1/11 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 15/2009 van 1 oktober 2009 Betreft: machtigingsaanvraag vanwege de Coördinatiecel Vlaamse e-government voor de verwerking van persoonsgegevens die in gegevensbanken van de Algemene Administratie voor de Patrimoniumdocumentatie zijn opgeslagen (AF/MA/2009/013) Het Sectoraal comité voor de Federale Overheid; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van Dhr. Geert Mareels, Projectleider binnen de Coördinatiecel Vlaamse e-government, ontvangen op 18/08/2009; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Fedict op 10/09/2009; Gelet op het technisch en juridisch advies ontvangen op 30/09/2009; Gelet op het verslag van de Voorzitter; Beslist op 1 oktober 2009, na beraadslaging, als volgt:.
Beraadslaging FO 15 /2009-2/11 I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. Bij beslissing van de Vlaamse Regering d.d. 8 april 2005 werd een interdepartementaal project Coördinatiecel Vlaams e-government (hierna de aanvrager) opgericht 1. 2. De aanvrager heeft o.a. als doelstelling de nodige ondersteunende diensten te leveren om het principe van het éénmalig inzamelen en maximaal hergebruiken van gegevens mogelijk te maken binnen de Vlaamse overheid en bij de lokale overheden. In het kader van de realisatie van deze doelstelling zorgt hij reeds voor de ontsluiting naar de Vlaamse overheid en naar de lokale overheden van Vlaamse en Federale authentieke gegevensbronnen, waaronder het Rijksregister, de Kruispuntbank van de Sociale Zekerheid en de Kruispuntbank van Ondernemingen. 3. Artikel 6 van het besluit van de Vlaamse Regering van 15 mei 2009 houdende de uitvoering van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer bepaalt dat de aanvrager een entiteit is zoals vermeld in artikel 4, 3, van voornoemd decreet, die tussenbeide komt bij de mededeling van gegevens uit authentieke bronnen (met uitzondering van authentieke geografische gegevensbronnen). Artikel 8 van het voornoemd besluit preciseert zijn functies als volgt: 1 het opnemen van de dienstenintegratorfunctie, meer in het bijzonder het samenvoegen van gegevens van verschillende gegevensbronnen, eventueel met toepassing van een bepaalde logica op die gegevens, om een volledige of gedeeltelijke set van gegevens of informatie aan de afnemer te bezorgen; 2 het vervullen van een routerfunctie, meer in het bijzonder het doorgeven van gegevens, afkomstig van een of meer gegevensbronnen, aan een of meer afnemers; 3 het tijdelijk opslaan van gegevens om ze te kunnen filteren en selecteren, om de performantie van de gegevens te verhogen en de terbeschikkingstelling ervan verder te verzekeren; 4 het anonimiseren en coderen van gegevens, meer in het bijzonder het vervullen van de functie van intermediaire organisatie als vermeld in het koninklijk besluit van 13 februari 2001 ter uitvoering van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens; 1 De aanvrager maakt sinds een aantal maanden (cf. artikel 79 van het decreet van 22 december 2006 houdende bepalingen tot begeleiding van de begroting 2007, gewijzigd bij artikel 45 van het decreet van 19 december 2008 houdende bepalingen tot begeleiding van de begroting 2009.) deel uit van de Dienst met Afzonderlijk Beheer ICT (hierna DAB ICT). De DAB ICT wordt belast met de ondersteuning van het Vlaams e-governmentbeleid ten aanzien van de Vlaamse overheid en de lokale besturen. Hij zorgt voor de coördinatie en de opvolging van de e-government beleidsuitvoering en voor het beheer, de begeleiding en de coördinatie van projecten, acties en initiatieven op het vlak van e-government, met inbegrip van het ontwerp, de bouw en het beheer van gemeenschappelijk bruikbare ICT diensten en infrastructuur op het vlak van gegevensuitwisseling en applicatiekoppeling. Hij biedt op dat vlak advies, ondersteuning en diensten aan de entiteiten van de Vlaamse overheid en aan de lokale overheden.
Beraadslaging FO 15 /2009-3/11 5 het bijhouden van repertoria van personen en ondernemingen overeenkomstig de privacywet, zoals een verwijzingsrepertorium dat per natuurlijke persoon en per onderneming aangeeft welke types van gegevens op welke plaats door welke verantwoordelijke worden opgeslagen, dat verwijst naar de gegevensbank waar die informatie kan worden geraadpleegd, of dat per natuurlijke persoon of onderneming aangeeft welke soorten gegevens ter beschikking worden gesteld aan welke instanties of externe overheden voor welke periode, met vermelding van het doel waarvoor de instantie of externe overheid die gegevens nodig heeft en een autorisatierepertorium dat bepaalt wie onder welke voorwaarden toegang krijgt tot welke gegevens; 6 het verzorgen van de samenwerking met de andere authentieke gegevensbronnen. 4. Het is met het oog op het vervullen van deze opdrachten dat de aanvrager een toegang wenst tot de informatiegegevens m.b.t. onroerende goederen, die zijn opgeslagen bij de Algemene Administratie voor de Patrimoniumdocumentatie (hierna AAPD). In de aanvraag wordt onderstreept dat de aanvrager de gevraagde gegevens slechts zal doorsturen aan Vlaamse departementen, instellingen en lokale besturen die zelf reeds door het sectoraal comité voor de Federale Overheid werden gemachtigd om mededeling te bekomen van de gegevens. II. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID 5. Krachtens artikel 36bis WVP, "vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging (van het bevoegd sectoraal comité)". 6. Het is de taak van dit Comité om na te gaan of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft. (Parl. Doc 50, 2001-2002, nr. 1940/004).
Beraadslaging FO 15 /2009-4/11 7. Het Comité stelt vast dat onderhavige machtigingsaanvraag de elektronische uitwisseling van persoonsgegevens tussen de aanvrager en een federale overheidsdienst beoogt. Het is derhalve bevoegd. B. TEN GRONDE 1. FINALITEIT 8. Artikel 4, 1, 2, WVP laat de verwerking van persoonsgegevens slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en de gegevens mogen bovendien niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. In de hiernavolgende paragrafen onderzoekt het Comité of deze principes gerespecteerd worden bij de verwerkingen die de aanvrager voor ogen heeft. 9. De aanvrager verwijst in deze context naar de opdrachten die hem op grond van het hoger geciteerde artikel 8 van het besluit van de Vlaamse Regering van 15 mei 2009 zijn toebedeeld (cf. supra randnummer 3). Het Comité is van oordeel dat dit een welbepaald en uitdrukkelijk omschreven doeleinde betreft en het brengt in herinnering dat de gevraagde gegevens enkel met het oog op dit doeleinde mogen verwerkt worden. 10. Aangaande de vereiste van verenigbaarheid met het oorspronkelijk doeleinde, wijst het Comité erop dat de geplande verwerkingen, met name de doorgifte van bepaalde gegevens door de AAPD aan de aanvrager, bestaan uit latere verwerkingen van gegevens die oorspronkelijk voor andere doeleinden werden verwerkt. Deze latere verwerkingen zijn slechts rechtmatig indien zij niet onverenigbaar zijn met de finaliteit van de initiële verwerking. Dit onderzoek naar de verenigbaarheid wordt gedaan in functie van de redelijke verwachtingen van de betrokkene en van de toepasselijke wettelijke en reglementaire bepalingen. 11. Het Comité stelt ter zake vast dat: artikel 504 van het Wetboek van Inkomstenbelastingen het volgende bepaalt: "De administratie van het kadaster staat in voor het bewaren en het bijhouden van de kadastrale bescheiden volgens de regelen die de Koning bepaalt. Enkel de administratie van het kadaster 2 is ertoe gemachtigd, volgens de regels en de tarieven bepaald door de 2 Opmerking: de administratie van het kadaster maakt deel uit van de AAPD.
Beraadslaging FO 15 /2009-5/11 Koning, uittreksels of afschriften van de kadastrale bescheiden te vervaardigen en uit te reiken"; artikel 5, laatste lid, artikel 6, 3 en artikel 7 van het koninklijk besluit van 20 september 2002 tot vaststelling van de vergeldingen en de nadere regels voor de afgifte van kadastrale uittreksels en inlichtingen respectievelijk het volgende bepalen: o o o "De aanvraag tot het bekomen van een massale output van gegevens kunnen worden gericht aan het centrum voor informatieverwerking van de administratie van het kadaster, de registratie en de domeinen" "De aanvragen tot het bekomen van een massale output dienen het doel te vermelden waarvoor die inlichtingen uiteindelijk zullen worden gebruikt" "De aanvraag om kadastrale informatie wordt afgewezen als uit het nagestreefde doel blijkt dat het belang van de openbaarheid niet opweegt tegen de bescherming van de fundamentele rechten en vrijheden van de eigenaar of zijn persoonlijke levenssfeer"; de aanvrager, op grond van de artikelen 6 en 8 van het besluit van de Vlaamse Regering van 15 mei 2009 (cf. randnummer 3) als dienstenintegrator is aangeduid en in die hoedanigheid als doorgeefluik zal optreden tussen de AAPD en Vlaamse departementen of instellingen en lokale besturen die behoorlijk gemachtigd werden om onderhavige gegevens bij de AAPD op te vragen. 12. Gelet op de hierboven geschetste regelgevende bepalingen en het gelet op het feit dat de aanvrager onderhavige gegevens enkel zal ter beschikking stellen van overheidsinstanties die hiertoe voorafgaandelijk door haar werden gemachtigd, is het Comité van oordeel dat de voorliggende latere verwerking niet onverenigbaar is met de oorspronkelijke verwerking. Het onderschrijft evenwel tegelijk ook het standpunt van de Commissie voor de bescherming van de persoonlijke levenssfeer (hierna de Commissie) omtrent de noodzaak om dienstenintegratie in de overheidssector decretaal te verankeren 3 : De Commissie blijft van oordeel dat dit decretaal moet onderbouwd worden. In haar advies nr. 01/2008 van 16 januari 2008 m.b.t. het ontwerp van decreet betreffende het elektronische bestuurlijke gegevensverkeer, vestigde zij in de punten 18 20 reeds de aandacht op de noodzaak van een decretale omkadering van wat toen als "kruispuntbanken" werden bestempeld maar waarmee eigenlijk dienstenintegratoren werden bedoeld. Zowel de 3 Cf. randnummers 33 en 37 van advies nr. 11/2009 van 29 april 2009.
Beraadslaging FO 15 /2009-6/11 Kruispuntbank van de Sociale Zekerheid als het ehealth-platform zijn wettelijk onderbouwd. Ook voor de Federale Dienstenintegrator (Fedict) wordt momenteel een wettelijke basis uitgewerkt (cf. advies nr. 41/2008). Enkel hierdoor wordt voldaan aan de eisen van artikel 22 Grondwet. ( ) De Commissie beseft dat het op punt stellen van een decretale omkadering enige tijd zal in beslag nemen. Daartegenover staat dat ondertussen de continuïteit van de openbare dienstverlening moet verzekerd worden en blijven. Dit vereist dat CORVE minstens een aantal taken van dienstenintegratie zou moeten kunnen opnemen. In afwachting van een decretale basis kan de Commissie aanvaarden dat de rol van CORVE als dienstenintegrator wordt uitgewerkt en opgenomen in dit besluit. Zo wordt alvast in een reglementaire grondslag voorzien. Het kan echter slechts een tijdelijke oplossing zijn. Dit impliceert dat ofwel het besluit binnen een redelijke termijn moet worden bekrachtigd door een decreet ofwel dat de relevante bepalingen in een decreet moeten worden opgenomen. In het licht hiervan wenst de Commissie dan ook dat het aangepaste besluit aan haar voor advies wordt voorgelegd. 13. In het licht van het hierboven geciteerde advies van de Commissie, wijst het Comité er op dat het onderhavige machtiging desgevallend kan intrekken indien de decretale omkadering van de integratorfunctie van de aanvrager niet binnen een redelijke termijn wordt uitgewerkt. 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens 14. Artikel 4, 1, 3, WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. In hiernavolgende paragrafen onderzoekt het Comité of in onderhavig geval de geplande gegevensstromen deze principes naleven. 15. De aanvrager wijst er op dat er momenteel geen wettelijk/reglementair overzicht bestaat van alle mogelijke gegevens die de AAPD kan ontsluiten. Hij wenst daarom naast de gegevens die expliciet in zijn aanvraag zijn opgenomen ook alle ander beschikbare/ontsluitbare gegevens vanwege de AAPD te ontvangen, op voorwaarde dat de ontvangende Vlaamse overheidsinstantie gemachtigd is om deze gegevens te verkrijgen. 16. De aanvrager treedt op als dienstenintegrator (cf. randnummer 3), wat ondermeer impliceert dat hij als doorgeefluik zal fungeren tussen de authentieke bron (in casu de
Beraadslaging FO 15 /2009-7/11 AAPD) en de gemachtigde, ontvangende instantie. Vanuit die optiek is het Comité van oordeel en dit in navolging van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid 4 dat de gegevensuitwisseling tussen de AAPD en de aanvrager slechts conform kan zijn aan artikel 4, 1, 3, WVP, indien aan de volgende voorwaarden wordt voldaan: a. de inhoudelijke lijst van mee te delen persoonsgegevens dient te worden beperkt tot de persoonsgegevens die strikt noodzakelijk zijn om de respectieve doeleinden van de Vlaamse overheid te verwezenlijken (materieel toepassingsgebied). Dat betekent dat de aanvrager slechts mededeling van een bepaalde categorie van persoonsgegevens mag bekomen voor zover minstens één Vlaamse doeltoepassing behoefte heeft aan deze categorie van persoonsgegevens. De aanvrager verklaart effectief dat de inhoudelijke lijst van mee te delen gegevens beperkt zal zijn tot de gegevens die noodzakelijk zijn om de respectieve doeleinden van de Vlaamse overheid te verwezenlijken; b. de mededeling dient ook te worden beperkt tot persoonsgegevens aangaande personen die door de Vlaamse overheid gekend (dienen te) zijn in het kader van het vervullen van haar taken (personeel toepassingsgebied). Dat betekent dat de aanvrager slechts mededeling van persoonsgegevens aangaande een bepaalde persoon mag bekomen voor zover minstens één Vlaamse doeltoepassing behoefte heeft aan persoonsgegevens aangaande deze persoon. Het betreft aldus potentieel gegevens omtrent onroerende goederen die verband houden met: i. personen woonachtig in het Vlaamse Gewest of in het Brussels Hoofdstedelijk Gewest; ii. kadastrale percelen of ondernemingen gelegen in het Vlaamse Gewest of in het Brussels Hoofdstedelijk Gewest; iii. andere personen of ondernemingen die in contact treden met de Vlaamse overheid; iv. kadastrale percelen gelegen in het Waalse Gewest 5. 4 Cf. Beraadslaging nr. 08/031 van 3 juni 2008 van het Sectoraal Comité voor de Sociale Zekerheid en de Gezondheid. 5 Ter illustratie gaf de aanvrager volgend voorbeeld: Alle ouders (ongeacht hun nationaliteit, woon en werkplaats) met een kind in het Vlaams onderwijs kunnen in aanmerking komen voor Vlaamse studietoelagen. Aangezien het kadastraal inkomen invloed heeft op de studietoelageberekening ongeacht of die goederen in Vlaanderen of in Wallonië gelegen zijn heeft de aanvrager in bepaalde gevallen ook gegevens nodig omtrent onroerende goederen die in het Waalse Gewest gelegen zijn.
Beraadslaging FO 15 /2009-8/11 De aanvrager verklaart te zullen instaan voor het opvolgen van dit personeel toepassingsgebied door middel van haar inschrijvingsrepertorium, waarin iedere gemachtigde instantie die gegevens wil opvragen een melding dient te maken van personen of ondernemingen of kadastrale percelen die bij deze instantie gekend zijn; c. ten slotte dient een beperking in de tijd te worden voorzien in die zin dat persoonsgegevens slechts kunnen worden meegedeeld voor relevante periodes (temporeel toepassingsgebied). Dat betekent dat de aanvrager slechts mededeling van persoonsgegevens mag bekomen voor zover minstens één Vlaamse doeltoepassing behoefte heeft aan deze persoonsgegevens voor de periode in kwestie. De aanvrager verklaart te zullen instaan voor het opvolgen van dit temporeel toepassingsgebied door middel van haar inschrijvingsrepertorium, waarin iedere gemachtigde instantie die gegevens wil opvragen een melding dient te maken van de periode waarvoor de betrokken persoon of onderneming of het kadastraal perceel in kwestie, gekend is bij deze instantie. 17. Het voorgaande houdt in dat de aanvrager niet onverkort mededeling kan bekomen van alle persoonsgegevens uit de bedoelde databank van de AAPD 6. Hij kan in beginsel enkel mededeling bekomen van persoonsgegevens aangaande personen over wie hij kan aantonen dat de Vlaamse overheid over hen een dossier beheert. Voorts kan de aanvrager alle categorieën persoonsgegevens opvragen waarvoor er minstens één respectieve betrokken doeltoepassing en één respectieve relevante periode voorhanden is. De aanvrager zal bijgevolg moeten zoals hij zelf aangeeft zorgen voor een gepaste filtering, met eerbiediging van het evenredigheidsbeginsel. 18. Uit de machtigingsaanvraag blijkt dat de aanvrager zich van deze beperkingen bewust is 7. Indien de aanvrager zich in de praktijk ook effectief aan bovengenoemde voorwaarden houdt, is het Comité van oordeel dat de geplande gegevensverwerkingen conform zijn aan het proportionaliteitsbeginsel. 6 Zie in dit verband ook randnummer 27 van de Aanbeveling uit eigen beweging in verband met integratoren in de overheidssector (Aanbeveling van de Commissie nr. 03/2009 van 1 juli 2009): De dienstenintegrator mag enkel persoonsgegevens verwerken die relevant en niet overmatig zijn voor de gebruikers van de geïntegreerde dienst (toepassing van artikel 4 WVP). Dit betekent dat: er aan de gebruikers geen gegevens mogen worden doorgestuurd waarop deze geen recht hebben rekening houdend zowel met de modaliteiten van de eventuele machtigingen als met de doeleinden; de dienstenintegrator zelf slechts die persoonsgegevens mag verzamelen die noodzakelijk zijn om de gebruikers hun informatie te kunnen bezorgen en een volledige audit te verrichten. 7 Cf. supra randnummer 16, punt a (in fine), punt b (in fine) en punt c (in fine).
Beraadslaging FO 15 /2009-9/11 2.2. Bewaringstermijn van de gegevens 19. Aangaande de bewaringstermijn van de gegevens herinnert het Comité er aan dat de gegevens niet langer bewaard mogen worden dan nodig voor het realiseren van het doeleinde waarvoor ze werden ingezameld (artikel 4, 1, 5, WVP). 20. De aanvrager stelt ter zake het volgende: "Als kruispuntbank slaat CORVE metagegevens omtrent de aard van de datatransmissie op, namelijk welke datadienstverlening, op welk moment, aan welke entiteit van de Vlaamse overheid en aan welke doeltoepassing. Deze metagegevens worden opgeslagen vanuit logging- en auditbehoeften. Indien er vragen rijzen over de regelmatigheid van een transactie, moeten deze gegevens toelaten de nodige controle te verrichten. De logginggegevens worden 10 jaar bewaard. De vernietiging van de gegevens wordt gewaarborgd, eens de verdere bewaring (na 10 jaar) juridisch niet meer nodig is. ( ) " 21. Het Comité neemt hiervan akte 8. 2.3. Frequentie van de toegang en duur van de machtiging 22. Er wordt om een permanente toegang tot de gevraagde gegevens verzocht. Aangezien de aanvrager gegevens moet kunnen doorgeven aan gemachtigde instanties die zelf vaak over een dergelijke toegang beschikken, is het Comité van oordeel dat een permanente toegang in hoofde van de aanvrager eveneens aangewezen is en dus in overeenstemming is met artikel 4, 1, 3, WVP. 23. De toegang wordt ook voor onbepaalde duur gevraagd. De opdrachten inzake dienstenintegratie die aan de aanvrager zijn toegekend, zijn dan ook niet in de tijd beperkt. Het Comité constateert aldus dat de machtigingsaanvraag met het oog op de realisatie van de opgegeven doeleinden, voor onbepaalde duur gepast is (artikel 4, 1, 3 WVP). 2.4. Bestemmelingen en/of derden waaraan gegevens worden meegedeeld 24. Gelet op zijn rol als dienstenintegrator zal de aanvrager de gegevens doorgeven aan gemachtigde instanties (cf. supra randnummer 11, in fine). Volgens de informatie verstrekt 8 Het wijst er op dat het inschrijvingsrepertorium zoals vermeld in randnummer 16 persoonsgegevens bevat waarop artikel 4, 1, 5, WVP, van toepassing is. Aangezien het geen persoonsgegevens betreft die vanuit de AAPD elektronisch worden medegedeeld aan de aanvrager, gaat het Comité hier in deze beraadslaging evenwel niet dieper op.
Beraadslaging FO 15 /2009-10/11 in de aanvraag, zullen de personeelsleden van de aanvrager of van zijn onderaannemer(s), die effectief belast zijn met de doorgifte van gegevens aan de gemachtigde instanties, een verklaring op eer ondertekenen waarin zij zich verbinden de veiligheid en het vertrouwelijk karakter van onderhavige gegevens te respecteren. Een lijst van deze personeelsleden die systematisch zal worden geactualiseerd zal ter beschikking van het Comité worden gehouden. 25. Het Comité neemt hier akte van en het verzoekt om de nodige maatregelen te nemen opdat enkel de toegangsgerechtigde personeelsleden toegang zouden krijgen tot de gegevens. 3. TRANSPARANTIEBEGINSEL 26. Wat de toepassing van het transparantiebeginsel betreft, is het Comité in navolging van de Commissie 9 van oordeel dat dienstenintegratie een voor de burger zo doorzichtig mogelijke operatie dient te betreffen. Het Comité benadrukt meer bepaald de volgende aandachtspunten: a. de integrator (in casu de aanvrager) dient duidelijke informatie omtrent alle facetten van zijn werking openbaar te maken, zodat eenieder de mogelijkheid heeft om de regelmatigheid van zijn optreden te verifiëren. Dergelijke kennisgeving zou in voorliggend geval bijvoorbeeld via de website van de aanvrager kunnen gebeuren; b. indien de burger daarom verzoekt, dient hij ook de mogelijkheid te hebben om een overzicht te krijgen omtrent welke van diens gegevens door wie werden geraadpleegd via de dienstenintegrator; c. de Vlaamse administratie die onderhavige gegevens via de aanvrager zal ontvangen, dient aan de burger te melden op welke gegevens hij een beslissing of actie steunt zodat de burger kan controleren of er met correcte gegevens werd gewerkt. Het correct informeren houdt ook in dat de burger moet ingelicht worden omtrent wie de verantwoordelijken voor de verwerking zijn, zodat hij/zij weet waar hij het recht op toegang, verbetering en wissing kan uitoefenen. 9 Aanbeveling uit eigen beweging in verband met integratoren in de overheidssector (Aanbeveling nr. 03/2009 van 1 juli 2009).
Beraadslaging FO 15 /2009-11/11 4. BEVEILIGING 27. Uit de door de aanvrager en door de AAPD meegedeelde stukken blijkt dat zij over een veiligheidsconsulent en een veiligheidsbeleid - evenals over een plan in toepassing ervan - beschikken. Het Comité heeft hier akte van genomen. 28. Het Comité verzoekt daarnaast om maatregelen te nemen die er onder meer voor zorgen dat de aanvrager als dienstenintegrator de integriteit, de authenticiteit, de beschikbaarheid en de vertrouwelijkheid van de persoonsgegevens die hij verwerkt redelijkerwijze waarborgt en dat hij daartoe duidelijke afspraken maakt met de onderscheiden tussenkomende partijen in de hele dienstverleningsketen (via zogenaamde service level agreements ) 10. OM DEZE REDENEN, het Comité machtigt de aanvrager en de AAPD om de verwerkingen bedoeld in de machtigingsaanvraag, uit te voeren, mits rekening wordt gehouden met de hierboven geschetste opmerkingen (zie in het bijzonder randnummers 9, 12-13, 16-18, 25, 26, 28). Voor de Administrateur m.v., De Voorzitter, (get.) Patrick Van Wouwe (get.) Willem Debeuckelaere 10 Aanbeveling uit eigen beweging in verband met integratoren in de overheidssector (Aanbeveling van de Commissie nr. 03/2009 van 1 juli 2009), randnummers 20, 32 en 38.