1/10 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 11/2010 van 10 juni 2010 Betreft: Machtigingsaanvraag vanwege de Nationale Kamer van Gerechtsdeurwaarders om toegang te verkrijgen tot gegevens die in databanken van de FOD Mobiliteit en Vervoer zijn opgeslagen (AF/MA/2010/041) Het Sectoraal comité voor de Federale Overheid; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van Dhr. Bernard Buyse, Voorzitter Nationale Kamer van Gerechtsdeurwaarders ontvangen op 15/04/2010; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Fedict op 21/05/2010; Gelet op het technisch en juridisch advies ontvangen op 08/06/2010; Gelet op het verslag van de Voorzitter; Beslist op 10 juni 2010, na beraadslaging, als volgt:
Beraadslaging FO 11 /2010-2/10 I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. Op 10 februari 2010 diende de Nationale Kamer van Gerechtsdeurwaarders (hierna de aanvrager ) een machtigingsaanvraag in bij het Comité en op 15 april 2010 werd een geherformuleerde aanvraag ingediend. 2. De aanvrager verzoekt om hemzelf en alle gerechtsdeurwaarders toegang te verlenen tot het repertorium van de voertuigen bij de Directie Inschrijving Voertuigen van de Federale Overheidsdienst Mobiliteit en Vervoer (hierna de DIV ) en dit om bewarend of uitvoerend beslag te kunnen leggen op motorvoertuigen en aanhangwagens. 3. Momenteel ontvangen de deurwaarders de gevraagde informatie op papier, na een schriftelijke of per telefax verzonden aanvraag aan de DIV. Onderhavige machtigingsaanvraag heeft tot doel om deze gegevensuitwisseling in de toekomst op een beveiligde, elektronische wijze te laten plaatsvinden. De aanvrager beschikt zelf over een informaticasysteem via hetwelk de gerechtsdeurwaarders toegang kunnen krijgen. Het systeem bevat aldus de aanvrager volledige gecrypteerde traceerbaarheid van elke aanvraag, zodat op elk ogenblik de legitimiteit van de behandeling door de veiligheidsconsulent kan worden onderzocht". II. ONDERZOEK VAN DE AANVRAAG A. BEVOEGDHEID 4. Krachtens artikel 36bis WVP, "vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging (van het bevoegd sectoraal comité)". 5. Het is de taak van dit Comité om na te gaan of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft. (Parl.Doc 50, 2001-2002, nr. 1940/004). 6. De DIV, dat deel uitmaakt van de FOD Mobiliteit en Vervoer, zal persoonsgegevens elektronisch doorsturen naar de aanvrager en naar de gerechtsdeurwaarders. Het Comité is derhalve bevoegd.
Beraadslaging FO 11 /2010-3/10 B. TEN GRONDE 1. FINALITEITSBEGINSEL 7. Artikel 4, 1, 2, WVP laat de verwerking van persoonsgegevens slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en de gegevens mogen bovendien niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes in onderhavig geval gerespecteerd worden. 8. Gerechtsdeurwaarders kunnen bewarend of uitvoerend beslag leggen op motorvoertuigen en aanhangwagens. Zij wensen toegang te krijgen tot het repertorium van de DIV om in het kader van deze taken een benaderende controle van het eigendomsrecht van deze goederen te kunnen doen. Het Comité is van oordeel dat dit een welbepaald en uitdrukkelijk omschreven doeleinde betreft en het brengt in herinnering dat de gevraagde gegevens enkel met het oog op dit doeleinde mogen verwerkt worden. 9. Aangaande de vereiste van verenigbaarheid met het oorspronkelijk doeleinde, wijst het Comité erop dat de geplande verwerkingen, met name de doorgifte van bepaalde gegevens door de DIV aan de aanvrager, bestaan uit latere verwerkingen van gegevens die oorspronkelijk voor andere doeleinden werden verwerkt. De rechtmatigheid van deze latere verwerkingen is aldus afhankelijk van hun verenigbaarheid met de oorspronkelijke verwerking. Dit onderzoek naar de verenigbaarheid wordt gedaan in functie van de redelijke verwachtingen van de betrokkene en van de toepasselijke wettelijke en reglementaire bepalingen. 10. In dit verband stelt het Comité vast dat: het koninklijk besluit van 20 juli 2001 betreffende de inschrijving van voertuigen het volgende bepaalt: Art. 6. 2. De doeleinden waarvoor de persoonsgegevens van het repertorium mogen worden verwerkt, zijn : ( ) 10 het bewarend beslag en de tenuitvoerlegging op motorvoertuigen en aanhangwagens;" gerechtsdeurwaarders krachtens artikel 516 van het Gerechtelijk Wetboek tot taak hebben om wanneer zij daarom worden verzocht beslag te leggen op goederen van debiteurs: "Behoudens andersluidende wettelijke bepalingen zijn alleen de gerechtsdeurwaarders bevoegd tot ( ) het tenuitvoerleggen van alle gerechtelijke beslissingen, akten of titels in uitvoerbare vorm. ( )"
Beraadslaging FO 11 /2010-4/10 11. Rekening houdend met het hierboven geciteerde regelgevend kader, kunnen onderhavige gegevensverwerkingen door de gerechtsdeurwaarders als verenigbaar beschouwd worden. 12. Het Comité merkt ook op dat volgens de aanvraag onderhavige gegevens niet rechtstreeks aan de gerechtsdeurwaarders zullen medegedeeld worden maar dat dit via de aanvrager zal gebeuren. De aanvrager draagt met name de verantwoordelijkheid voor het verlenen van de toegang en het controleren van de gebruikers. 13. Het Comité constateert dat de aanvrager hier de rol van een Trusted Third Party (hierna TTP ) zal vervullen. In een recente aanbeveling 1 stelde de Commissie voor de Persoonlijke Levenssfeer (hierna de Commissie) dat ordes of andere instanties in bepaalde situaties als betrouwbare derde (TTP) kunnen optreden bij het toegangsbeheer voor authentieke bronnen. De TTP kan met name nagaan of een persoon die toegang vraagt (in dit geval een gerechtsdeurwaarder) geen tuchtstraf heeft gekregen en dus effectief in functie is. 14. Aangezien de Nationale Kamer van Gerechtsdeurwaarders krachtens artikel 550 van het Gerechtelijk Wetboek dient "te waken voor de eenvormigheid van de tucht en van de regels van deontologie onder haar leden ( )" en hij bovendien "een elektronische lijst dient op te stellen van alle gerechtsdeurwaarders-titularis en plaatsvervangende gerechtsdeurwaarders en dient toe te zien op de voortdurende bijwerking ervan" 2, is het Comité van oordeel dat deze de hoger geschetste rol van TTP kan vervullen. 15. In voornoemde aanbeveling van de Commissie werden ook een aantal voorwaarden vastgelegd waaraan een TTP dient te voldoen. Zo dient hij in het algemeen te waken over de correcte naleving van de wetgeving inzake de persoonlijke levenssfeer 3 en mag hij de gegevens die hij heeft verwerkt in het kader van zijn TTP-functie niet voor andere doeleinden gebruiken dan de specifieke doelen waarmee hij werd belast. Verder gaf de Commissie in voornoemde aanbeveling 1 Aanbeveling nr. 02/2010 van 31 maart 2010 (zie in het bijzonder randnummers 12, 13 en 17). 2 Het Comité merkt op dat artikel 550 Ger. W. nog niet in werking getreden is, maar dat de aanvrager de facto toch reeds een gegevensbank uitgebouwd heeft waarin de gegevens bedoeld in voornoemd artikel zijn opgenomen. In de bijkomende informatie bij de machtigingsaanvraag werd hierover het volgende gemeld: "De authentieke bron is inderdaad geënt op de bedoeling van de wetgever in art. 550 Ger.Wb.. Hoewel het betreffend onderdeel van art. 550 nog niet in werking trad en onder deze formulering ("Phenix") wellicht nooit zal bestaan, is het de vaste wil van de overheid en meer bepaald de overheidsdienst Fedict, om elektronische berichtgeving te beveiligen via deze authentieke bron. ( ) Het is inderdaad van het grootste belang dat de lijst op elk ogenblik een accuraat beeld geeft van de reële toestand van het korps en dat elke nieuwe benoeming of ontslag of schorsing dadelijk wordt weergegeven op de elektronische lijst." 3 De TTP moet samen met de andere betrokken verantwoordelijke(n) voor de (latere) verwerking in het algemeen waken over de correcte naleving van de wetgeving inzake de persoonlijke levenssfeer. Dit impliceert ook dat wanneer een TTP vaststelt dat de gegevensverwerkingen waarin hij tussenkomt op bepaalde punten niet conform de WVP dreigt te verlopen, het aangewezen is dat hij hier de verantwoordelijke(n) voor de (latere) verwerking op wijst, ook al betreft het aspecten van de verwerking waarvoor hijzelf juridisch niet (geheel) verantwoordelijk is ( ) (Aanbeveling nr. 02/2010 van 31 maart 2010 (randnummer 17)).
Beraadslaging FO 11 /2010-5/10 nog richtsnoeren op het vlak van transparantie en veiligheid (cf. infra randnummers 33 en 36). Het Comité oordeelt dat de aanvrager deze richtlijnen dient te respecteren. 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens 16. Artikel 4, 1, 3, WVP stelt dat persoonsgegevens toereikend, terzake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. 17. Er wordt verzocht om, telkens wanneer gerechtsdeurwaarders aan de DIV de gegevens van een nummerplaat overmaken, zij alsook de aanvrager toegang krijgen tot de naam van de eigenaar van het betrokken voertuig. Wanneer zij omgekeerd de naam van een fysiek persoon (of het nummer van de Kruispuntbank Ondernemingen) naar de DIV sturen, wensen zij alsook de aanvrager de nummerpla(a)t(en) van het (de) voertuig(en) en/of aanhangwagen(s) te verkrijgen die op naam van die persoon (of onderneming) staan. De deurwaarders kunnen immers enkel de goederen toebehorend aan de debiteur in beslag nemen. 18. In het licht van de onder randnummer 8 omschreven finaliteiten, besluit het Comité dat de gegevens tot dewelke de aanvrager toegang zal verkrijgen, conform zijn aan artikel 4, 1, 3, WVP. 19. Het Comité vestigt er bovendien de aandacht op dat de ingewonnen gegevens beschouwd worden als zijnde gerechtelijke gegevens, zoals bedoeld in artikel 8 van de WVP, als zij worden verzameld of verwerkt om gebruikt te worden om bij het gerecht een zaak in te leiden of wanneer zij kunnen leiden tot administratieve sancties. 20. Het is dan ook aangewezen dat de aanvrager en de gerechtsdeurwaarders de bijzondere voorwaarden eerbiedigen die betrekking hebben op dit type van verwerkingen. Deze voorwaarden staan vermeld in artikel 25 van het koninklijk besluit van 13 februari 2001 houdende uitvoering van de WVP. Krachtens dit artikel moet de verantwoordelijke duidelijk de categorieën personen aanduiden die toegang hebben tot de gegevens en hun functie moet daarbij nauwkeurig worden omschreven. De lijst van de categorieën personen moet ter beschikking worden gehouden van de Commissie. De verantwoordelijke moet er bovendien over waken dat die aangeduide personen gebonden zijn aan een wettelijke, statutaire of contractuele verplichting aangaande de vertrouwelijkheid van de gegevens. 2.2. Bewaringstermijn van de gegevens
Beraadslaging FO 11 /2010-6/10 21. Aangaande de bewaringstermijn van de gegevens herinnert het Comité er aan dat de gegevens niet langer bewaard mogen worden dan nodig voor het realiseren van de doeleinden waarvoor ze werden ingezameld (artikel 4, 1, 5, WVP). 22. Uit de informatie verstrekt door de aanvrager blijkt dat de gerechtsdeurwaarders de gegevens gedurende 10 jaar zullen bewaren. Men baseert deze termijn op de tienjarige verjaringstermijn die geldt voor het roerend beslag. 23. Het Comité neemt hiervan akte en merkt op dat in de praktijk een onderscheid kan gemaakt worden tussen verschillende bewaringswijzen. De behandeling van een hangend dossier vereist een bewaring van gegevens opdat deze op normale wijze beschikbaar en toegankelijk zouden zijn voor de gerechtsdeurwaarders die belast zijn met het beheer van het dossier. Van zodra de noodzakelijke termijnen voor het beheer van een dossier verstreken zijn, moet de gekozen bewaringswijze aan de gegevens slechts een beperkte beschikbaarheid en toegankelijkheid verlenen. Een dergelijke bewaringswijze moet toelaten om een antwoord te bieden op andere mogelijke doeleinden van deze bewaring, zoals de naleving van de wettelijke voorschriften inzake verjaring of de uitvoering van een administratieve controle. Eens de bewaring niet langer nuttig is dienen de gegevens te worden vernietigd. 24. Het Comité wijst er volledigheidshalve ook op dat de bij de DIV opgevraagde gegevens enkel door de gerechtsdeurwaarders en niet door de aanvrager mogen bewaard worden (behalve de gegevens die nodig zijn om de toegang te loggen). Zoals hoger aangegeven speelt de aanvrager immers enkel een rol bij het verlenen van de toegang voor de gerechtsdeurwaarders tot de DIV. 2.3. Frequentie van de toegang en de duur van machtiging 25. De aanvrager verzoekt om een permanente toegang te krijgen tot de gevraagde gegevens. Het Comité oordeelt dat, met het oog op het vervullen van de opgegeven doeleinden, een permanente toegang gepast is in het licht van artikel 4, 1, 3, WVP. 26. De toegang wordt ook voor onbepaalde duur gevraagd. De taken van de gerechtsdeurwaarders op het vlak van uitvoerend en bewarend beslag zijn door de regelgeving immers niet beperkt in de tijd. Het Comité is aldus van oordeel dat de machtigingsaanvraag met het oog op de realisatie van de opgegeven doeleinden, voor onbepaalde duur gepast is (artikel 4, 1, 3 WVP).
Beraadslaging FO 11 /2010-7/10 2.4. Bestemmelingen en/of derden waaraan gegevens worden meegedeeld 27. Naast de gerechtsdeurwaarders zelf, zullen ook hun geaccrediteerde medewerkers toegang krijgen tot de gevraagde gegevens. Het Comité stemt hier mee in. Het legt er evenwel de nadruk op dat de gerechtsdeurwaarders als gemachtigde steeds verantwoordelijk blijven voor het correct gebruik van de machtiging. Dit betekent dat zij erover moeten waken dat hun medewerkers de toegang uitsluitend benutten binnen de grenzen van de verleende machtiging 4. Zoals reeds in randnummer 20 van deze beraadslaging werd benadrukt, moeten zij ook een lijst ter beschikking van de Commissie houden waarop de categorieën personen die toegang hebben tot de gegevens vermeld staan en moeten zij ervoor zorgen dat hun medewerkers gebonden zijn aan een wettelijke, statutaire of contractuele verplichting aangaande de vertrouwelijkheid van de gegevens. 28. Het Comité merkt ook op dat de opdrachtgever in bepaalde gevallen (een deel van) de gevraagde gegevens zal te zien krijgen. De correcte uitoefening van het beroep van gerechtsdeurwaarder vereist immers dat de opdrachtgever wordt geïnformeerd over de stand van het dossier en de mogelijkheden die ter beschikking staan om de uitvoering van het beslag tot een goed einde te brengen. In de bijkomende informatie bij de machtigingsaanvraag wordt ter zake het volgende gesteld: "De fysieke overhandiging van de gegevens is vanzelfsprekend niet toegelaten. Anderzijds is het utopisch te veronderstellen dat de opdrachtgever geen enkele informatie krijgt. De beslissing om al dan niet een procedure verder te zetten wordt genomen in het licht van de gegevens die verzameld werden. Aangezien die beslissing in fine aan de opdrachtgever toebehoort, wordt deze summier ingelicht." Het Comité stemt hier mee in. 3. TRANSPARANTIEBEGINSEL (artikelen 4, 1, 1, en 9 tot 15bis, WVP) 29. Het Comité herinnert eraan dat een eerlijke verwerking van gegevens een verwerking is die gebeurt op een transparante wijze. Eén van de hoekstenen van een transparante verwerking, betreft de informatieplicht. 30. In voorliggend geval zullen de geplande gegevensverwerkingen evenwel verricht worden met het oog op de toepassing van bepalingen voorgeschreven door of krachtens een wet, een decreet of een ordonnantie. Op grond van artikel 9, 2, 2de lid, b), WVP is in een dergelijke situatie een vrijstelling van de informatieplicht van kracht. Deze vrijstelling neemt echter niet weg dat het Comité er zich kan van vergewissen of er passende waarborgen bestaan voor de bescherming van de fundamentele rechten van de betrokkenen. Bovendien heeft de uitzondering op de informatieplicht, bedoeld in artikel 9, 2, van de WVP, enkel betrekking op de door een wet 4 Zie ook beraadslaging RR nr. 06/2006 van 1 maart 2006.
Beraadslaging FO 11 /2010-8/10 gerechtvaardigde, onrechtstreekse inzameling van gegevens. Het Comité benadrukt het feit dat met de identificatie van de nummerplaten, de gerechtsdeurwaarders een rechtstreekse inzameling van gegevens realiseren die volledig aan de informatieplicht onderworpen is. 31. Bijgevolg acht het Comité het noodzakelijk dat voor de gevallen waarin de gerechtsdeurwaarder de gegevens bij de schuldenaar zelf verzamelt de betrokkenen duidelijk worden geïnformeerd over de naam van de verantwoordelijke voor de verwerking, het doeleinde van de verwerking, de herkomst van de verzamelde gegevens en het bestaan van een recht op toegang tot en verbetering van de gegevens die hen betreffen (cf. artikel 9, 1, WVP). 32. Voor de gevallen waarin de gegevens niet rechtstreeks bij de betrokkene worden verzameld, volstaat het om meer algemene informatie te verstrekken omtrent het feit dat gegevens bij de DIV worden opgevraagd en met welk doeleinde dit gebeurt. Dit zou bijvoorbeeld kunnen door dit op de websites van de gerechtsdeurwaarders en van de DIV te plaatsen. De sector zou natuurlijk ook de manier van werken kunnen uniformiseren door éénzelfde communicatiebeleid te voeren. 33. Tot slot wijst het Comité er op dat er ook op het niveau van de aanvrager die zoals hoger gezegd als TTP optreedt een zekere mate van transparantie moet worden verzekerd. Het verwijst in dit verband naar de reeds geciteerde aanbeveling van de Commissie nr. 02/2010: De verwerkingen die door een TTP worden uitgevoerd dienen transparant te verlopen. Dit impliceert ondermeer dat: de verantwoordelijken van de oorspronkelijke en/of van de latere verwerking 5, vanwege de TTP minstens de volgende informatie moeten verkrijgen: o de werking van de TTP en de voorwaarden voor het gebruik van de diensten van de TTP; o de draagwijdte van de aansprakelijkheid van de TTP de betrokkenen op basis van de door de TTP en de verantwoordelijken voor de oorspronkelijk en/of latere verwerking verstrekte informatie steeds moeten kunnen weten bij wie zij hun recht van toegang, verbetering, verwijdering of nietaanwending kunnen uitoefenen. 4. BEVEILIGING 4.1. Op het niveau van de aanvrager 5 In casu betreft dit de DIV en de gerechtsdeurwaarders.
Beraadslaging FO 11 /2010-9/10 34. De aanvrager vervult zoals gezegd de rol van TTP en hij houdt in die hoedanigheid ook een gegevensbron bij waarin alle gerechtsdeurwaarders zijn opgenomen (alsook hun medewerkers die eveneens toegang krijgen tot onderhavige gegevens). Op basis van deze bron kan elk individueel gebruik van de gegevens gecontroleerd worden. 35. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een informatieveiligheidsconsulent beschikt, alsook over een algemeen veiligheidsbeleid. Het Comité heeft hier akte van genomen. 36. Het verwijst in deze context evenwel ook naar de aanbeveling van de Commissie inzake TTP s. Conform dit document moet de aanvrager in de volgende veiligheidsmaatregelen voorzien: toegang tot de gegevens beperken tot speciaal daartoe aangeduide personen en de lijst van die personen ter beschikking van de Commissie houden 6 ; zich organiseren volgens de cirkels van vertrouwen 7. 4.2. Op het niveau van de individuele gerechtsdeurwaarder 37. De gerechtsdeurwaarders die gegevens van de DIV willen ontvangen, moeten technische en organisatorische maatregelen treffen om de persoonsgegevens te beschermen tegen onopzettelijke of niet gemachtigde vernietiging, tegen onverwacht verlies en tegen wijziging, toegang en ieder andere, niet toegestane verwerking van de persoonsgegevens. Gelet op de taak van een TTP om in het algemeen te waken over de naleving van de WVP 8 en gelet op het concept "cirkels van vertrouwen" 9, komt het ook de aanvrager toe om ter zake (voor wat bepaalde aspecten betreft) de nodige afspraken te maken met de gerechtsdeurwaarders. 38. Het Comité behoudt zich het recht voor om ten allen tijde de ingevoerde maatregelen per individuele gerechtsdeurwaarder te beoordelen. 6 Cf. randnummer 27. 7 Cf. randnummer 15 van de aanbeveling nr. 02/2010 van de Commissie en randnummer 9 van aanbeveling nr. 01/2008 van de Commissie. 8 Cf. randnummer 15. 9 Cf. randnummer 36.
Beraadslaging FO 11 /2010-10/10 4.3. Op het niveau van de DIV 39. Met betrekking tot de beveiliging van de bij de DIV uitgaande gegevensstroom werd geen enkele informatie verstrekt. In dit opzicht vestigt het Comité er de aandacht op dat elke beveiligde gegevensstroom vereist dat aan beide zijden veiligheidsmaatregelen worden genomen. De DIV moet de genomen veiligheidsmaatregelen ook vermelden op een evaluatieformulier en een kopie van dat formulier sturen naar het Comité. OM DEZE REDENEN, het Comité machtigt de aanvrager, de gerechtsdeurwaarders en de DIV om de gegevensverwerkingen bedoeld in de aanvraag, uit te voeren, mits rekening wordt gehouden met de hierboven geschetste opmerkingen (zie in het bijzonder randnummers 8, 15, 19-20, 23, 24, 27, 30, 31, 32, 33, 37, 38 en 39). Voor de Administrateur m.v., De Voorzitter, (get.) Patrick Van Wouwe (get.) Willem Debeuckelaere