van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis;

Transcriptie

1 1/10 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 20/2012 van 25 juli 2012 Betreft: Beraadslaging houdende het verlenen van een eenmalige machtiging aan de TEC- ondernemingen om toegang te krijgen tot persoonsgegevens die in de databanken van de Directie Inschrijving Voertuigen zijn opgeslagen (hierna de DIV) (AF/MA/2012/032 en AF/MA/2012/047) Het Sectoraal comité voor de Federale Overheid; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van de TEC Brabant Wallon ontvangen op 29/05/2012; van de TEC Charleroi ontvangen op 21/06/2012 ; van de TEC Hainaut ontvangen op 3/07/2012 en van de SWRT ontvangen op 03/07/2012; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Fedict op 28/06/2012; Gelet op het verslag van de Voorzitter; Beslist op 25 juli 2012, na beraadslaging, als volgt:.

2 Beraadslaging FO 20 /2012-2/10 I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. Op 29 mei 2012 ontving het Comité een machtigingsaanvraag van de TEC Brabant wallon om persoonsgegevens op te vragen bij de Directie voor de Inschrijving van Voertuigen (hierna "de DIV") van de FOD Mobiliteit en Vervoer. Op 21 juni 2012 ontving het Comité een gelijkaardige aanvraag van TEC Charleroi. Op 3 juli 2012 deed TEC Hainaut op haar beurt een dergelijke aanvraag en bevestigde de Société Régionale Wallonne du Transport (SRWT) dat de aanvraag gold voor de 5 TEC-ondernemingen. 2. De TEC-ondernemingen wensen toegang tot de gevraagde informatie opdat hun veiligheidsagenten hun opdrachten inzake politie over het wegverkeer zouden kunnen vervullen. In die hoedanigheid zijn deze veiligheidsagenten immers belast met een opdracht van gerechtelijke politie, beschreven in de Wet van 16 maart en het Koninklijk Besluit van 1 december De toegang tot de gevraagde gegevens is nodig om overtreders aan de hand van de nummerplaat van hun voertuig te identificeren en zodoende pro justitia's volgens de regels op te stellen. 3. De TEC bestaat uit 5 ondernemingen voor openbaar vervoer op het grondgebied van het Waalse Gewest en wordt, naast de TEC Brabant wallon en TEC Charleroi gevormd uit de TEC Hainaut, TEC Liège-Verviers en TEC Namur-Luxembourg. Aangezien door de SRWT werd bevestigd dat de noodzaak, zoals die werd uiteengezet in de twee ontvangen aanvragen, eveneens gold voor de 3 andere TEC-ondernemingen, betreft deze machtiging de 5 TEC-ondernemingen voor openbaar vervoer. 4. Momenteel beschikt de TEC reeds over de gevraagde gegevens en dit via e- mailcommunicatie met de DIV. Onderhavige machtigingsaanvraag is bedoeld om een toegang tot de informatie te bekomen die conform is aan artikel 36bis van de WVP. 1 Wet van 16 maart 1968 betreffende de politie over het wegverkeer. 2 Koninklijk Besluit van 1 december 1975 houdende algemeen reglement op de politie van het wegverkeer en het gebruik van de openbare orde.

3 Beraadslaging FO 20 /2012-3/10 II. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID 5. Krachtens artikel 36bis WVP, "vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging (van het bevoegd sectoraal comité)". 6. Het is de taak van dit Comité om na te gaan "of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft. (Parl. Doc. 50, , nr. 1940/004). 7. De DIV, die deel uitmaakt van de FOD Mobiliteit en Vervoer, zal persoonsgegevens elektronisch doorsturen naar de TEC. Het Comité is derhalve bevoegd. B. TEN GRONDE 1. FINALITEITSBEGINSEL 8. Artikel 4, 1, 2, WVP laat de verwerking van persoonsgegevens slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en de gegevens mogen bovendien niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes in onderhavig geval gerespecteerd worden. 9. De TEC-ondernemingen zullen de bedoelde gegevens verwerken om personen te identificeren die welbepaalde verkeersinbreuken plegen om vervolgens de pro justitia's volgens de regels op te stellen voor de inbreuken bedoeld in artikel 3.12 van het Koninklijk besluit van 1 december De veiligheidsagenten van de TEC beschikken immers over specifieke taken inzake politie over het wegverkeer. Het Comité stelt immers vast dat: artikel 62 van de Wet van 16 maart 1968 betreffende de politie over het wegverkeer stipuleert dat "de overheidspersonen die door de Koning worden aangewezen om toezicht te houden op de naleving van deze wet en haar uitvoeringsbesluiten", de

4 Beraadslaging FO 20 /2012-4/10 overtredingen kunnen vaststellen door processen-verbaal en dat het Koninklijk besluit van 1 december 1975 het volgende bepaalt: Art. 3. De personen bevoegd om toezicht uit te oefenen op de naleving van de wetten betreffende de politie over het wegverkeer en de ter uitvoering daarvan genomen reglementen, zijn: ( ) 12 Het personeel van de maatschappijen voor gemeenschappelijk vervoer bij de uitoefening van zijn dienst, belast met een mandaat van gerechtelijke politie (en uitsluitend inzake de toepassing van de artikelen 5 en de verkeersborden C5 met onderbord Uitgezonderd 2+ of 3+, F17 en F18, 72.5 en 72.6, 25.1, 2 en 6, 62ter alsook 77.8.) 10. Met betrekking tot de doeleinden waarvoor de DIV de persoonsgegevens inzamelt en verwerkt stelt het Koninklijk besluit van 20 juli 2001 betreffende de inschrijving van voertuigen onder meer het volgende 3 : Art De doeleinden waarvoor de persoonsgegevens van het repertorium mogen worden verwerkt, zijn : (..) 11 de politie over het wegverkeer en de verkeersveiligheid, de veiligheid van de motorvoertuigen en aanhangwagens inbegrepen;( ) 11. In het licht van het voormelde reglementair kader is het Comité van oordeel dat de TECondernemingen een welbepaald en uitdrukkelijk omschreven doeleinde nastreven. 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens 12. Artikel 4, 1, 3 van de WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. 3 Het Comité stelt overigens ook vast dat de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen (B.S. 28 juni 2010) in gelijkaardige regels voorziet (cf. artikel 5, 17 van deze wet). Deze wet is evenwel nog niet in werking getreden (Cf. artikel 40).

5 Beraadslaging FO 20 /2012-5/ De TEC-ondernemingen verzoeken om, telkens wanneer bepaalde van hun medewerkers de gegevens van een nummerplaat doorsturen, toegang te krijgen tot de volgende gegevens: voor de personen op naam waarvan het voertuig ingeschreven is: o naam, voornaam; o adres (gemeente, postcode, straat, huisnummer, busnummer); o taalrol 4 ; merk en type wagen; code van de nummerplaat (plaat gekend, geschrapt, gewist of onbekend). 14. In het licht van het onder punt 9 beschreven doeleinde, besluit het Comité dat de gegevens waartoe de aanvragers toegang zullen verkrijgen, conform zijn aan artikel 4, 1, 3, WVP. 15. Het Comité vestigt er de aandacht op dat om de juistheid en het actueel karakter van het gegeven "adres" van de betrokkene na te gaan, dit zou moeten gecontroleerd worden bij het Rijksregister, zijnde de authentieke bron van dit gegeven. 16. Het Comité vestigt er bovendien de aandacht op dat de ingewonnen gegevens beschouwd worden als gerechtelijke gegevens, zoals bedoeld in de WVP, als zij worden verzameld of verwerkt om gebruikt te worden om bij het gerecht een zaak in te leiden of wanneer zij kunnen leiden tot administratieve sancties. 17. Het is dan ook aangewezen dat de TEC-ondernemingen de bijzondere voorwaarden eerbiedigen die betrekking hebben op dit type van verwerkingen. Deze voorwaarden zijn opgenomen in artikel 25 van het Koninklijk besluit van 13 februari 2001 houdende uitvoering van de WVP. Krachtens dit artikel moet de verantwoordelijke voor de verwerking (de 5 TECondernemingen) duidelijk de categorieën personen aanduiden die toegang hebben tot de gegevens en hun functie moet daarbij nauwkeurig worden omschreven. De lijst van de categorieën personen moet ter beschikking worden gehouden van de Commissie voor de bescherming van de persoonlijke levenssfeer. De TEC-ondernemingen moeten er bovendien over waken dat die aangeduide personen door een wettelijke, statutaire of contractuele verplichting gehouden zijn tot het waarborgen van de vertrouwelijkheid van de gegevens. 4 Deze informatie wordt uitstluitend verstrekt aan TEC Henegouwen, Luik-Verviers en Waals-Brabant omdat zij over de taalgrens heen opereren en dus de taal van de eigenaar moeten kunnen identificeren.

6 Beraadslaging FO 20 /2012-6/ Bewaringstermijn van de gegevens 18. Betreffende de bewaringstermijn van de gegevens herinnert het Comité er aan dat de gegevens niet langer bewaard mogen worden dan nodig voor het verwezenlijken van het doeleinde waarvoor ze werden ingezameld (artikel 4, 1, 5, WVP). 19. Uit de informatie die door de TEC werd verstrekt blijkt dat zij de gegevens zal bewaren tot het einde van de vervolging door het Parket en in ieder geval gedurende een periode van twee jaar. 20. Het Comité oordeelt dat de voorgestelde bewaringstermijn in het licht van artikel 4, 1, 5 van de WVP passend is. 21. Het Comité wijst er op dat er gedurende de bewaring in de praktijk een onderscheid kan gemaakt worden tussen verschillende bewaringswijzen. De behandeling van een hangend dossier vereist een bewaring van gegevens zodat deze op normale wijze beschikbaar en toegankelijk zijn voor de ambtenaren die belast zijn met het beheer van het dossier. Zodra een dossier kan worden gearchiveerd, moet de gekozen bewaringswijze nog slechts een beperkte beschikbaarheid en toegankelijkheid verlenen aan de gegevens. Een dergelijke bewaringswijze moet toelaten om een antwoord te bieden op eventuele andere mogelijke doeleinden van deze bewaring, zoals de naleving van de wettelijke voorschriften inzake verjaring of de uitvoering van een administratieve controle. Eens de bewaring niet meer nuttig is, moeten de gegevens niet langer worden bewaard Frequentie van de toegang en de duur van machtiging 22. De TEC-ondernemingen wensen een permanente toegang tot de gevraagde gegevens. Het Comité stelt vast dat het doeleinde van de geplande verwerking van dien aard is dat de TECondernemingen quasi dagelijks deze informatie zullen dienen te consulteren. Het Comité is dan ook van oordeel dat een permanente toegang gepast is en dus in overeenstemming met het bepaalde in artikel 4, 1, 3, van de WVP. 23. De toegang wordt ook voor onbepaalde duur gevraagd. Hogervermelde taken van de TEC zijn door de regelgeving immers niet beperkt in de tijd. Het Comité is dan ook van oordeel dat de machtigingsaanvraag voor onbepaalde duur gepast is (artikel 4, 1, 3 WVP).

7 Beraadslaging FO 20 /2012-7/ Bestemmelingen en/of derden waaraan gegevens worden meegedeeld 24. In de schoot van de TEC-ondernemingen zullen, naast de directeurs-generaal, enkel de personeelsleden van de volgende diensten de gevraagde gegevens mogen raadplegen: - de directeur van de uitbating, de verantwoordelijke van de dienst controle en zijn adjunct. Deze dienst verstrekt de gegevens pro justitia aan het Parket, afdeling Politierechtbank; - de dienst verzekering/geschillen, belast met de opvolging van de verzekeringsdossiers als het derde voertuig dat betrokken is bij het ongeval, een bus of een tram heeft doen stilleggen. 25. Het personeel dat de overtreding op het terrein heeft vastgesteld, is niet gemachtigd om toegang te hebben tot de gevraagde gegevens omdat het voor hen niet noodzakelijk is dat zij de identiteit kennen van de eigenaars van de voertuigen in overtreding. 26. In het licht van artikel 4, 1, 3 WVP heeft het Comité geen bezwaren tegen het feit dat bovenvermeld personen toegang hebben tot de bedoelde persoonsgegevens, op voorwaarde dat zij enkel van deze toegang gebruik maken binnen de perken van de bevoegdheden die hen door de regelgeving werden verleend. Het verzoekt ook om de nodige maatregelen te nemen opdat enkel die personen toegang kunnen krijgen en het wijst nogmaals op de bijzondere voorwaarden vervat in artikel 25 van het KB van 13 februari 2001 (cf. supra punt 16). 3. TRANSPARANTIEBEGINSEL 27. Het Comité herinnert eraan dat een eerlijke verwerking van gegevens een verwerking is die gebeurt op een transparante wijze. De verplichte kennisgeving vormt één van de hoekstenen van een transparante verwerking. 28. In onderhavig geval zullen de geplande gegevensverwerkingen verricht worden met het oog op de toepassing van bepalingen voorgeschreven door of krachtens een wet, een decreet of een ordonnantie. Op grond van artikel 9, 2, 2de lid, b), WVP is in een dergelijke situatie een vrijstelling van de informatieplicht van kracht. Deze uitzondering op de informatieplicht, bedoeld in artikel 9, 2, van de WVP, heeft echter enkel betrekking op de door een wet gerechtvaardigde, onrechtstreekse inzameling van gegevens. Het Comité benadrukt het feit

8 Beraadslaging FO 20 /2012-8/10 dat met de identificatie van de nummerplaten, de MIVB een rechtstreekse inzameling van gegevens zal uitvoeren die volledig aan de informatieplicht onderworpen is. 29. Bijgevolg acht het Comité het noodzakelijk dat voor de gevallen waarin de TECondernemingen de gegevens bij de betrokkene zelf verzamelen de betrokkenen duidelijk worden geïnformeerd over de naam van de verantwoordelijke voor de verwerking, het doeleinde van de verwerking, de herkomst van de verzamelde gegevens en het bestaan van een recht op toegang tot en verbetering van de gegevens die hen betreffen (cf. artikel 9, 1, WVP). 30. Voor de gevallen waarin de gegevens niet rechtstreeks bij de betrokkene worden verzameld 5, volstaat het om meer algemene informatie te verstrekken omtrent het feit dat gegevens bij de DIV worden opgevraagd en met welk doeleinde dit gebeurt. Dit zou bijvoorbeeld kunnen door dit op de websites van de TEC en van de DIV te vermelden. 4. BEVEILIGING 4.1. Op het niveau van de DIV 31. Uit de documenten die de DIV verstrekte, blijkt dat zij over een consulent inzake informatieveiligheid beschikt en over een veiligheidsplan. Het Comité neemt hiervan akte Op het niveau van de TEC-ondernemingen 32. Het Comité wenst in het bezit gesteld te worden van de evaluatievragenlijsten met betrekking tot de veiligheidsmaatregelen 6 van de TEC-ondernemingen en meent dat door deze ondernemingen in het bijzonder ten minste de volgende veiligheidsmaatregelen zouden moeten worden genomen en dit uiterlijk binnen de 9 maanden volgend op deze machtiging: 1. Beschikken over een consulent inzake informatieveiligheid; 2. Een evaluatie uitvoeren van de risico's en de noden inzake veiligheid eigen aan de TECondernemingen en betreffende de verwerkingen van persoonsgegevens door TEC; 5 Zoals hoger aangegeven geldt in dergelijke situaties in principe een vrijstelling van de informatieplicht. Deze vrijstelling neemt echter niet weg dat het Comité er zich kan van vergewissen of er passende waarborgen bestaan voor de bescherming van de fundamentele rechten van de betrokkenen. 6 Het formulier kan worden gedownload op volgend adres:

9 Beraadslaging FO 20 /2012-9/10 3. Beschikken over een uitgeschreven versie van het veiligheidsbeleid met inbegrip van het beleid van de TEC-ondernemingen betreffende de bescherming van persoonsgegevens; 4. In de verschillende TEC-ondernemingen de dragers identificeren waarbij persoonsgegevens betrokken zijn; 5. Het intern en extern personeel dat bij de verwerking van de persoonsgegevens betrokken is informeren over hun vertrouwelijkheids- en veiligheidsverplichtingen in verband met deze gegevens die zowel voortvloeien uit de verschillende wettelijke vereisten als uit het veiligheidsbeleid; 6. Invoering van veiligheidsmaatregelen teneinde onnodige of ongeoorloofde fysieke toegang te beletten tot de dragers die persoonsgegevens bevatten; 7. Voorzien van maatregelen ter voorkoming van fysieke beschadigingen die de persoonsgegevens in het gedrang kunnen brengen; 8. Invoering van veiligheidsmaatregelen om de verschillende netwerken te beschermen waaraan de toestellen gekoppeld zijn waarmee de persoonsgegevens verwerkt worden; 9. Beschikken over een bijgewerkte lijst met de verschillende personen die gemachtigd zijn om toegang te hebben tot de persoonsgegevens en hun respectievelijk toegangsniveau (aanleg, raadpleging, wijziging, schrapping) 7 ; 10. Op de informatiesystemen een mechanisme voor toegangsmachtiging installeren zodat de persoonsgegevens en de verwerkingen die er betrekking op hebben enkel toegankelijk zijn voor de personen en toepassingen die hiertoe uitdrukkelijk gemachtigd zijn; 11. Over de mogelijkheid beschikken om de identiteit permanent te registreren van diegenen die toegang hebben gehad tot de persoonsgegevens. 7 De lijst met de categorieën personen die toegang hebben tot de databank met persoonsgegevens moet ter beschikking van de Commissie voor bescherming van de persoonlijke levenssfeer gehouden worden.

10 Beraadslaging FO 20 / /10 OM DEZE REDENEN het Comité machtigt de TEC Brabant wallon, de TEC Charleroi, de TEC Hainaut, de TEC Liège-Verviers en de TEC Namur-Luxembourg en de DIV om de in de machtigingsaanvraag bedoelde verwerking uit te voeren. De machtiging zal binnen 9 maanden vervallen voor de bovenvermelde ondernemingen die niet aan het Comité zullen bewezen hebben dat zij voldaan hebben aan de voorwaarden vermeld in de punten 17, 29 en 32). De Wnd. Administrateur, De Voorzitter, (get.) (get. )