tot de verwerking van persoonsgegevens (hierna WVG"); Advies nr. 36/2019 van 6 februari 2019

Transcriptie

1 1/11 Advies nr. 36/2019 van 6 februari 2019 Beterf: adviesaanvraag betreffende het voorontwerp van besluit van de Waalse Regering tot wijziging van het Waals Wetboek van Ruimtelijke Ontwikkeling (CO-A ) De Gegevensbeschermingsautoriteit (hierna "de Autoriteit"); Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikel 23 en 26 (hierna WOG ); Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (hierna "AVG") Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna WVG"); Gelet op de adviesaanvraag van dhr. Carlo Di Antonio, Minister van milieu, Ecologische transitie, Ruimtelijke ordening, Openbare Werken, Mobiliteit en Vervoer, Dierenwelzijn en Bedrijfsterreinen, ontvangen op 10 december 2018; Gelet op het verslag van de heer Willem Debeuckelaere; Brengt op 6 februari 2019 het volgend advies uit:.

2 Advies 36/2019-2/11 I. ONDERWERP EN CONTEXT VAN DE ADVIESAANVRAAG 1. De Waalse Minister van milieu, Ecologische transitie, Ruimtelijke ordening, Openbare Werken, Mobiliteit en Vervoer, Dierenwelzijn en Bedrijfsterreinen (hierna "de aanvrager") vraagt het advies van de Autoriteit over een voorontwerp van besluit tot wijziging van het Wetboek van Ruimtelijke Ontwikkeling (hierna "het voorontwerp"). 2. Het Wetboek van Ruimtelijke Ontwikkeling (hierna "WbRO") bundelt de regels inzake ruimtelijke ordening en stadsplanning in Wallonië. Dit Wetboek bestaat uit een decretaal deel, dat werd aangenomen op 20 juli 2016 door het Waalse Parlement en een reglementair deel, dat werd aangenomen op 22 december 2016 door de Waalse Regering. Het trad in werking op 1 juni Het WbRO vervangt het Waals Wetboek Ruimtelijk Ordening, Stedebouw, Patrimonium en Energie. De hervorming van het recht inzake ruimtelijke ordening en stedebouw streeft drie belangrijke doelen na: (1) administratieve vereenvoudiging, (2) ondersteuning van de economische ontwikkeling en (3) de strijd tegen stedelijke uitbreiding. 4. De Waalse Regering heeft een taskforce in het leven geroepen om de hervorming te monitoren en om te beoordelen of met de nieuwe mechanismen die zij heeft opgezet de doelen kunnen bereikt worden die zij nastreeft. Volgens de nota aan de Waalse Regering, die het voorontwerp vergezelde, heeft de task force geen belangrijke disfuncties kunnen vaststellen maar zij belicht wel het bestaan van technische of juridische vragen of praktische moeilijkheden die het Waals Gewest tracht op te lossen door een aanpassing in de marge van het WbRO. 5. Het voorontwerp dat voor advies is voorgelegd aan de Autoriteit wil sommige bepalingen van het reglementair deel van het WbRO aanpassen. II. ONDERZOEK VAN DE ADVIESAANVRAAG 6. De Autoriteit beperkt haar onderzoek van het voorontwerp tot de bepalingen die persoonsgegevensverwerkingen met zich meebrengen. Bovendien benadrukt de Autoriteit dat haar onderzoek van het voorontwerp gericht is op de nieuwe elementen in de reglementering. Met andere woorden, de Autoriteit spreekt zich in het kader van deze adviesaanvraag niet uit over de bepalingen van het WbRO die reeds van kracht zijn en die niet gewijzigd worden door het voorontwerp.

3 Advies 36/2019-3/11 A) Artikel 9 van het voorontwerp tot invoering van een artikel R.II.51-1 van het WbRO 7. Artikel 9 van het voorontwerp bepaalt de identiteit van de verwerkingsverantwoordelijke voor de geplande verwerkingen van persoonsgegevens in artikel D.II.51, 1, 2 en 5 van de WbRO. 8. De Autoriteit neemt kennis van het feit dat het DGO4, te weten Het Operationeel Directoraat- Generaal Ruimtelijke Ordening, Wonen, Erfgoed en Energie als verwerkingsverantwoordelijke is aangeduid voor de verwerkingen van persoonsgegevens die op grond van artikel D.II.51, 1, 2 en 5 van het WbRO worden verricht. B) Artikel 11 van het voorontwerp tot invoering van een artikel R.II.52-1 in het WbRO 9. Artikel 11 van het voorontwerp bepaalt de identiteit van de verwerkingsverantwoordelijke voor de geplande verwerkingen van persoonsgegevens in artikel D.II.52, 1, 3 en 7 van de WbRO. 10. De Autoriteit neemt kennis van het feit dat het DGO4, te weten Het Operationeel Directoraat- Generaal Ruimtelijke Ordening, Wonen, Erfgoed en Energie als verwerkingsverantwoordelijke is aangeduid voor de verwerkingen van persoonsgegevens die op grond van artikel D.II.52, 1, 3 en 7 van het WbRO worden verricht. C) Artikel 27 van het voorontwerp tot invoering van een artikel R.II.50-1 in het WbRO 11. De artikelen D.VI.48 en volgende van het WbRO voeren een belasting in op de winst uit planificatie. Deze belasting is verschuldigd wanneer een perceel voordeel trekt uit een of meerdere bestemmingswijzigingen ingevolge de opmaak of de herziening van het volledige of een deel van het gewestplan en (2) het voorwerp uitmaakt van een stedebouwkundige vergunning die niet kon verkregen worden voor de opmaak of herziening van het gewestplan of dat een zakelijk recht dat er betrekking op heeft tegen betaling is overgedragen via een authentieke akte. 12. Artikel D.VI.50 3 van het WbRO, dat werd ingevoegd door het programmadecreet van 17 juli 2018 bepaalt de mogelijkheid om een korting te krijgen op het bedrag van deze belasting ten belope van 10% van het investeringsbedrag, te verrichten op het volledige perceel dat van een bestemmingswijziging geniet. Volgens de nota van de Waalse Regering die bij het voorontwerp is gevoegd, is het doel van deze korting (vrije vertaling) "het stimuleren van de productieve investeringen die met name nieuwe arbeidsplaatsen scheppen en toegevoegde waarde ingevolge de bestemmingswijziging van de zonering van het sectorplan".

4 Advies 36/2019-4/ Om van deze belastingvermindering te kunnen genieten, moet de belastingplichtige krachtens artikel D.VI.50 3 "een verklaring op erewoord overmaken ter bevestiging van het bedrag van de te verrichten investering alsook een financieel plan aan de door de Regering aangewezen ambtenaar". 14. Artikel 27 van het voorontwerp voert een artikel R.VI.50-1 in het WbRO in teneinde artikel D.VI van het WbRO uit te voeren. i) Verwerkingsverantwoordelijke 15. Het toekomstige artikel R.VI.50-1 van het WbRO duidt de persoon aan, aan wie de belastingplichtige de documenten als bedoeld in artikel D.VI van het WbRO moet overmaken: de verantwoordelijke ambtenaar van de Afdeling Fiscaliteit van het Operationeel Directoraat-Generaal Fiscaliteit van de Waalse Overheidsdienst. De Autoriteit is bijgevolg van mening dat het Directoraat- Generaal Fiscaliteit van de Waalse Overheidsdienst moet worden beschouwd als verwerkingsverantwoordelijke van de gegevens die wordt verricht op grond van artikel D.VI van het WbRO De Autoriteit verzoekt de aanvrager om in de tekst zelf van het voorontwerp de identiteit van de verwerkingsverantwoordelijke in te schrijven, met name de het Directoraat-Generaal Fiscaliteit van de Waalse Overheidsdienst, en dit om de uitoefening van de rechten van de betrokkenen te vergemakkelijken. ii) Categorieën persoonsgegevens 17. Het toekomstig artikel R.VI van het WbRO bepaalt dat het fiscaal plan dat de belastingplichtige aan de administratie moet bezorgen (vrije vertaling) "het geraamde bedrag bevat, uitgesplitst in te verwezenlijken investeringen en informatie geeft over zijn financiële bronnen ". Het voegt daaraan toe "zodra het investeringsbedrag dat aanleiding heeft gegeven tot de belastingvermindering geïnvesteerd is en ten laatste na het verstrijken van 10 jaar, te rekenen vanaf het ogenblik dat de belasting verschuldigd is, bezorgt de belastingplichtige de bewijzen van de gerealiseerde investering" aan de administratie. Het toekomstig artikel R.VI van het WbRO specificeert (vrije vertaling) "deze bewijzen bestaan uit de betaalde facturen die betrekking hebben op aankopen, studies, aktes en werkzaamheden die op het perceel werden verwezenlijkt. 1 De Werkgroep "Artikel 39" - voorganger van het Europees Comité voor Gegevensbescherming - meende in haar advies 1/2010 over de begrippen "verwerkingsverantwoordelijke" en de "verwerker" dat "Vanuit het strategische oogpunt van het beleggen van verantwoordelijkheden, en om betrokkenen stelselmatig duidelijkheid te bieden over de vraag waar zij hun rechten op grond van de richtlijn kunnen uitoefenen, moet bij voorkeur de onderneming of instantie zelf als voor de verwerking verantwoordelijk worden beschouwd, en niet een specifieke persoon binnen de onderneming of instantie" (blz. 20).

5 Advies 36/2019-5/ Het voorontwerp omschrijft alzo de verschillende persoonsgegevens die aan de administratie moeten worden bezorgd, namelijk een gedetailleerd investeringsplan, de financiële bronnen van de investering en de bewijzen dat de investering gerealiseerd werd aan de hand van betaalde facturen. De Autoriteit stelt vast dat de gegevens overeenkomstig het vereiste van artikel 5 (1)(c) van de AVG " toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt", meer bepaald respectievelijk om het bedrag van de belastingvermindering te berekenen, om te verifiëren dat het financieel plan overtuigend is en te verifiëren dat de belastingplichtige daadwerkelijk recht heeft op een belastingvermindering omdat hij de geplande investering gerealiseerd heeft. iii) Bewaartermijn 19. Volgens artikel 5.1.e) AVG mogen persoonsgegevens in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan noodzakelijk is om de doeleinden waarvoor zij worden verwerkt, te bereiken. 20. De Autoriteit merkt evenwel op dat de bepaling die haar voor advies is voorgelegd, nergens een bewaartermijn bepaalt voor de gegevens die zullen worden ingezameld op grond van artikel R.VI.50-1 van het WbRO. Welnu wanneer de juridische grondslag van een persoonsgegevensverwerking een wettelijke verplichting is, zoals hier het geval is, schrijft artikel 6.3 van de AVG voor, samen gelezen met de artikelen 22 van de Grondwet en 8 van het Europees Verdrag voor de Rechten en fundamentele vrijheden van de Mens (hierna EVRM), dat de wezenlijke elementen van de gegevensverwerking moeten worden opgenomen in de regelgeving 2 en dus ook de bewaartermijnen In het licht van deze vereiste, verzoekt de Autoriteit de aanvrager om in het voorontwerp te voorzien in bewaartermijnen of criteria om de bewaartermijnen te bepalen voor de gegevens die werden ingezameld in het kader van de toepassing van artikel D.VI.50-1 van het WbRO. D) Het artikel 34 van het voorontwerp en de Bijlagen van het WbRO 22. Artikel 34 van het voorontwerp bepaalt dat de bijlagen 3 tot 21 van het voorontwerp de bijlagen 3 tot 21 van het WbRO vervangen. 23. De Autoriteit beperkt zijn onderzoek tot de bijlagen-formulieren waarmee de overheid (gemeentelijke of gedelegeerde ambtenaar) persoonsgegevens inzamelt. Het voorontwerp voorziet in deze bijlagen 2 Zie meer bepaald, Gegevensbeschermingsautoriteit, Advies nr. 130/2018 van 28 november 2018, 9; Gegevensbeschermingsautoriteit, Advies nr. 34/2018 van 11 april 2018, Zie meer bepaald, Gegevensbeschermingsautoriteit, Advies nr. 34/2018 van 11 november 2018, 30;

6 Advies 36/2019-6/11 in een tekstgedeelte waarin het privacybeleid voor de ingezamelde gegevens wordt uitgelegd op het ogenblik dat een aanvraag voor een vergunning wordt ingediend. i) Verwerkingsverantwoordelijke 24. De Autoriteit neemt nota van het feit dat het privacybeleid vermeldt dat de verwerkingsverantwoordelijke voor de verwerking van de gegevens, die zijn ingezameld in het kader van een aanvraag voor stedebouwkundige vergunning (of certificaat) het Operationeel Directoraat- Generaal Ruimtelijke Ordening, Wonen, Erfgoed en Energie van de Waalse Overheidsdienst is (als de aanvraag wordt ingediend bij een gedelegeerde ambtenaar) of de gemeente (als de aanvraag bij een gemeente wordt ingediend). Overeenkomstig artikel 5.2 van de AVG zijn het dus de overheden die verantwoordelijk zijn voor het naleven van de beginsels bij een verwerking van persoonsgegevens. ii) Doeleinde van de verwerking 25. Volgens artikel 5.1.b) van de AVG moeten de persoonsgegevens worden ingezameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. 26. Het privacybeleid bepaalt dat de ingewonnen gegevens uitsluitend verwerkt zullen worden om het dossier - overeenkomstig het WbRO - te kunnen opvolgen. 27. De Autoriteit is van mening dat dit doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is overeenkomstig het vereiste van artikel 5.1.b) van de AVG. iii) Rechtsgrond van de verwerking 28. Volgens artikel 6 van de AVG is de verwerking van persoonsgegevens slechts rechtmatig als deze ten minste steunt op een van de rechtsgronden die deze heeft vastgelegd. 29. De verwerking van persoonsgegevens die zijn ingewonnen in het kader van een aanvraag tot stedebouwkundige vergunning (of certificaat) kan worden beschouwd als noodzakelijk voor het naleven van een wettelijke verplichting (artikel 6.1.c) van de AVG) en/of noodzakelijk voor het uitvoeren van een opdracht van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend (artikel 6.1.e) van de AVG). 30. Wanneer de rechtsgrond van een persoonsgegevensverwerking een wettelijke verplichting is of de uitvoering van een opdracht van algemeen belang, wat hier het geval is, schrijft artikel 6.3 van de AVG voor, samen gelezen met de artikelen 22 van de Grondwet en artikel 8 van het Europees Verdrag

7 Advies 36/2019-7/11 voor de Rechten en fundamentele vrijheden van de Mens (hierna EVRM), dat de wezenlijke elementen van de gegevensverwerking moeten worden opgenomen in de regelgeving. De regelgeving moet dus de soorten of de categorieën gegevens die worden verwerkt nader omschrijven evenals de betrokkenen, de entiteiten waaraan en doeleinden waarvoor de persoonsgegevens mogen worden verstrekt, de doelbinding, de bewaartermijnen, de verwerkingsactiviteiten en -procedures 4. iv) Verdere verwerking en mededeling van gegevens aan derden 31. Het privacybeleid verduidelijkt dat de gegevens die zijn ingewonnen met behulp van aanvraagformulieren voor een stedebouwkundige vergunning (of certificaat) (vrije vertaling) "enkel zullen worden meegedeeld aan de overheden, instellingen, commissies en diensten als bepaald in het WbRO, inzonderheid in boek IV. De WOD of de gemeente kan de persoonsgegevens ook meedelen aan derden als de wet dat oplegt of als de WOD of de gemeente te goeder trouw meent dat een dergelijke verspreiding redelijkerwijs noodzakelijk is om in overeenstemming te zijn met de wettelijke procedure, om de verzoeken van de overheden te beantwoorden, voor de behoeften van een gerechtelijke procedure of om zijn rechten, goederen of veiligheid te beschermen. Dee gegevens zullen niet verkocht noch aangewend worden voor marketingdoeleinden". 32. Deze paragraaf van het privacybeleid handelt zowel over de verdere verwerking als over de mededeling van gegevens aan derden. Overeenkomstig artikel 5.1.b) van de AVG moeten persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen ze vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt" De Autoriteit is van mening dat onderscheid moet worden gemaakt tussen de verschillende geplande verwerkingen in deze tweede paragraaf van het privacybeleid. (i) De mededeling van persoonsgegevens "aan de overheden, instellingen, commissies en diensten, bedoeld in het WbRO, en inzonderheid in boek IV (nvdr: het betreft hier het boek van het WbRO dat betrekking heeft op de stedebouwkundig vergunningen of certificaten)" levert geen problemen op ten opzichte van het beginsel doelbinding. Deze gegevensmededeling ligt immers binnen het kader van het initiële doeleinde, met name het verwerken van gegevens om het dossier op te volgen. Ook is de Autoriteit van mening dat de mededeling van deze gegevens "voor de behoeften van een gerechtelijke procedure" eveneens kadert binnen het initiële doeleinden, op voorwaarde evenwel dat de gerechtelijke 4 Zie meer bepaald, Gegevensbeschermingsautoriteit, Advies nr. 34/2018 van 11 november 2018, 30; 5 Het is de Autoriteit die onderstreept.

8 Advies 36/2019-8/11 procedure betrekking heeft op de aanvraag voor een stedebouwkundige vergunning (of certificaat) waarvoor de gegevens werden ingezameld. (ii) De mededeling van persoonsgegevens aan derden als de wet dat oplegt aan de WOD of de gemeente of "als de WOD of de gemeente te goeder trouw meent dat een dergelijke verspreiding redelijkerwijs noodzakelijk is om in overeenstemming te zijn met de wettelijke procedure", is een toegelaten, verdere verwerking ten aanzien van de regelgeving inzake persoonsgegevensbescherming. Zoals de Privacycommissie - de voorganger van de Gegevensbeschermingsautoriteit - het benadrukte, " Een verdere verwerking is niet onverenigbaar met het oorspronkelijke doeleinde (...) wanneer de mededeling van de gegevens gebaseerd is op wettelijke en reglementaire bepalingen. 6 De Autoriteit benadrukt evenwel dat het noodzakelijk is dat de bedoelde norm de verdere verwerking voldoende omschrijft alsook het soort gegevens dat mag worden verwerkt, hun oorsprong en het doeleinde waarvoor deze gegevens mogen worden verwerkt 7. (iii) De Autoriteit is daarentegen van mening dat de mededeling van persoonsgegevens aan derden "als de WOD of de gemeente te goeder trouw meent dat een dergelijke verspreiding redelijkerwijs noodzakelijk is (...) of om de verzoeken van de overheden te beantwoorden, voor de behoeften van een gerechtelijke procedure of om zijn rechten, goederen of veiligheid te beschermen" niet noodzakelijk mag worden aangenomen als zijnde verenigbaar met het initiële doeleinde. Overeenkomstig artikel 6.4. van de AVG, is het noodzakelijk dat de verwerkingsverantwoordelijke bepaalt of een dergelijke mededeling verenigbaar is met het doeleinde waarvoor de persoonsgegevens initieel werden ingezameld. De Autoriteit herinnert er in dit verband aan dat artikel 6.4 van de AVG oplegt rekening te houden met het eventuele bestaan van koppeling tussen het initiële doeleinde en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld, de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en het bestaan van passende waarborgen. v) Bewaartermijn van de gegevens 34. Volgens artikel 5.2.d) van de AVG mogen de persoonsgegevens door de verwerkingsverantwoordelijke "niet langer worden bewaard, in een vorm die het mogelijk maakt de betrokkenen te identificeren, dan noodzakelijk voor de verwezenlijking van de doeleinden waarvoor zij worden verwerkt". 6 Commissie voor de bescherming van de persoonlijke levenssfeer, Advies nr. 18/2008 van 30 april 2008, blz. 5 7 Commissie voor de bescherming van de persoonlijke levenssfeer, Advies nr. 18/2008 van 30 april 2008, blz. 5

9 Advies 36/2019-9/ Het privacybeleid verduidelijkt dat de verzamelde gegevens (vrije vertaling) "bewaard zullen worden zolang de/het stedebouwkundige vergunning of certificaat geldig is. Voor de verstreken stedebouwkundige vergunningen of certificaten, zullen de elektronische gegevens worden bewaard in een minimale vorm waarmee de WOD of de gemeente kan weten dat een stedebouwkundige vergunning of certificaat werd toegekend en verstreken is". 36. De Autoriteit neemt nota van het feit dat het privacybeleid wel de criteria vaststelt waarmee de bewaartermijn kan worden bepaald. vi) Rechten van de betrokkenen 37. De Autoriteit neemt er kennis van dat het privacybeleid uitdrukkelijk vermeldt dat de betrokkenen hun recht op rectificatie en recht op toegang kunnen uitoefenen. Nog in dit kader merkt de Autoriteit op dat het privacybeleid de aandacht vestigt op de mogelijkheid een klacht in te dienen bij de Autoriteit. vii) Privacybeleid en te verstrekken informatie aan de betrokkenen (artikel 13 van de AVG). 38. De Autoriteit neemt akte van het feit dat het privacybeleid als opgenomen in de bijlagen van het WbRO toelaat de betrokkenen te informeren overeenkomstig het vereiste bedoeld in artikel 13 van de AVG. Deze bepaling van de Europese Verordening verplicht inderdaad de verwerkingsverantwoordelijke die de persoonsgegevens rechtstreeks inwint bij de betrokken persoon om aan deze persoon bepaalde informatie te verstrekken. Op grond daarvan, moet de verwerkingsverantwoordelijke aan de betrokkene onder andere het volgende meedelen: de identiteit en contactgegevens van de verantwoordelijke voor de verwerking, de doeleinden van de verwerking waarvoor de persoonsgegevens moeten dienen alsook de rechtsgrond van de verwerking; de ontvangers of de categorieën ontvangers; de bewaartermijn van de persoonsgegevens (of de criteria om deze termijn te bepalen); het bestaan van het recht om aan de verwerkingsverantwoordelijke toegang te vragen tot de persoonsgegevens, het recht op rectificatie of verwijderen van die gegevens of een beperkte verwerking ervan; het recht om een klacht in te dienen bij een toezichthoudende autoriteit; informatie over de vraag of het verplicht leveren van persoonsgegevens een reglementair of contractueel karakter heeft. 39. De Autoriteit benadrukt dat het privacybeleid als opgenomen in de bijlagen van het voorontwerp voor een groot deel in overeenstemming is met de vereisten van artikel 13 van de AVG. We vinden daarin immers de identiteit van de verwerkingsverantwoordelijke terug, de doeleinden van de verwerking en de rechtsgrond; de ontvangers of categorieën ontvangers; de bewaartermijn; het bestaan van een

10 Advies 36/ /11 recht op toegang en rectificatie; het recht om een klacht in te dienen bij een toezichthoudende autoriteit. 40. De Autoriteit merkt evenwel op dat het privacybeleid bepaalde informatie die krachtens artikel 13 van de AVG moet worden verstrekt, heeft weggelaten. (i) De contactgegevens van de functionaris voor gegevensbescherming van de WOD zijn niet in het privacybeleid opgenomen; (ii) De mogelijkheid om onder bepaalde voorwaarden een recht op beperking van de verwerking uit te oefenen; (iii) Het feit dat de persoonsgegevens die werden ingezameld in het kader van een aanvraag voor een stedebouwkundige vergunning een reglementair karakter heeft. 41. De Autoriteit verzoekt de aanvrager dus om die informatie toe te voegen aan zijn privacybeleid. 42. Bovendien en voor de volledigheid, verzoekt de Autoriteit de aanvrager om in zijn privacybeleid nader te omschrijven dat de uitoefening van het recht op toegang en rectificatie gratis is en dat op de website van de Autoriteit een formulier te vinden is waarmee de betrokkenen een klacht kunnen indienen. III. BESLUIT 43. De Autoriteit is van mening dat het voorontwerp in zijn geheel geen bijzondere problemen oproept ten aanzien van de regelgeving met betrekking tot de verwerking van persoonsgegevens. Zij is evenwel van mening dat sommige bepalingen gewijzigd zouden moeten worden teneinde te beantwoorden aan de vereisten van de AVG: - De identiteit van de verantwoordelijke voor de verwerkingen van persoonsgegevens die worden verricht op grond van artikel D.VI.50, 3 van het WbRO zou moeten worden ingeschreven in het toekomstig artikel R.IV.50-1 van het WbRO (punt 16) - De bewaartermijn (of op zijn minst de criteria om de bewaartermijnen te bepalen) van de gegevens die zijn ingezameld in toepassing van artikel D.IV.50-1 en het toekomstig artikel R.VI.50-1 zou in de tekst van het voorontwerp moeten worden opgenomen (punt 21) - Betreffende het privacybeleid als vermeld in de bijlagen van het WbRO: o De Autoriteit is van mening dat het ten aanzien van de AVG niet is toegelaten - en in het bijzonder het daarin opgenomen finaliteitsbeginsel - om er a priori van uit te gaan dat

11 Advies 36/ /11 de mededeling van persoonsgegevens aan derden " als de WOD of de gemeente te goeder trouw meent dat een dergelijke verspreiding redelijkerwijs noodzakelijk is (...) of om de verzoeken van de overheden te beantwoorden, voor de behoeften van een gerechtelijke procedure of om zijn rechten, goederen of veiligheid te beschermen" altijd toegelaten is. De Autoriteit herinnert er in haar advies aan dat, overeenkomstig artikel 6.4. van de AVG, het noodzakelijk is dat de verwerkingsverantwoordelijke bepaalt of een dergelijke mededeling verenigbaar is met het doeleinde waarvoor de persoonsgegevens initieel werden ingezameld (punt 33, (iii)). o De Autoriteit merkt op dat bepaalde informatie die in het privacybeleid zou moeten worden opgenomen krachtens artikel 13 van de AVG, ontbreekt. Het gaat om de hiernavolgende informatie: de contactgegevens van de functionaris voor gegevensbescherming van de WOD zijn niet in het privacybeleid opgenomen; de mogelijkheid om onder bepaalde voorwaarden een recht op beperking van de verwerking uit te oefenen, het feit dat de persoonsgegevens die werden ingezameld in het kader van een aanvraag voor een stedebouwkundige vergunning een reglementair karakter heeft (punten ) OM DEZE REDENEN, Oordeelt de Autoriteit dat de opmerkingen vermeld onder randnummer 43 bijkomend dienen te worden geïmplementeerd in het voorgelegde voorontwerp van besluit van de Waalse Regering tot wijziging van het Waals Wetboek van Ruimtelijke Ontwikkeling. (get.) An Machtens Wnd. Administrateur (get.) Willem Debeuckelaere Voorzitter, Directeur Kenniscentrum