociale fraude (nr. 06/2012 punt 10) bevestigde de Privacycommissie opnieuw de legitimiteit van het generieke doeleinde van de verwerking dat erin bestaat om (energie)fraude efficiënt aan te pakken met behulp van moderne onderzoekstechnieken zoals gebruikt in Big Data, data mining en/of profilering.
Anderzijds stelde de Privacycommissie vast dat het ontwerp “alle vormen van monitoring en data mining” toeliet door de distributienetbeheerders. Dit op alle gegevens waarover deze distributienetbeheerders zouden beschikken, of die hen toegankelijk worden gemaakt, en zonder dat voor deze onderzoeksbevoegdheid enige beperkingen en waarborgen werden bepaald door de wetgever.
De Privacycommissie wees er onder meer op dat data mining van de gegevens een nieuwe observatietechniek van het gedrag van bewoners inhoudt die analoog kan werken als de klassieke, fysieke observatietechnieken. Zij wees onder meer op de rechtspraak over de aanpak van de fiscale fraude waaruit blijkt dat het inzetten van proactieve onderzoekbevoegdheden niet arbitrair door de controleurs kan worden ingevuld, en dat “fishing expeditions” ontoelaatbaar zijn. De Privacycommissie achtte het ontwerp op dat punt niet verenigbaar met de kwaliteitsvereisten waaraan de wetgeving dient te voldoen ingevolge artikel 8 van het Europees Verdrag voor de Rechten van de Mens en artikel 22 van de Grondwet.
De Wet van 14 april 2011 heeft het bankgeheim reeds gedeeltelijk opgeheven: de administratie der directe belastingen is nl. sinds deze wet gemachtigd om – bij aanwijzingen van fraude – bij het “Centraal Aanspreekpunt” (CAP) van de Nationale bank informatie te verzamelen over de bankrekeningen van belastingplichtigen.
Het voorontwerp van wet waarover de Privacycommissie advies verleende, had tot doel om deze toegang tot het CAP uit te breiden tot andere diensten – met name de diensten BTW, Douane en Patrimoniumdocumentatie – van de FOD Financiën, alsook tot de Cel voor Financiële Informatieverwerking, tot de Procureur des Konings en de onderzoeksrechter en tot de notarissen.
De Privacycommissie had geen principiële bezwaren tegen deze verdere opheffing van het bankgeheim. De toegang tot het CAP voor elk van de onderscheiden actoren kan immers perfect gekaderd worden binnen hun wettelijke opdrachten. Bovendien zijn hierbij dezelfde waarborgen van kracht als deze die voorzien zijn in het kader van de reeds bestaande toegang in hoofde van de administratie der directe belastingen.
De Privacycommissie werd gevraag advies te verlenen over een wetsvoorstel dat de oprichting van een Centraal Register Solvabiliteit ("Register") beoogt. Dit is een geïnformatiseerde databank waarin alle documenten en/of gegevens met betrekking tot de faillissementsprocedure worden gecentraliseerd en die zal gelden als authentieke bron voor alle gegevens die erin zijn opgenomen.
De Orde van Vlaamse Balies en de Ordre des Barreaux francophones et germanophones staan, als gezamenlijke verantwoordelijken voor de verwerking, in voor de inrichting en het beheer van het Register. Zij worden samen bestempeld als "beheerder" van dit Register. Het wetsontwerp bepaalt dat de beheerder een "aangestelde voor de gegevensbescherming" aanstelt die onder meer wordt belast met het verstrekken van adviezen inzake de beveiliging van persoonsgegevens en de uitvoering van de andere opdrachten inzake de beveiliging van gegevens die door de koning worden bepaald, na advies van de Privacycommissie.
De Privacycommissie bracht een gunstig advies uit over het wetsontwerp op voorwaarde dat rekening wordt gehouden met haar opmerkingen.
Wat de belangrijke verplichtingen inzake privacy betreft, die ten laste worden gelegd van de verantwoordelijken voor de verwerking van het Register (zoals onder meer de garantie op kwalitatieve gegevens, de verantwoordelijkheid voor het toegangsbeheer, enz.), lijkt het verstandig rekening te houden met de hypothese dat de verantwoordelijken in gebreke blijven. De Privacycommissie verzocht de wetgever dan ook om:
De Privacycommissie heeft er overigens aan herinnerd dat de verantwoordelijken voor de verwerking verantwoordelijk zijn voor de toegang tot de gegevens. Bijgevolg moeten zij instaan voor de identificatie van de aanvragers en de verificatie van de toelaatbaarheid van hun aanvraag om toegang (bijvoorbeeld nagaan of de advocaten het passende mandaat hebben, of de schuldeisers een schuldvordering hebben ingediend, enz) en moeten zij toezien op de kwaliteit van de opgenomen gegevens. Deze verantwoordelijken voor de verwerking zijn verantwoordelijk voor de naleving van de Privacywet, zelfs als zij sommige van deze verplichtingen delegeren aan de curators.
De Privacycommissie verzoekt de wetgever om de beroepsmogelijkheden voor de betrokkenen tegen fouten in het Register te verduidelijken.
Nadat de Privacycommissie begin 2015 verschillende vragen had ontvangen omtrent de gewijzigde algemene voorwaarden van het sociaal netwerk Facebook, werden in 2015 verschillende stappen gezet tegen Facebook. Voor een uitgebreid overzicht kan verwezen worden naar het jaarverslag 2015 (pagina’s 20 t.e.m. 23).
De belangrijkste acties waren onder meer het uitvaardigen van een aanbeveling (nr. 04/2015) en het in gebreke stellen van Facebook wegens schendingen van de Privacywet en artikel 129 van de Wet betreffende elektronische communicatie. Ingevolge deze ingebrekestelling werd Facebook gedagvaard in kort geding. Bij vonnis van 9 november 2015 had de rechter in kortgeding Facebook veroordeeld voor de inzameling van gegevens van niet-gebruikers van de sociale netwerksite.
Tegen deze veroordeling is Facebook echter in beroep gegaan. Op 29 juni 2016 heeft het Hof van Beroep de kort geding beschikking tegen Facebook vernietigd. Het Hof van Beroep wees de initiële vordering van de Privacycommissie af op bevoegdheidsgronden. Het hoger beroep van Facebook werd aldus ingewilligd.
Het Hof van Beroep oordeelde dat de Belgische hoven en rechtbanken niet bevoegd zijn ten aanzien van Facebook Ireland, waar de gegevens voor Europa verwerkt worden, en Facebook Inc., de Amerikaanse moedermaatschappij. Ten overstaan van Facebook Belgium hebben de Belgische hoven en rechtbanken wel rechtsmacht maar is de initiële eis van de Privacycommissie ongegrond: een voorlopige beschikking in kort geding kan enkel uitgesproken worden wanneer de eis hoogdringend is. De praktijk van Facebook, waarbij het een datr-cookie plaatst ten aanzien van niet-facebook gebruikers, bestaat immers onafgebroken sedert 2012 en de kortgedingprocedure werd slechts medio 2015 ingeleid.
De Privacycommissie richt zich nu volop op de procedure ten gronde, die in de tweede helft van 2017 zal worden behandeld.
De Privacycommissie bracht op 24 februari 2016 een advies uit eigen beweging uit dat ertoe strekte ondernemingen en administraties, die gebruik willen maken van cloudcomputingdiensten, te helpen hun verplichtingen die uit de Privacywet voortvloeien na te komen, gelet op de risico's die deze diensten met zich meebrengen ondanks de economische voordelen ervan.
Het advies is zo gestructureerd en leesbaar mogelijk opgesteld zodat het voor de betrokken actoren gemakkelijk te begrijpen is. Het omschrijft de verschillende plichten die uit de Privacywet voortvloeien en die in principe van toepassing zijn op de klanten van clouddiensten. Vervolgens bespreekt het advies de voornaamste risico's die kunnen ontstaan bij een migratie naar een cloudoplossing.
Tot slot wordt een reeks richtlijnen opgesomd onder de vorm van stappen die de verantwoordelijke voor de verwerking zou moeten nemen alvorens over te stappen naar een cloudoplossing.
De gegevens die de aanvrager (verhuizer) invult op het ‘DO MY MOVE’-formulier worden in de eerste plaats verstrekt aan Bpost om, gedurende een bepaalde tijd, nazending te bekomen op het nieuwe adres van de post die aan het oude adres wordt gericht. Bpost deelt de verhuisgegevens echter ook mee aan derden die daarom verzoeken, om deze te gebruiken voor het versturen van commerciële informatie over hun producten en diensten en om hun klanten- en adresbestanden aan te passen en up to date te houden, tenzij de betrokkene zich daartegen verzet.
Het laatste voorstel tot wijziging van het formulier door Bpost bestond erin een meer zichtbare opt-out mogelijkheid aan te bieden tegen de mededeling door Bpost van de verhuisgegevens aan derden. De verantwoording van Bpost om niet te werken met een opt-in is gebaseerd op het Koninklijk Besluit van 24 april 2014 houdende reglementering van de postdienst. Bpost meent namelijk op basis van dit koninklijk besluit, mits verzet van de betrokkene, diens verhuisgegevens aan om het even welke derde te kunnen en zelfs te moeten overmaken als die hem daartoe verzoekt. Deze mededeling kan slaan op meer dan loutere adreswijzigingsgegevens alleen, zoals verhuisdatum, leeftijd, taal, geslacht, type nieuwe woonst (een huis of appartement) en of men eigenaar of huurder is van de nieuwe woonst.
De Privacycommissie was het niet eens met deze zienswijze. Zij is van mening dat de draagwijdte van het koninklijk besluit beperkter is en enkel betrekking heeft op de mededeling aan derden die reeds in hun bestand over het oude adres van de betrokkene beschikten en dat deze mededeling enkel slaat op adreswijzigingsgegevens (meer bepaald naam en voornaam, oud en nieuw adres). Enkel voor een mededeling die de bedoeling van het koninklijk besluit respecteert (de verbetering van de postactiviteiten) en enkel voor de mededeling van persoonsgegevens die hiertoe strikt noodzakelijk zijn (adreswijzigingsgegevens), volstaat dit opt-out regime. Voor al het overige is een opt-in vereist.
De Privacycommissie heeft daarom op 8 juni 2016 het gebruik van een opt-in aanbevolen. Deze aanbeveling werd overgemaakt aan Bpost. Bpost reageerde aanvankelijk dat het niet wou werken met een opt-in, maar bleef vasthouden aan de opt-out.
Als gevolg van het meningsverschil tussen de Privacycommissie en Bpost zal op 12 oktober een 2de hoorzitting plaatsvinden, voorafgegaan door een informeel overleg op 26 september met Bpost.
Elk jaar op 28 januari viert gegevensbescherming haar feestdag: Data Protection Day! Een internationale dag waarop organisaties wereldwijd het grondrecht privacy in herinnering brengen en aandacht vragen voor het hoe?, wat? en waarom? van gegevensverwerking. Ook ‘ik beslis’ droeg een steentje bij, want geen beter moment om onze jongeren een handje te helpen met hun privacy.
Uit cijfers afkomstig van jongerentelefoon Awel blijkt dat nog te veel jongeren vaak geen raad weten met de risico’s verbonden aan het ongewenst verspreiden van hun beeldmateriaal. Dus vond de Privacycommissie het hoog tijd om het recht op afbeelding in de kijker te plaatsen. Want voor onze jongeren is een leven zonder online delen van beeldmateriaal ondenkbaar. Maar hoe zit het dan met het recht op privacy? Kunnen we weigeren om gefilmd te worden en kunnen we verbieden dat beeldmateriaal over ons wordt verspreid? Pertinente vragen waarover de Privacycommissie graag jongeren zelf aan het woord liet.
Op vrijdag 29 januari 2016 verzamelden meer dan 120 jongeren, Franstaligen en Nederlandstaligen, in het parlement voor het allereerste jongerenparlement over het recht op afbeelding. Ze werden er ondergedompeld in een snelcursus recht op afbeelding en meteen werd duidelijk dat het online delen van beeldmateriaal niet zo evident is als het lijkt. En dat jongeren met heel wat vragen zitten, bleek al snel toen een ruime meerderheid aangaf al eens problemen te hebben gehad met foto’s en filmpjes die zonder hun toestemming werden verspreid.
In vier thematische subcommissies gingen ze in debat met deskundigen. Ze deelden hun ervaringen en meningen rond de fenomenen sharenting, het filmen van de les, het verspreiden van beeldmateriaal op sociale netwerken en het recht op afbeelding in het kader van televisieprogramma’s, inclusief e-reputation.
Al debatterend kwamen de deelnemers tot aanbevelingen voor toenmalig staatssecretaris Bart Tommelein, die alvast beloofde deze ter harte te nemen. De staatssecretaris had voor de jongeren een duidelijke boodschap: “Wees je bewust van wat je deelt en toon respect voor de privacy van anderen. Want delen is leuk, maar niet zonder risico’s. Wanneer we de risico’s kennen, kunnen we ons een stuk beter indekken en zijn we al een pak veiliger online”.
Dit vinden de jonge “volksvertegenwoordigers”:
Lees meer over de activiteiten van ik beslis in deel 4 van dit jaarverslag
De steeds toenemende koppeling van informatiesystemen maakt deze gegevensstromen in het huidig technologisch klimaat bijzonder vatbaar voor gegevenslekken.
Een algemene “brede” meldplicht voor dergelijke beveiligingsinbreuken bleef tot op heden uit. De wetgever beperkt dergelijke “smalle” meldplicht thans tot de telecomoperatoren. Daarnaast voorziet de Privacycommissie in een facultatieve meldplicht ten aanzien van verantwoordelijken in de andere sectoren.
Desondanks blijft het aantal ontvangen meldingen ook in 2016 relatief laag.
In 2016 werden er 7 verplichte meldingen ontvangen:
In de dossiers werden de passende maatregelen genomen om de inbreuk te verhelpen.
Reeds in 2013 heeft de Privacycommissie een aanbeveling over gegevenslekken uitgebracht. Hierin wordt aan de verantwoordelijken voor de verwerking aanbevolen om gegevenslekken inzake telecommunicatie, evenals in andere sectoren, te melden aan de Privacycommissie.
In 2015 behandelde de Privacycommissie 11 dossiers. In 2016 was dit aantal maar lichtjes gestegen tot 16:
In 10 dossiers werden de aanbevelingen, geformuleerd door de Privacycommissie, expliciet opgevolgd.
Drie dossiers zijn nog lopende.
Vanaf 2018, door toedoen van de toepassing van de Algemene Verordening Gegevensbescherming, zullen alle sectoren datalekken verplicht moeten melden aan de Privacycommissie. Niet alle datalekken zullen echter moeten worden gemeld. Enkel deze waarbij het waarschijnlijk is dat de betrokkene enige vorm van schade zal leiden, bv. als gevolg van een identiteitsdiefstal of het schenden van een geheimhoudingsplicht. De niet naleving van de meldplicht kan vanaf dan resulteren in een geldboete, bovenop de boete voor het datalek zelf.
De Privacycommissie werd verzocht om advies te geven op een wetsvoorstel dat tot doel had om wijzigingen aan te brengen in de wetgeving waarin de werking van het Controleorgaan op de Politionele Informatie (COC) wordt geregeld. In haar advies onthaalde zij het wetsvoorstel positief, maar maakte zij tegelijk ook nog fundamentele opmerkingen. Deze opmerkingen hielden enerzijds verband met het feit dat de eerdere adviezen van de Privacycommissie in dit domein slechts gedeeltelijk waren gevolgd en anderzijds met het feit dat het wetsvoorstel nog op geen enkele wijze rekening hield met de nieuwe Europese Richtlijn inzake Politie en Justitie.
Laatstgenoemde richtlijn zal belangrijke gevolgen hebben voor de taken en de bevoegdheden van het COC. Vandaag heeft het COC immers een hybride statuut: enerzijds lijkt het op een Data Protection Authority (DPA) specifiek voor de politie-sector en anderzijds oefent het niet alle bevoegdheden uit die krachtens de richtlijn aan een DPA worden opgelegd en is het ook een soort van “Comité P” dat specifiek toezicht houdt op de wettelijkheid, effectiviteit en de efficiëntie van de informatiehuishouding bij de politie. De Privacycommissie heeft er de wetgever in haar advies nr. 45/2016 op gewezen dat dit hybride statuut moeilijk houdbaar zal blijven in het licht van de nieuwe Europese Richtlijn inzake Politie en Justitie en zij heeft de wetgever uitgenodigd om een duidelijke keuze te maken: ofwel krijgt het COC het statuut van een volwaardige DPA met alle taken en bevoegdheden die daar bij horen, ofwel krijgt het geen DPA-statuut en wordt werk gemaakt van een heroriëntering van de bestaande bevoegdheden van het COC die overlappen met de klassieke DPA-taken.
Bij de instelling van het platform mensenrechten in 2015 werd er voorlopig voor gekozen om het voorzitterschap en het secretariaat jaarlijks te laten waarnemen door een ander lid van het platform. Zo heeft de Privacycommissie gedurende het hele jaar 2015 het voorzitterschap en het secretariaat van het platform waargenomen, en werd het Interfederaal Gelijkekansencentrum (thans Unia genaamd) bereid gevonden om deze taak in 2016 op zich te nemen.
De vergaderingen van het platform vormen nog steeds de gelegenheid om dossiers met gemeenschappelijke raakpunten op transversale wijze te behandelen. Deze behandelwijze bestond enerzijds uit de uitwisseling van informatie tussen de verschillende betrokken mensenrechteninstanties, en anderzijds uit de toewijzing van een aantal dossiers aan de meest aangewezen bevoegde instelling van het platform, die dan in hoofde van het behandelde thema de verdere behandeling van het dossier op zich nam. Het ging dan specifiek voor de Privacycommissie over onderwerpen zoals het toezicht via internet in diverse domeinen (waaronder de aanpak van cyberhaat op het net, foto’s op internet, inzonderheid in schoolcontext), de invoering van een biometrisch systeem in een school als toegangscontrole, het raadplegen van de inhoud van een smartphone van een leerling door onderwijspersoneel, ….
De vergaderingen van het platform waren soms ook de gelegenheid om kennis te vergaren rond een materie die de leden rechtstreeks of onrechtstreeks aanbelangen. Zo werden in 2016 o.a. de volgende thema’s voorgesteld en besproken:
Op 24 mei 2016 is de Algemene Verordening Gegevensbescherming ("AVG") in werking getreden.
Bedrijven en organisaties krijgen evenwel tot 25 mei 2018 de tijd om zich aan de nieuwe regelgeving aan te passen.
Helemaal nieuw is de AVG natuurlijk niet. Veel van haar basisprincipes en concepten vinden we reeds terug in de actuele Belgische Privacywet. Dus wie vandaag al voldoet aan de huidige wetgeving, zal deze benadering als geldig uitgangspunt kunnen nemen voor de implementatie van de AVG. Toch zijn er enkele nieuwigheden en aanzienlijke verbeteringen die de huidige aanpak licht zullen wijzigen.
De Privacycommissie stelde een handleiding in 13 stappen op om ondernemingen en organisaties toe te laten snel en makkelijk de verschillen op te sporen tussen de huidige Privacywet en de nieuwe AVG zodat zij hun intern beleid kunnen aanpassen.
De Privacycommissie kreeg de gelegenheid om deze handleiding voor te stellen aan de ondernemingen en drong aan op het belang om nu reeds de nodige maatregelen te nemen om de overgang naar de nieuwe reglementering te vergemakkelijken.
Hiertoe is het essentieel zich te verzekeren van de steun en medewerking van de sleutelpersonen in de schoot van elke onderneming of organisatie. Zo moet je bijvoorbeeld voorzien in nieuwe procedures om te voldoen aan de vereisten van transparantie of om de rechten van de betrokkene te garanderen. In een groot bedrijf of complexe organisatiestructuur kan dit aanzienlijke gevolgen teweegbrengen op het vlak van budget, IT, personeel, beleid en communicatie.
De AVG legt meer de nadruk op de documentatieplicht van de verwerkingsverantwoordelijke, als blijk van diens verantwoordelijkheid. Het stappenplan helpt bedrijven en organisaties hun huidig databeschermingsbeleid te evalueren en aan te passen aan de nieuwe vereisten van de AVG. Een eerste stap hierin kan zijn om de bestaande contracten en regelingen voor gegevensuitwisseling te herzien.
Deze handleiding in 13 stappen is beschikbaar en kan gedownload worden op de website van de Privacycommissie onder het tabblad "Algemene Verordening Gegevensbescherming".
In eenzelfde gedachtegang als de handleiding in 13 stappen, heeft de Privacycommissie een volledig thematisch dossier gecreëerd over de bepalingen van de nieuwe Algemene Verordening Gegevensbescherming De Privacycommissie wil immers duidelijke en gerichte informatie over het onderwerp aanbieden. Hiertoe heeft de Privacycommissie een specifiek tabblad gecreëerd, getiteld "Algemene Verordening Gegevensbescherming". Dit tabblad omvat een thematisch dossier dat als doel heeft elke bepaling van de AVG per doelgroep volledig uit te leggen. De doelgroepen zijn: de verwerkingsverantwoordelijke, verwerker en betrokkene. De nieuwigheden en/of wijzigingen ten opzichte van de huidige Privacywet worden eveneens uitgelegd. Het is ook belangrijk dit thematisch dossier bij te werken in functie van eventuele verduidelijkingen die op Europees niveau verstrekt worden.
De Privacycommissie biedt aan de ondernemingen en organisaties eveneens de mogelijkheid om hun vragen voor te leggen aan de hand van een online formulier. De meest voorkomende vragen zullen opgenomen worden onder de vorm van "Veel gestelde vragen" en worden gepubliceerd onder de rubriek « FAQ » op de website.
De Groep Artikel 29 (G29) heeft beslist om richtsnoeren en andere interpretatie-instrumenten te ontwikkelen voor een geharmoniseerde toepassing van de AVG.
De G29 heeft een actieplan goedgekeurd met betrekking tot de implementatie van de algemene verordening gegevensbescherming. Hij stelde zich tot doel de Richtsnoeren, instrumenten en procedures te ontwikkelen om zich voor te bereiden op het nieuwe wettelijke kader dat in werking zal treden in het eerste semester 2018.
In zijn actieplan voor het jaar 2016 heeft de G29 zijn prioriteiten bepaald voor de overgang naar het nieuwe wettelijke kader en de creatie van een nieuw bestuursmodel via de European Data Protection Board (EDPB).
Dit nieuwe bestuursmodel voorziet in een belangrijkere rol voor de gegevensbeschermingsautoriteiten. Het model rust op drie pijlers: De nationale gegevensbeschermingsautoriteiten, een betere samenwerking tussen autoriteiten en op het niveau van de EDPB om de coherentie te verzekeren. De G29 wenst zoveel mogelijk op deze nieuwe organisatie te anticiperen.
De grote lijnen van het actieplan zijn gebaseerd op vier prioriteiten:
Op het gebied van de voorbereiding van de "one-stop-shop" heeft de G29 de interpretatie van het begrip " leidende toezichthoudende autoriteit" als prioritair bestempeld.
Op het gebied van begeleiding van de verwerkingsverantwoordelijken en verwerkers heeft de G29 4 prioritaire onderwerpen geïdentificeerd:
Op 13 december 2016 heeft de G29 de richtsnoeren goedgekeurd rond de volgende onderwerpen: het nieuwe recht op overdraagbaarheid, de functionaris voor gegevensbescherming en het begrip leidende toezichthoudende autoriteit. Aan deze in verband met de effectbeoordeling en de certificering wordt momenteel gewerkt. De goedgekeurde richtsnoeren illustreren en verduidelijken concrete voorbeelden van het nieuwe juridische kader afkomstig uit de Europese Verordening Gegevensbescherming die in mei 2018 toepasselijk wordt in geheel Europa.
Ingevolge de goedkeuring van deze richtsnoeren heeft de G29 in december 2016 beslist om het document voor commentaar voor te leggen met de bedoeling het te verrijken en zal hij zijn definitieve versie publiceren in de lente 2017.
De Algemene Verordening Gegevensbescherming ("AVG") voorziet in een aantal nieuwe verplichtingen voor verwerkingsverantwoordelijken, waaronder de verplichting tot het uitvoeren van een “gegevensbeschermingseffectbeoordeling”, kortweg “GEB”. Een GEB is een proces dat ertoe strekt om risico’s te evalueren in verband met de rechten en vrijheden van natuurlijke personen, die ontstaan of dreigen te ontstaan naar aanleiding van de verwerking van persoonsgegevens, alsook om de mogelijkheden tot beheersing van deze risico’s te evalueren.
Vooraleer een aanbeveling uit eigen beweging uit te brengen over dit thema, wenste de Privacycommissie advies en suggesties in te winnen van de diverse betrokken actoren. Ze besloot daarom een ontwerp van aanbeveling voor te leggen aan een publieke consultatie.
In het aanbevelingsontwerp kwamen onder meer de volgende onderwerpen aan bod:
Daarnaast voorziet het aanbevelingsontwerp in een opsomming van een aantal minimale kenmerken van een behoorlijk risicobeheer om de verwerkingsverantwoordelijke houvast te bieden bij diens keuze van methodologie. Tot slot voorziet het ontwerp ook in een lijst van het soort verwerkingen waarvoor een GEB wel of niet vereist is.
De publieke consultatie, bekend gemaakt op 20 december 2016, werd afgesloten op 28 februari 2017.
De Privacycommissie hecht veel belang aan de dialoog en haar opdracht van sensibilisering inzake gegevensbescherming in het algemeen en meer specifiek inzake de nieuwe algemene verordening gegevensbescherming. Er is een grote vraag voor deelname aan verschillende colloquia en conferenties. Hoewel de Commissie niet gunstig kan antwoorden op alle aanvragen neemt de Privacycommissie niettemin deel aan een groot aantal colloquia en conferenties en tracht alle sectoren te behandelen.
De Algemene Verordening Gegevensbescherming ("AVG") voorziet in een aantal nieuwe verplichtingen voor verwerkingsverantwoordelijken, waaronder de verplichting tot het uitvoeren van een “gegevensbeschermingseffectbeoordeling”, kortweg “GEB”. Een GEB is een proces dat ertoe strekt risico’s te evalueren in verband met de rechten en vrijheden van natuurlijke personen, die ontstaan of dreigen te ontstaan naar aanleiding van de verwerking van persoonsgegevens, alsook om de mogelijkheden tot beheersing van deze risico’s te evalueren.
Vooraleer een aanbeveling uit eigen beweging uit te brengen over dit thema, wenste de Privacycommissie advies en suggesties in te winnen van de diverse betrokken actoren. Ze besloot daarom een ontwerp van aanbeveling voor te leggen aan een publieke consultatie.
In het aanbevelingsontwerp kwamen onder meer de volgende onderwerpen aan bod:
Daarnaast voorziet het aanbevelingsontwerp in een opsomming van een aantal minimale kenmerken van een behoorlijk risicobeheer om de verwerkingsverantwoordelijke houvast te bieden bij diens keuze van methodologie. Tot slot voorziet het ontwerp ook in een lijst van het soort verwerkingen waarvoor een GEB wel of niet vereist is.
De publieke consultatie, bekend gemaakt op 20 december 2016, wordt afgesloten op 28 februari 2017.
Bij aanbeveling van 19 december 2016 heeft de Commissie akte genomen van de richtsnoeren aangenomen door de Groep van het artikel 29 betreffende de overdraagbaarheid van de gegevens in het kader van de toepassing van de AVG. Deze richtsnoeren werden onderworpen aan een openbare raadpleging. De Commissie beveelt de verwerkingsverantwoordelijken en de verwerkers aan om gebruik te maken van deze richtsnoeren als instrument om de AVG te interpreteren met betrekking tot het recht op overdraagbaarheid van persoonsgegevens
Dit recht, opgenomen in artikel 20 van de AVG, bevat 2 aspecten:
In tegenstelling met het recht op toegang is dit recht alleen van toepassing als de verwerking berust op een toestemming of een overeenkomst en als het een automatische verwerking betreft. Zo zijn de financiële instellingen bijvoorbeeld niet verplicht te antwoorden op een vraag om overdraagbaarheid met betrekking tot de identificatie- en transactiegegevens die zij ingezameld hebben in het raam van hun antiwitwasverplichtingen, aangezien een dergelijke verwerking gestoeld is op een wettelijke verplichting en niet op de toestemming van de betrokkene of op een met deze laatste afgesloten contract. Het recht op overdraagbaarheid kan overigens niet worden uitgeoefend bij een verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
Het toepassingsgebied van dit recht is beperkt aangezien de betrokkene alleen de gegevens zal ontvangen die hij zelf heeft verstrekt. De G29 heeft het begrip "door de betrokkene meegedeelde gegevens die het onderwerp vormen van overdraagbaarheid" verduidelijkt. Het gaat zowel om gegevens die actief en bewust door de betrokkene werden meegedeeld (bv. Identificatiegegevens - naam, e-mailadres - verstrekt bij de onderschrijving voor een dienst), als om brutogegevens die passief door de betrokkene worden verstrekt wanneer hij gebruik maakte van de dienst (bv. gegevens die worden ingezameld door slimme meters, registratie van aankomen door een getrouwheidsprogramma, internetopzoekingen, bankrekeninggegevens, verstuurde of ontvangen e-mails,...) Daarentegen zijn de gegevens die door de dienstverlener worden gecreëerd op basis van de door betrokkene meegedeelde gegevens zoals bijvoorbeeld een gebruiksprofiel gerecreëerd door de dienstverlener op basis van de brutogegevens van een slimme meter, niet overdraagbaar.
De G29 heeft eveneens verduidelijkt dat de betrokkenen het recht hebben de overdraagbaarheid van persoonsgegevens te vragen met betrekking tot gegevens van derden (bv. e-mails of bankgegevens) en dit, op voorwaarde dat deze gegevens van derden enkel verwerkt worden voor huishoudelijke of persoonlijke doeleinden waarop de GDPR in dergelijk geval niet van toepassing is.
Voor het overige verduidelijkt het advies van de G29 de respectievelijke verantwoordelijkheden van de leveranciers en de ontvangers van persoonsgegevens in het raam van een Accountability kwestie, met name de antwoordtermijnen en verplichte informatieverstrekking door verwerkingsverantwoordelijken, onder meer verplicht om de betrokkenen in te lichten over het bestaan van het recht op overdraagbaarheid van hun gegevens zover dit noodzakelijk zou zijn om een gerechtvaardigde en transparante verwerking te garanderen. De G29 verduidelijkt eveneens hoe moet worden omgegaan met vragen om overdraagbaarheid en andere aanvragen geformuleerd door betrokkenen op basis van bijvoorbeeld hun recht op toegang of schrapping van gegevens. Ten slotte beveelt de G29 best practices aan inzake beveiliging van gegevens en inzake het formaat van overgedragen gegevens.
Groep 29 - Europese Verordening betreffende de gegevensbescherming (AVG) eist dat in een zeker aantal bepaalde gevallen, de verwerkingsverantwoordelijke en verwerkers een functionaris voor gegevensbescherming aanduiden. De functionaris voor gegevensbescherming is een hoeksteen voor het accountabilitystelsel, zijn aanwijzing kan de conformiteit met de AVG vergemakkelijken en kan ook een echt concurrentie-instrument worden voor de ondernemingen. De functionaris voor gegevensbescherming fungeert bovendien als tussenpersoon tussen de betrokken actoren: de toezichthoudende autoriteiten, de betrokkenen (ook de werknemers van de verwerkingsverantwoordelijke of verwerker waarvoor de functionaris werkt) maar ook de verschillende entiteiten/diensten binnen een onderneming of organisatie. De artikelen 37 tot 39 van Hoofdstuk IV van de AVG die gewijd zijn aan de verplichtingen van de verwerkingsverantwoordelijke en de verwerkers zijn zeer relevant: artikel 37 betreft de aanwijzing van een functionaris; artikel 38 betreft het statuut van de functionaris; en artikel 39 betreft de opdrachten van de functionaris.
Het uitwerken van richtsnoeren in verband met de functionaris voor gegevensbescherming, bestemd voor de verwerkingsverantwoordelijken en verwerkers, werd door de Groep van het Artikel 29 al heel snel als een noodzakelijke prioriteit onderkend, en dit werd vlug bevestigd, gezien de vele vragen die over dit onderwerp binnenkwamen (wanneer moet hij worden aangewezen? wat is zijn statuut, hoe zijn onafhankelijkheid concreet maken, welke verplichtingen hebben de verwerkingsverantwoordelijken en verwerkers ten aanzien van hem, hoe moet de vereiste van het niet bestaan van een belangenconflict geïnterpreteerd worden, welke zijn zijn opdrachten? etc... Daarom werd dit ingevoegd in hun werkprogramma 2016 dat betrekking had op het invoeren van de AVG. Het uitwerken van deze richtsnoeren, werd besproken in het kader van de subwerkgroep "Key provision" van de Groep van het Artikel 29. Het Secretariaat van de CBPL is lid van deze werkgroep en droeg actief bij aan het opstellen van deze richtlijnen. La Commission Nationale Informatique et Liberté (CNIL), de Duitse Federale Gegevensbeschermingsautoriteit en de Zweedse gegevensbeschermingsautoriteit - alle 3 omwille van hun nationale ervaringen met de functie van de "functionaris voor gegevensbescherming" - speelden de rol van co-verslaggevers met de ondersteuning van de EDPS.
De Groep van het Artikel 29 keurde haar richtsnoeren goed tijden de zitting begin december 2016 (WP 243) en gaf de tekst vrij voor een publieke raadpleging die liep tot 15 februari 2017. Bijgevolg kan tijdens het eerste semester van 2017 een herzien document over dit onderwerp door de Groep 29 worden goedgekeurd.
De richtsnoeren van de Groep 29 hebben een dubbel doel:
CBPL - Binnen de CBPL, werden de personeelsleden van het Secretariaat en commissarissen (op vrijwillige basis) regelmatig op de hoogte gehouden van de vooruitgang in de voorbereiding van deze richtsnoeren van de Groep 29. Deze leden werden ook uitgenodigd om de opeenvolgende ontwerpen te becommentariëren en hun bekommernissen en suggesties in dit kader werden door het Secretariaat naar de voormelde subgroep Key provision doorgezonden. De CBPL heeft tijdens haar zitting van 19 december de aanbevelingen van de Groep 29 overgenomen en de verwerkingsverantwoordelijken en verwerkers verzocht om ze uit te voeren.
De Privacycommissie raadt de verwerkingsverantwoordelijken en de verwerkers aan om voor de toekomstige identificatie van de toezichthoudende autoriteit, in het kader van de éénloketmechanisme als bedoeld in de AVG, gebruik te maken van de richtsnoeren die de Groep van het artikel 29 als interpretatie-instrument heeft aangenomen.
De identificatie van een toezichthoudende autoriteit is pas relevant als de verwerkingsverantwoordelijke of de verwerker een grensoverschrijdende gegevensverwerking verricht, waarbij hetzij de verwerkingsverantwoordelijke of de verwerker gevestigd is in meerdere Lidstaten en de verwerking plaatsvindt in het kader van de activiteiten van de vestigingen in meerdere Lidstaten of de verwerking plaatsvindt in het kader van de activiteiten van de enige vestiging van een verwerkingsverantwoordelijke of verwerker binnen de Unie, maar wezenlijke gevolgen kan hebben voor de betrokkenen in meerdere Lidstaten. De éénloketmechanisme is niet van toepassing op de ondernemingen die niet in Europa gevestigd zijn.
De voornaamste verantwoordelijkheid van de toezichthoudende autoriteit is het toezicht op de grensoverschrijdende verwerking. Zij zal de onderzoeken coördineren maar de andere betrokken autoriteiten zullen eveneens betrokken worden.
Om de toezichthoudende autoriteit te kunnen aanwijzen moet de hoofdvestiging van de verwerkingsverantwoordelijke of verwerker geïdentificeerd worden.
Aangaande de verwerkingsverantwoordelijke, verduidelijken de richtsnoeren van de groep van het artikel 29 dat de AVG een veronderstelling invoert volgens hetwelk de centrale administratie in de Unie de plaats is van de hoofdvestiging van de verwerkingsverantwoordelijke. Als evenwel de beslissingen over de doelstellingen van en de middelen voor de verwerking van persoonsgegevens worden genomen in een andere vestiging van de verwerkingsverantwoordelijke die zich eveneens in de Unie bevindt, en die tevens gemachtigd is die beslissingen uit te voeren, wordt de vestiging waar die beslissingen worden genomen als de hoofdvestiging beschouwd.
Wanneer bijgevolg de beslissingen betreffende meerdere grensoverschrijdende verwerkingen worden genomen door de centrale administratie in de Unie, zal er slechts een enkele toezichthoudende autoriteit zijn voor deze verschillende verwerkingen. Maar wanneer verschillende vestigingen in verschillende Lidstaten beslissingen nemen over de doelstellingen van en de middelen voor de verschillende verwerkingen die een verwerkingsverantwoordelijke inzet, zullen er meerdere leidende toezichthoudende autoriteiten zijn voor de verschillende verwerkingen.
De AVG geeft geen criteria om de leidende toezichthoudende autoriteit te identificeren wanneer de verwerkingsverantwoordelijke gevestigd is in Europa maar de beslissingen over de doelstellingen en de middelen van de gegevensverwerking niet genomen worden in deze Europese vestigingen en de centrale administratie niet in Europa is. Onder die omstandigheden is de groep van het artikel 29 van mening dat het aan de verwerkingsverantwoordelijke is om een hoofdvestiging aan te duiden, als hij gemachtigd is om de beslissingen betreffende de gegevensverwerkingen uit te voeren en die vestiging de juridische verantwoordelijkheid opneemt voor de verwerking en dat hij daarvoor voldoende middelen heeft.
Voor de verwerker zal de hoofdvestiging de plaats zijn van zijn centrale administratie binnen de Unie en als hij die niet heeft, de plaats binnen de Unie waar de voornaamste verwerkingsactiviteiten in de Unie plaatsvinden.
Bij betrokkenheid van zowel de verwerkingsverantwoordelijke als de verwerker, moet de toezichthoudende autoriteit van de lidstaat waar de verwerkingsverantwoordelijke zijn hoofdvestiging heeft, de bevoegde leidende toezichthoudende autoriteit blijven, maar de toezichthoudende autoriteit van de verwerker moet worden beschouwd als een betrokken toezichthoudende autoriteit.
Ingevolge de vernietiging van het Safe Harbor-adequaatheidsbesluit door het Hof van Justitie van de Europese Unie op 6 november 2015 (het arrest Schrems C-362/14), heeft de Europese Commissie een nieuw adequaatheidsbesluit goedgekeurd op 12 juli 2016 betreffende het schild ter bescherming van gegevens EU-VS (Privacy Shield).
Het Privacy Shield is een programma van het Amerikaans Departement Handel waartoe de ondernemingen, onderworpen aan het toezicht van de FTC (Federal Trade Commission) kunnen aansluiten via een mechanisme van auto-certificering.
In vergelijking met het Safe Harbor-programma zijn meerdere elementen aangepast.
Onder de gegevensbeschermingsbeginsels die van toepassing zijn op de Amerikaanse auto-gecertificeerde ondernemingen, zijn de verplichtingen inzake transparantie versterkt (de ondernemingen zullen bijvoorbeeld informatie moeten verstrekken over de rechten van de betrokkenen en over de risico's over de verzoeken om toegang vanwege de overheid). Ook werden de regels versterkt die de verdere gegevensdoorgiftes regelen om er zeker van te zijn dat er contractuele verbintenissen worden opgelegd aan de ondernemingen die gegevens invoeren die afkomstig zijn van privacy shield gecertificeerde ondernemingen.
Er bestaan meerdere beroepsmogelijkheden waaronder met name de alternatieve systemen voor klachtenbeheer (ADR) die gratis ter beschikking moeten worden gesteld. De betrokkenen kunnen met hun nationale autoriteit contact opnemen voor wat het toezicht betreft op de ondernemingen door de overheid. In functie van de onderneming en de betrokken gegevens, zijn ofwel de Europese gegevensbeschermingsautoriteiten (onder de vorm van informeel panel) rechtstreeks bevoegd (voor de klachten over de persoonsgegevens in verband met human ressources wanneer de Amerikaanse gerechtigde onderneming er vrijwillig voor heeft gekozen om samen te werken met de Europese autoriteiten belast met de gegevensbescherming), ofwel zijn de Amerikaanse autoriteiten bevoegd (FTC en Departement Handel) en de nationale autoriteit kan handelen als tussenpersoon om de betrokkene te kunnen bijstaan. Om meer informatie te verkrijgen over de bevoegdheid van het overheidstoezicht, zie de website https://www.privacyshield.gov/list dat per betrokken onderneming informatie verstrekt. Wanneer het beroep is uitgeput, bestaat er ook een panel bemiddelaars dat de klacht kan beheren.
Ook bestaat er een specifieke beroepsmogelijkheid die werd opgericht voor klachten over toezicht op de betrokken personen door de Amerikaanse overheid. De betrokkenen kunnen de Amerikaanse bemiddelaar (ombudsperson) inschakelen via hun gegevensbeschermingsautoriteit voor elke klacht die verband houdt met de nationale veiligheid.