van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis;

Transcriptie

1 1/9 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 01/2012 van 9 februari 2012 Betreft: Machtigingsaanvraag van de Algemene Directie Controle en Bemiddeling van de FOD Economie, KMO, Middenstand en Energie (ADCB) om toegang te krijgen tot persoonsgegevens afkomstig uit de databank van de Directie Inschrijving Voertuigen (hierna DIV) (AF-MA ) Het Sectoraal comité voor de Federale Overheid; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van de Algemene Directie Controle en Bemiddeling van de FOD Economie, KMO, Middenstand en Energie (ADCM), ontvangen op 31/08/2011; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Fedict op 17/01/2012; Gelet op het technisch en juridisch advies ontvangen op 07/02/2012; Gelet op het verslag van de Voorzitter; Beslist op 9 februari 2012, na beraadslaging, als volgt:.

2 Beraadslaging FO 01 /2012-2/9 I. ONDERWERP VAN DE AANVRAAG 1. Het Comité ontving op 31 augustus 2011 een machtigingsaanvraag van de Algemene Directie Controle en Bemiddeling van de FOD Economie, KMO, Middenstand en Energie (ADCB) om toegang te krijgen tot persoonsgegevens afkomstig uit de databank van de DIV. 2. De ADCM is belast met het toezicht op de naleving van de wettelijke verplichtingen inzake economie, uitgevaardigd in het algemeen belang en in het belang van de economische operatoren en de consumenten. In dit raam wenst de aanvrager te beschikken over de gegevens uit de databank van de DIV. II. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID 3. Krachtens artikel 36bis WVP, "vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging (van het bevoegd sectoraal comité)". 4. Het is de taak van dit Comité om na te gaan "of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft." (Parl. Doc 50, , nr. 1940/004). 5. De DIV, die deel uitmaakt van de FOD Mobiliteit en Vervoer, zal via elektronische weg persoonsgegevens doorsturen naar de aanvrager. Het Comité is derhalve bevoegd. B. TEN GRONDE 1. FINALITEITSBEGINSEL 6. Artikel 4, 1, 2 van de WVP laat de verwerking van persoonsgegevens slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en de gegevens mogen bovendien niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes in onderhavig geval gerespecteerd worden.

3 Beraadslaging FO 01 /2012-3/9 7. Betreffende de verenigbaarheid met het oorspronkelijke doeleinde vestigt het Comité de aandacht op het feit dat de beoogde verwerkingen, namelijk de overdracht van bepaalde gegevens door de DIV aan de aanvrager, latere verwerkingen vormen van gegevens die oorspronkelijk voor andere doeleinden werden verwerkt. De rechtmatigheid van deze latere verwerkingen hangt dus af van hun verenigbaarheid met de oorspronkelijke verwerking. Dit onderzoek naar de verenigbaarheid vindt plaats in functie van de redelijke verwachtingen van de betrokkene en de toepasselijke wettelijke en reglementaire bepalingen. 8. Met betrekking tot de doeleinden waarvoor de DIV de persoonsgegevens inzamelt en verwerkt stelt het Koninklijk besluit van 20 juli 2001 betreffende de inschrijving van voertuigen onder meer het volgende 1 : Art De doeleinden waarvoor de persoonsgegevens van het repertorium mogen worden verwerkt, zijn : ( ) 1 de strafrechtelijke opsporing en vervolging van misdaden, wanbedrijven en overtredingen; 9. Verschillende wettelijke basissen, waaronder onder meer de volgende, laten de door de ADCB aangestelde ambtenaren toe strafrechtelijke inbreuken op te sporen en vast te stellen in het raam waarvan de gegevens van de DIV worden gevraagd: Op de Wet van 6 april 2010 betreffende marktpraktijken en consumentenbescherming 2 ; o Bijvoorbeeld, in het raam van het verbod op pyramidesystemen (artikel 91, 14 WMC), rijden sommige verkopers rond met hun privévoertuig met daarop het logo van de firma die het pyramidesysteem toepast. Een adres en een persoon kunnen koppelen aan het voertuig (en dus aan de nummerplaat) laat toe de personen op te sporen die betrokken zijn bij het systeem. Op de Wet van 25 juni 1993 betreffende de uitoefening en de organisatie van ambulante en kermisactiviteiten, gewijzigd door de wetten van 4 juli 2005 en 20 juli o bijvoorbeeld wanneer een voertuig wordt gebruikt voor een niet-toegelaten kermisactiviteit. 1 Het Comité stelt overigens ook vast dat de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen (B.S. 28 juni 2010) in gelijkaardige regels voorziet (cf. artikel 5, 17 van deze wet). Deze wet is evenwel nog niet in werking getreden (Cf. artikel 40). 2 Artikel 133 van deze wet stelt dat de door de minister aangestelde ambtenaren bevoegd zijn voor het opsporen en vaststellen van inbreuken op de wet. 3 Artikel 45 van het Koninklijk besluit van 24 september 2006 betreffende de uitoefening en de organisatie van ambulante activiteiten stelt dat de ambtenaren en de beambten aangesteld door de ADCB worden belast met het onderzoek en de vaststelling van de overtredingen van de wet en haar uitvoeringsbesluiten

4 Beraadslaging FO 01 /2012-4/9 Op de Wet van 9 februari betreffende de veiligheid van producten en diensten en het Koninklijk Besluit van 7 december 1999 betreffende het vullen, de distributie en de etikettering van flessen met vloeibaar gemaakt petroleumgas; o Bijvoorbeeld wanneer een persoon zijn voertuig gebruikt om gasflessen te laden die hij heeft gevuld zonder toelating. Op de Wet van 6 juli 1976 tot beteugeling van het sluikwerk met handels- of ambachtskarakter; 5 o Wanneer bijvoorbeeld een voertuig regelmatig gebruikt wordt voor het laden en lossen van goederen kan dit eventueel leiden tot de vaststelling van sluikwerk. Op de Programmawet van 10 februari 1998 tot bevordering van het zelfstandig ondernemerschap en op het Koninklijk Besluit van 21 december 2006 betreffende de beroepsbekwaamheid voor de uitoefening van zelfstandige activiteiten met betrekking tot fietsen en motorvoertuigen 6 ; o Om bijvoorbeeld de verkoop van verschillende tweedehandswagens aan te tonen zonder titularis te zijn van een bewijs van beroepsbekwaamheid. Op de Wet van 11 juni 2004 tot beteugeling van bedrog met de kilometerstand van voertuigen 7 ; Op de Wet van 11 januari 1993 tot voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld en de financiering van terrorisme 8 ; o Bijvoorbeeld bij het onderzoek van boekhoudkundige documenten (facturen, bestelbons, ) waarop een nummerplaat is vermeld, teneinde deze informatie te kruisen met die afkomstig van de DIV. Op de Wet van 15 mei 2007 betreffende de bestraffing van namaak en piraterij van intellectuele eigendomsrechten Het Comité stelt dus vast dat de door de ADCB beoogde verwerkingen uitgevoerd worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. 4 Artikel 19 van deze wet stelt dat de door de Koning daartoe aangestelde ambtenaren toezicht houden op de uitvoering van de bepalingen van deze wet, alsmede van de ter uitvoering daarvan genomen besluiten 5 Artikel 3 van deze wet stelt dat, onder meer de rijksambtenaren daartoe aangesteld door de Minister van Economische Zaken, overeenkomstig artikel 70 van de wet van 14 juli 1971 betreffende de handelspraktijken belast zijn met het toezicht op de naleving van deze wet en bevoegd om desbetreffende overtredingen op te sporen. 6 Artikel 15 van deze wet stelt dat de door de Koning hiertoe aangewezen ambtenaren bevoegd zijn om de inbreuken op de bepalingen van dit hoofdstuk op te sporen en vast te stellen. 7 Artikel 9 van deze wet stelt dat de door de minister bevoegd voor economische zaken aangestelde ambtenaren bevoegd zijn om de in deze wet bedoelde inbreuken op te sporen en vast te stellen. 8 Artikel 42 van deze wet stelt dat de ambtenaren die zijn aangesteld door de minister die de Economische Zaken onder zijn bevoegdheid heeft, zijn bevoegd om de inbreuken bepaald bij artikel 21 (dat verbied een verkoop voor een bedrag van euro of meer in contanten te vereffenen) op te sporen en vast te stellen 9 Artikel 18 stelt dat de hiertoe door de minister bevoegd voor Economie en de minister van Financiën aangestelde ambtenaren, bevoegd zijn om inbreuken op te sporen en vast te stellen

5 Beraadslaging FO 01 /2012-5/9 11. De toepasselijke wettelijke en reglementaire bepalingen laten overigens toe aan te tonen dat de latere verwerking verenigbaar is en dit op voorwaarde dat de gegevens slechts worden verkregen en gebruikt als: a. er een concrete en gerechtvaardigde noodzaak bestaat om een persoon te identificeren aan de hand van zijn nummerplaat of over te gaan tot noodzakelijke kruisingen van gegevens, en dit b. in het raam van de opdrachten van de ADCB inzake opsporing en strafrechtelijke vervolging van inbreuken. 12. Het Comité herinnert eraan dat de gevraagde gegevens slechts met het oog op deze doeleinden mogen worden verwerkt. 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens 13. Artikel 4, 1, 3 van de WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. 14. De ADCB vraagt toegang tot de volgende gegevens betreffende natuurlijke personen die houder zijn van een inschrijvingsbewijs: nominatieve gegevens (naam, voornaam van de natuurlijke persoon of naam en ondernemingsnummer alsook de naam van de verantwoordelijke) geboortedatum adres merk, type en chassisnummer van het voertuig historiek van de verschillende eigenaar(s) op basis van het chassisnummer historiek van de verschillende nummerplaten en de verschillende voertuigen die ingeschreven werden op naam van hetzelfde individu (natuurlijke persoon) historiek van de verschillende nummerplaten en de verschillende voertuigen die ingeschreven werden op naam van een onderneming (natuurlijke of rechtspersoon) 15. Met deze gegevens wil men de natuurlijke of rechtspersoon identificeren die titularis is van de inschrijving, nagaan of het om een echte, dan wel valse nummerplaat gaat of om een gestolen nummerplaat die werd aangebracht op een ander voertuig alsook informatie kruisen in het raam van een onderzoek.

6 Beraadslaging FO 01 /2012-6/9 16. In het licht van de onder randnummers 8-9 omschreven doeleinden besluit het Comité dat de gegevens tot dewelke de aanvrager toegang zal verkrijgen, proportioneel zijn voor het verwezenlijken van de omschreven doeleinden. Het stelt zich wel de vraag of het gegeven "adres" niet beter bij het Rijksregister wordt opgevraagd, daar dit ter zake de authentieke bron vormt. 17. Het Comité vestigt er bovendien de aandacht op dat de ingewonnen gegevens moeten worden beschouwd als gerechtelijke gegevens, zoals bedoeld in de WVP, als zij worden verzameld of verwerkt om gebruikt te worden om bij het gerecht een zaak in te leiden of wanneer zij kunnen leiden tot administratieve sancties. 18. Het is dan ook aangewezen dat de aanvrager de bijzondere voorwaarden eerbiedigt die betrekking hebben op dit type van verwerkingen. Deze voorwaarden staan vermeld in artikel 25 van het Koninklijk Besluit van 13 februari 2001 houdende uitvoering van de WVP. Krachtens dit artikel moet de verantwoordelijke duidelijk de categorieën personen aanduiden die toegang hebben tot de gegevens en hun functie moet daarbij nauwkeurig worden omschreven. De lijst van de categorieën personen moet ter beschikking worden gehouden van de Commissie voor de bescherming van de persoonlijke levenssfeer (hierna "de Commissie"). De verantwoordelijke moet er bovendien over waken dat de aangeduide personen door een wettelijke, statutaire of contractuele verplichting gehouden zijn tot het bewaren van de vertrouwelijkheid van de gegevens Bewaringstermijn van de gegevens 19. De ADCB wenst de gegevens te bewaren gedurende een periode van 5 jaar, zijnde de termijn gedurende welke de dossiers worden bewaard. 20. Het Comité oordeelt dat de voorgestelde bewaringstermijn passend is in het licht van artikel 4, 1, 5 van de WVP Frequentie van de toegang en de duur van machtiging 21. De ADCB vraagt een permanente toegang aangezien de gegevens zullen gevraagd worden in functie van de ontvangen klachten, gevoerde onderzoeken en gedane vaststellingen. Het Comité kan aanvaarden dat een permanente toegang noodzakelijk en gepast is in het licht van artikel 4, 1, 3 van de WVP.

7 Beraadslaging FO 01 /2012-7/9 22. De toegang wordt eveneens gevraagd voor onbepaalde duur. De reglementering beperkt de opdrachten van de ADCB inzake opsporing en strafrechtelijke vervolging van inbreuken immers niet in de tijd. Bijgevolg oordeelt het Comité dat de gevraagde machtiging voor onbepaalde duur gepast is Bestemmelingen en/of derden waaraan gegevens worden meegedeeld 23. In de schoot van de ADCB zou toegang verleend worden aan: a. de directeurs (Inspecteurs-directeur) van elke centrale directie: i. Directie Controles EU-marktordening en Bestrijding van de economische fraude ii. Directie Controles Federale Wetgeving iii. Directie boekhoudkundige controles b. de directeurs (Inspecteurs-directeur) van elke regionale directie: i. Regionale Directie Brussel-Hoofdstad en de zes randgemeenten met faciliteiten ii. Directie provincies Oost- en West-Vlaanderen iii. Directie provincies Antwerpen en Limburg iv. Directie provincies Luik en Luxemburg v. Directie provincie Henegouwen vi. Directie provincie Vlaams-Brabant vii. Directie provincies Waals-Brabant en Namen c. Aan de directeur van de algemene directie (een departement "internationale samenwerking" ontvangt de vanuit het buitenland ingediende klachten) d. Aan de directeur van de Directie Coördinatie (deze directie ontvangt de klachten en beslist op basis van de informatie waarover zij beschikt of een controle zal uitgevoerd worden) 24. Momenteel zou toegang verleend worden aan 12 personen. 25. De informatie die bij de DIV zou ingezameld worden zou intern meegedeeld worden aan de "inspecteurs en controleurs" dossierbeheerders alsook aan de Procureur des Konings aan wie de processen-verbaal en de processen-verbaal van waarschuwing worden gestuurd. 26. Het Comité ziet in het licht van artikel 4, 1, 3 WVP geen bezwaren tegen het feit dat bovengenoemde personen toegang hebben tot onderhavige persoonsgegevens, op voorwaarde dat zij enkel van deze toegang gebruik maken binnen de perken van de bevoegdheden die hen door de regelgeving werden verleend. Het verzoekt ook om de nodige maatregelen te nemen opdat enkel die personen toegang kunnen krijgen en het wijst nogmaals op de bijzondere

8 Beraadslaging FO 01 /2012-8/9 voorwaarden vervat in artikel 25 van het KB van 13 februari 2001 (cf. supra randnummers 17-18). 3. TRANSPARANTIEBEGINSEL 27. Het Comité herinnert eraan dat een eerlijke verwerking van gegevens een verwerking is die gebeurt op een transparante wijze. Eén van de hoekstenen van een transparante verwerking, betreft de informatieplicht in de zin van artikel 9, 2 van de WVP. 28. In onderhavig geval zullen de geplande gegevensverwerkingen verricht worden met het oog op de toepassing van bepalingen voorgeschreven door of krachtens een wet, een decreet of een ordonnantie. Op grond van artikel 9, 2, 2de lid, b) van de WVP is in een dergelijke situatie een vrijstelling van de informatieplicht van kracht. Deze uitzondering op de informatieplicht, bedoeld in artikel 9, 2, van de WVP, heeft echter enkel betrekking op de door een wet gerechtvaardigde, onrechtstreekse inzameling van gegevens. Het Comité benadrukt het feit dat met de identificatie van de nummerplaten, de ADCB een rechtstreekse inzameling van gegevens zal uitvoeren die volledig aan de informatieplicht onderworpen is. 29. Bijgevolg acht het Comité het noodzakelijk dat voor de gevallen waarin de ADCB de gegevens bij de betrokkene zelf verzamelt de betrokkenen duidelijk worden geïnformeerd over de naam van de verantwoordelijke voor de verwerking, het doeleinde van de verwerking en het bestaan van een recht op toegang tot en verbetering van de gegevens die hen betreffen (cf. artikel 9, 1 van de WVP) Voor de gevallen waarin de gegevens niet rechtstreeks bij de betrokkene worden verzameld 11, volstaat het om meer algemene informatie te verstrekken omtrent het feit dat gegevens bij de DIV worden opgevraagd en met welk doeleinde dit gebeurt. Dit zou bijvoorbeeld kunnen door dit op de websites van de ADCB en van de DIV te vermelden. 10 Voor de personen die het onderwerp vormen van een proces-verbaal kan de kennisgeving hierin rechtstreeks worden vervat. 11 In dergelijke situaties geldt in principe een vrijstelling van de informatieplicht. Deze vrijstelling neemt echter niet weg dat het Comité er zich kan van vergewissen of er passende waarborgen bestaan voor de bescherming van de fundamentele rechten van de betrokkenen.

9 Beraadslaging FO 01 /2012-9/9 4. VEILIGHEID 4.1 Op het niveau van de ADCB 31. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsconsulent beschikt, alsook over een algemeen veiligheidsbeleid en een plan in toepassing ervan. Het Comité neemt hiervan akte. 4.2 Op het niveau van de DIV 32. Met betrekking tot de beveiliging van de bij de DIV uitgaande gegevensstroom werd geen enkele informatie verstrekt. In dit opzicht vestigt het Comité er de aandacht op dat elke beveiligde gegevensstroom vereist dat aan beide zijden veiligheidsmaatregelen worden genomen. Het Comité verwijst in dit verband naar de referentiemaatregelen voor de beveiliging die beschikbaar zijn op de website van de Commissie. OM DEZE REDENEN het Comité machtigt de FOD Economie, KMO, Middenstand en Energie (ADCB) en de DIV om de in de machtigingsaanvraag vermelde gegevensverwerking uit te voeren op voorwaarde dat rekening wordt gehouden met de hiervoor geformuleerde opmerkingen (zie meer in het bijzonder randnummers 11, 12, 18, 26, 29 en 30). Onderwerpt de inwerkingtreding van deze machtiging aan de volgende voorwaarde: de zending door de DIV van de volledige en juist ingevulde vragenlijst over de veiligheid en een geschikt informatiebeveiligingsplan. De Wnd. Administrateur, De Voorzitter, (get.) Patrick Van Wouwe (get.) Willem Debeuckelaere