Het Sectoraal comité voor de Federale Overheid (hierna "het Comité");

Transcriptie

1 1/7 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 23/2017 van 26 juli 2017 Betreft: machtigingsaanvraag van de onderneming Schouwingscentrum voor Auto's n.v. om bepaalde gegevens te kunnen raadplegen die bewaard worden bij de Dienst Inschrijving van Voertuigen van de FOD Mobiliteit en Vervoer (AF-MA ) Het Sectoraal comité voor de Federale Overheid (hierna "het Comité"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; ; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer ; Gelet op de aanvraag van Schouwingscentrum voor Auto's n.v., ontvangen op 15/05/2017; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Beleid en Ondersteuning (rechtsopvolger van de Federale Overheidsdienst Fedict) op 12 juli 2017; Gelet op het verslag van de Voorzitter; Beslist op, 26 juli 2017 na beraadslaging, als volgt:.

2 Beraadslaging FO 23/2017-2/7 I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. De onderneming Schouwingscentrum voor Auto's n.v. (hierna de aanvrager ), diende op 15 mei 2017 een machtigingsaanvraag in bij het Comité om toegang te krijgen tot bepaalde persoonsgegevens die in de databank van de Dienst Inschrijving Voertuigen (hierna de DIV ) van de FOD Mobiliteit en Vervoer zijn opgeslagen. 2. De aanvrager is een organisme erkend door artikel 32 van het koninklijk besluit van 23 december 1994 tot vaststelling van de erkenningsvoorwaarden en de regeling van de administratieve controle van de instellingen belast met de controle van de in het verkeer gebrachte voertuigen (hierna "het koninklijk besluit van 23 december 1994") voor de technische keuring van voertuigen. 3. Voor het vervullen van zijn wettelijke opdrachten vraagt de aanvrager toegang tot de nummerplaat van de DIV die op haar beurt toegang verleent tot verschillende gegevens met betrekking tot het administratief en technisch statuut van het voertuig. II. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID 4. Krachtens artikel 36bis WVP, "vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging " (van het bevoegd sectoraal comité). 5. Het is de taak van "dit Comité om na te gaan of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft"» (Doc. Parl. 50, , nr. 1940/004). 6. In voorliggend geval wordt een elektronische toegang gevraagd tot persoonsgegevens die zich in gegevensbanken bij de FOD Mobiliteit en Vervoer bevinden. Het Comité is derhalve bevoegd. 7. Het Comité stelt vast dat de aanvrager een rechtspersoon is die de informatie nodig heeft om een opdracht te vervullen van algemeen belang die hem is toevertrouwd door de artikelen 13 en 14 van de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen, hierna de WKBV ) en de artikelen 4, 5 en 7 van het koninklijk besluit van 8 juli 2013 ter uitvoering van de WKBV ("KB KBV").

3 Beraadslaging FO 23/2017-3/7 B. TEN GRONDE 1. FINALITEITSBEGINSEL 8. Artikel 4, 1, 2, WVP laat de verwerking van persoonsgegevens slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en de gegevens mogen bovendien niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes gerespecteerd worden bij de verwerkingen die de aanvrager voor ogen heeft. 9. De aanvrager is als organisme voor technische keuring, erkend door artikel 32 van het koninklijk besluit van 23 december 1994, verbonden met de werking van de Kruispuntbank van de Voertuigen krachtens de artikelen 13 en 14 van de WKBV en de artikelen 4, 5 en 7 van het KB KBV. Artikel 5 van het KB KBV stelt de aanvrager vrij van de voorafgaande machtiging door het Sectoraal comité voor de gegevens die zij nodig hebben voor de verwezenlijking van de in artikel 4 opgesomde doeleinden waaronder "het mogelijk maken van de technische keuring van voertuigen". Het lijkt dus dat de aanvrager van mening is dat de geformuleerde aanvraag dit doeleinde overschrijdt. 10. Artikel 5 van de WKBV bepaalt het volgende:" De Kruispuntbank heeft tot doel om enerzijds de opspoorbaarheid van voertuigen te waarborgen vanaf de dag van hun constructie of van hun invoer, intracommunautaire verwerving of intracommunautaire overbrenging op het Belgisch grondgebied tot op de dag van hun vernietiging, of van hun uitvoer of intracommunautaire levering; en anderzijds om op elk ogenblik de eigenaar ervan, de aanvrager en de titularis van hun inschrijving te identificeren, alsook de gegevens betreffende hun goedkeuring te achterhalen". Dit artikel somt in de punten 1 tot 29 een aantal doeleinden op in toepassing van het algemene doeleinde van opspoorbaarheid van voertuigen. 11. Krachtens artikel 23 van het koninklijk besluit van 15 maart 1968 houdende algemeen reglement op de technische eisen waaraan de auto's, hun aanhangwagens, hun onderdelen en hun veiligheidstoebehoren moeten voldoen (hierna "het koninklijk besluit van 15 maart 1968), is de aanvrager eveneens belast met het controleren van de conformiteit van voertuigen met de reglementaire bepalingen die erop van toepassing zijn. Meer specifiek heeft de aanvrager als opdracht om het ter keuring aangeboden voertuig eenduidig te identificeren en na te gaan of het aangeboden voertuig wel degelijk overeenstemt met het bij de DIV ingeschreven voertuig (art 23bis 1, 2, 1 ste lid a en 2 de lid a en 5), maar ook of het aangeboden voertuig wel degelijk beantwoordt aan de door de constructeur verstrekte technische kenmerken, zoals geregistreerd

4 Beraadslaging FO 23/2017-4/7 door de KBV en, in voorkomend geval, hieraan verbeteringen of wijzigingen aan te brengen (art 23bis 3 en 23 novies 2). De aanvrager heeft eveneens als opdracht de keuringsdocumenten af te leveren (keuringsbewijs, identificatieverslag, tweedehandsrapport) (23 novies 1, 3 en 24 1) en de in het raam van de toevertrouwde opdrachten afgeleverde keuringsdocumenten te verbeteren (23 novies 1, 3 en 24 1). 12. Het Comité meent dat deze doeleinden welbepaald en uitdrukkelijk omschreven zijn. 13. De beoogde gegevensverwerkingen zijn ook toelaatbaar, gelet op artikel 5, punt c), van de WVP. 14. Het Comité concludeert aldus dat vandaag een wettelijke basis aanwezig is die een mogelijkheid voorziet voor de aanvrager om in deze context toegang te krijgen tot de gevraagde gegevens. 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens 15. Artikel 4, 1, 3, WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes worden nageleefd. 16. De aanvrager deelt mee dat hij uitsluitend toegang wenst tot de nummerplaat die hij nodig heeft voor de uitvoering van de wettelijke opdracht die hem werd toevertrouwd. Zoals vermeld in de aanvraag ontvangt de aanvrager geen andere persoonsgegevens van de DIV. 17. Het Comité is van oordeel dat het gegeven "nummerplaat" dat door de DIV aan de aanvrager zal worden toegestuurd, toereikend, ter zake dienend en niet overmatig is (zie artikel 4, 1, 3, WVP) in het licht van de doeleinden waarvoor het zal worden aangewend Bewaringstermijn van de gegevens 18. Aangaande de bewaringstermijn van de gegevens herinnert het Comité eraan dat de gegevens niet langer mogen worden bewaard dan de tijd die nodig is om het doeleinde te verwezenlijken waarvoor die gegevens werden ingewonnen (artikel 4, 1, 5 van de WVP). 19. De aanvrager deelt mee dat de nummerplaat wordt bewaard in een databank voor (vrije vertaling) "de andere toevertrouwde opdrachten". Het Comité benadrukt dat eens de doeleinden waarvoor

5 Beraadslaging FO 23/2017-5/7 de nummerplaat werd ingezameld werden verwezenlijkt (bijvoorbeeld ingeval van afbraak van het voertuig) de aanvrager de gegevens betreffende het voertuig zal moeten vernietigen. 2.3 Frequentie van de toegang en duur van de machtiging 20. De aanvrager vraagt een permanente toegang tot de gevraagde gegevens om deze te kunnen raadplegen bij elke technische keuring. 21. De aanvrager wenst gemachtigd te worden voor onbepaalde duur aangezien zijn wettelijke opdracht ter zake niet beperkt is in de tijd. 22. Het Comité constateert dat dit gepast is in het licht van de realisatie van het opgegeven doeleinde (artikel 4, 1, 3 WVP) Bestemmelingen en/of derden waaraan gegevens worden meegedeeld 23. Volgens de verstrekte informatie zullen de persoonsgegevens niet aan derden worden meegedeeld. 3. TRANSPARANTIEBEGINSEL 24. Het Comité herinnert eraan dat een eerlijke verwerking van gegevens een verwerking is die gebeurt op een transparante wijze. Eén van de hoekstenen van een transparante verwerking, betreft de informatieplicht. 25. Zoals werd herhaald in artikel 24 van de WKBV, kunnen de betrokkenen "de kosteloze rechtzetting vragen van elk onjuist gegeven dat op hem betrekking heeft, alsook de kosteloze schrapping van elk geregistreerd, opgeslagen, beheerd of ter beschikking gesteld gegeven dat strijdig is met deze wet of haar uitvoeringsbesluiten, of met de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. 26. Het Comité verzoekt de aanvrager de betrokkenen te informeren over de rechten die hen in de WVP worden toegekend, in het bijzonder het recht om verbetering van de gegevens te vragen.

6 Beraadslaging FO 23/2017-6/7 4. BEVEILIGING 4.1. Op het niveau van de aanvrager 27. De conformiteitsverklaring inzake het informatiebeveiligingssysteem bevestigt dat de aanvrager niet beschikt over een geschreven informatiebeveiligingsbeleid. Een dergelijk document is onontbeerlijk om de strategieën en maatregelen te bepalen om de verwerkte persoonsgegevens te beveiligen. 28. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsconsulent en een veiligheidsbeleid beschikt. Het Comité neemt hiervan akte. 29. Wat de aangestelde informatieveiligheidsconsulent betreft, wijst het Comité de gemachtigde op zijn algemene verantwoordelijkheden in dit verband. 30. De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in de context relevante regelgeving. Deze capaciteiten stellen de consulent in staat diens taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden. 31. De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de gemachtigde. 32. Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten hiermee onverenigbaar. In het bijzonder kan de functie niet gecumuleerd worden met deze van eindverantwoordelijke voor de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur). 33. De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken. De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken. 34. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen.

7 Beraadslaging FO 23/2017-7/7 35. De gemachtigde ondersteunt de consulent door hem beschikking te geven over de benodigde middelen en tijd voor het vervullen van diens taken en het in stand houden van zijn deskundigheid. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 36. Het Comité behoudt zich het recht voor de naleving van deze verplichtingen te controleren. 4.2.Op het niveau van de DIV 37. Uit de eerder toegestuurde informatie blijkt dat de DIV beschikt over een consulent inzake informatiebeveiliging en over een algemeen beveiligingsbeleid. Het Comité neemt hiervan akte. OM DEZE REDENEN, Het Comité, machtigt de aanvrager om de in de machtigingsaanvraag bedoelde gegevensverwerkingen uit te voeren onder de opschortende voorwaarde dat de aanvrager aantoont dat rekening wordt gehouden met de opmerkingen vervat in de punten 18, 19, 25, en 26 tot 34. De Wnd. Administrateur De Voorzitter, (get.) An Machtens (get.) Stefan Verschuere