1/8 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 42/2017 van 14 december 2017 Betreft: aanvraag van het Vlaams Agentschap Zorg & Gezondheid om een elektronische mededeling van persoonsgegevens te bekomen van de FOD Volksgezondheid (AF-MA-2017-294) Het Sectoraal comité voor de Federale Overheid; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Vlaams Agentschap Zorg & Gezondheid, ontvangen op 23/10/2017; Gelet op de bijkomende toelichting ontvangen op 13/11/2017 en 24/11/2017; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Beleid en Ondersteuning (rechtsopvolger van de Federale Overheidsdienst Fedict) op 28/11/2017; Gelet op het verslag van de Voorzitter; Beslist op 14 december 2017, na beraadslaging, als volgt:
Beraadslaging FO 42 /2017-2/8 I. VOORWERP VAN DE AANVRAAG 1. Met ingang van 1 januari 2019 neemt het Vlaams Agentschap Zorg en Gezondheid (hierna de aanvrager ) de financiering van de rust- en verzorgingstehuizen, de centra voor kortverblijf ingebed in een woonzorgcentrum, de dagverzorgingscentra met een bijzondere erkenning, de psychiatrische verzorgingstehuizen, de revalidatiecentra en de revalidatieziekenhuizen over van het Rijksinstituut voor Ziekte- en Invaliditeitsverzekering (RIZIV) en dit in uitvoering van de 6 de staatshervorming. 2. Voormelde zorgvoorzieningen moeten vandaag aan het RIZIV een hele reeks gegevens betreffende hun personeel aanleveren, met het oog op het verkrijgen van financiële tegemoetkomingen. De aanvrager wenst te onderzoeken of de financiële tegemoetkomingen voor voormelde zorgvoorzieningen niet zouden kunnen worden hertekend, waarbij in het hertekend landschap die tegemoetkomingen nog enkel (of toch zo veel mogelijk) zouden worden berekend aan de hand van gegevens die in authentieke gegevensbronnen opgeslagen zijn. Onderhavige machtigingsaanvraag kadert in deze analyse, en viseert een éénmalige opvraging van persoonsgegevens in de databank visum artsen en verpleegkundigen (ecad-databank) van de FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu (hierna de FOD Volksgezondheid ). 3. De aanvrager wenst met deze toegang na te gaan of hij op basis van deze gegevens kan te weten komen welke en hoeveel werknemers in een zorgvoorziening de erkenning van arts en de erkenning van verpleegkundige hebben en welke en hoeveel werknemers in een zorgvoorziening een erkenning hebben als zorgberoep (voor dat laatste heeft de Vlaams Toezichtcommissie inmiddels een machtiging verleend in haar beraadslaging VTC nr. 35/2017 van 25 oktober 2017), en of hiermee voldoende informatie beschikbaar is om een financiële tegemoetkoming waarop zorgvoorzieningen aanspraak kunnen maken uit te tekenen, zonder dat die voorzieningen zelf elk kwartaal een grote hoeveelheid detailinformatie dienen aan te leveren via een webapplicatie. 4. Het gaat aldus om een testproject. Voor de eventuele daaropvolgende operationele fase, zal de aanvrager desgevallend een nieuw verzoek indienen.
Beraadslaging FO 42 /2017-3/8 II. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID EN BEVOEGDHEID VAN HET COMITE 5. Krachtens artikel 36bis WVP, "vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging (van het bevoegd sectoraal comité)". 6. Het is de taak van dit Comité om na te gaan of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft. (Kamer, Doc 50, 2001-2002, nr. 1940/004). 7. In voorliggend geval wordt een elektronische toegang gevraagd tot persoonsgegevens die zich in een gegevensbank van de FOD Volksgezondheid bevinden. Het Comité is derhalve bevoegd. B. TEN GRONDE 1. FINALITEITSBEGINSEL 8. Artikel 4, 1, 2, WVP laat de verwerking van persoonsgegevens slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en de gegevens mogen bovendien niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. 9. De aanvraag heeft tot doel om nieuwe financieringsregels te kunnen voorbereiden voor de berekening van overheidstegemoetkomingen aan zorgvoorzieningen. Deze tegemoetkomingen zijn met name onder andere afhankelijk van het aantal artsen en verpleegkundigen die in de zorgvoorzieningen werkzaam zijn en die hiervoor ook over een erkenning van de FOD Volksgezondheid beschikken. Vandaag worden deze personeelsgegevens nog door de zorgvoorzieningen aangeleverd, maar de aanvrager wenst nu te testen in hoeverre deze informatie ook volledig bij een authentieke bron kan bekomen worden. De toekomstige regelgeving zou dus moeten toelaten dat voornoemde tegemoetkomingen aan de zorgvoorzieningen volledig kunnen berekend worden aan de hand van gegevens die zich in authentieke bronnen waaronder in casu de ecad-databank van de FOD Volksgezondheid bevinden, zonder dat de zorgvoorzieningen nog zelf grote hoeveelheden gegevens dienen aan te leveren. En ter voorbereiding van deze nieuwe regels, wenst de aanvrager na te gaan of de gegevens van de ecad-
Beraadslaging FO 42 /2017-4/8 databank bruikbaar zijn om dit doel te verwezenlijken. De gegevens zullen dus niet gebruikt worden in het kader van operationele doeleinden, maar enkel voor deze testdoeleinden. 10. Het Comité is van oordeel dat dit een welbepaald en uitdrukkelijk omschreven doeleinde betreft en het brengt in herinnering dat de gevraagde gegevens enkel met het oog op dit doeleinde mogen worden verwerkt. De vooropgestelde verwerking is ook gerechtvaardigd, gelet op artikel 5, e) WVP. 11. Aangaande de vereiste van verenigbaarheid met het oorspronkelijk doeleinde, wijst het Comité erop dat de geplande verwerking, met name de doorgifte van bepaalde gegevens door de FOD Volksgezondheid aan de aanvrager, bestaat uit een latere verwerking van gegevens die oorspronkelijk voor andere doeleinden werden verwerkt. Deze latere verwerking is slechts rechtmatig indien zij niet onverenigbaar is met de finaliteit van de initiële verwerking. Dit onderzoek naar de verenigbaarheid wordt gedaan in functie van de redelijke verwachtingen van de betrokkene en van de toepasselijke wettelijke en reglementaire bepalingen. 12. In dit verband stelt het Comité vast dat de wetgeving betreffende de ecad-databank 1 het volgende stipuleert: Art. 97. 1. Voor elke beroepsbeoefenaar van een gezondheidszorgberoep bedoeld in deze gecoördineerde wet worden identificatiegegevens en gegevens in verband met hun erkenning en bepaalde aspecten van hun beroepsactiviteit in een permanente federale databank van de beoefenaars van de gezondheidszorgberoepen geregistreerd en bijgehouden. Het Directoraat-Generaal gezondheidsberoepen, Medische bewaking en Welzijn op het werk van de Federale Overheidsdienst Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu is de verantwoordelijke voor de verwerking, in de zin van artikel 1, 4, van de Wet Persoonlijke Levenssfeer van 8 december 1992. 2. De registratie bedoeld in paragraaf 1 heeft als doel: ( ) 2 de uitvoering van de reglementaire opdrachten van de administraties alsook de uitwisseling van de gegevens, die hun naargelang hun respectieve reglementaire opdrachten zijn toevertrouwd, tussen de overheidsinstellingen voor sociale zekerheid, de openbare administraties en de instellingen van openbaar nut, mogelijk te maken, mede met het oog op administratieve vereenvoudiging; ( ) 13. Gelet op deze wettelijke bepalingen en gelet op de wettelijke opdrachten van de aanvrager, oordeelt het Comité dat de latere verwerking door de aanvrager niet onverenigbaar is met de gegevensverwerking van de FOD Volksgezondheid. 1 Gecoördineerde wet van 10 mei 2015 betreffende de uitoefening van de gezondheidszorgberoepen
Beraadslaging FO 42 /2017-5/8 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens 14. Artikel 4, 1, 3, WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. 15. De aanvrager verzoekt om bij de FOD Volksgezondheid de volgende gegevens te kunnen opvragen van artsen en verpleegkundigen die werkzaam zijn in 150 zorgvoorzieningen: Antwoord op de vraag of de individuele werknemers van de zorgvoorzieningen gedurende de periode van 1 januari 2016 tot 30 juni 2016 (of een gedeelte van die periode) gedekt waren door een erkenning arts of door een erkenning verpleegkundige. Indien individuele werknemers een erkenning van arts of van verpleegkundige van de FOD Volksgezondheid hebben in voornoemde periode en hun erkenning niet de volledige periode afdekt: antwoord op de vraag voor welke periode die werknemer dan wel door een dergelijke erkenning gedekt was. 16. Na analyse van deze gegevens, stelt het Comité vast dat deze noodzakelijk zijn teneinde de finaliteit zoals omschreven in randnummer 9 te verwezenlijken en het besluit aldus dat de bij de FOD Volksgezondheid opgevraagde gegevens conform zijn aan artikel 4, 1, 3, WVP. 2.2. Bewaartermijn van de gegevens 17. In de aanvraag wordt omtrent de bewaartermijn gesteld dat de gegevens zullen vernietigd worden bij het afsluiten van de onderzoeksopdracht, met name drie maanden na de oplevering van de gegevens aan de aanvrager. 18. Het Comité stemt hier mee in. 2.3. Frequentie van de toegang en duur van de machtiging 19. Betreffende de frequentie van de toegang en de duur van de machtiging vermeldt de aanvraag dat het om een éénmalige toegang gaat en dat de machtiging conform de vooropgestelde bewaartermijn (cf. supra randnummer 17) mag verstrijken drie maanden na aflevering van de gegevens.
Beraadslaging FO 42 /2017-6/8 20. Het Comité stemt hier mee in. 2.4. Bestemmelingen en/ of derden waaraan de gegevens worden meegedeeld 21. Volgens de informatie verstrekt in de aanvraag, worden de gegevens enkel intern gebruikt, met name door een beperkte groep van medewerkers van het Team financiering ouderenzorg en van de Afdeling gespecialiseerde zorg. 22. Het Comité ziet hier in het licht van artikel 4, 1, 3 WVP geen bezwaren tegen. Het verzoekt wel om de nodige maatregelen te nemen opdat enkel de behoorlijk gemachtigde personeelsleden toegang zouden krijgen tot deze gegevens. 3. TRANSPARANTIEBEGINSEL 23. De WVP voorziet dat een eerlijke gegevensverwerking een verwerking is die plaatsvindt op transparante wijze. In dit verband geeft de aanvrager aan dat er op zijn website informatie aan de betrokkenen zal verstrekt worden betreffende de beoogde mededeling van persoonsgegevens. 24. Het Comité neemt hier akte van en is van oordeel dat deze maatregel afdoende is, in het bijzonder gelet op het feit dat het louter om een testproject gaat dat geen rechtstreekse gevolgen mag hebben voor de betrokkenen (cf. randnummer 9). 4. INFORMATIEBEVEILIGING 4.1. Op het niveau van de aanvrager 25. Uit de meegedeelde stukken blijkt dat de aanvrager over een informatieveiligheidsconsulent beschikt, alsook over een algemeen informatieveiligheidsbeleid. Het Comité heeft hier akte van genomen. 4.2. Op het niveau van de FOD Volksgezondheid 26. De aanvraag bevat geen informatie over de informatiebeveiliging op het niveau van de FOD Volksgezondheid. Het Comité kan onderhavige machtiging dan ook slechts onder de opschortende voorwaarde verlenen dat deze documenten hem worden voorgelegd en dat hij de inhoud ervan niet als onaanvaardbaar beoordeelt.
Beraadslaging FO 42 /2017-7/8 4.3. Wijze waarop de elektronische mededeling zal gebeuren 27. In de aanvraag wordt aangegeven dat de overdracht van de gegevens als volgt zal gebeuren: 1) VAZG 2 maakt een excelbestand op van de personeelsleden die overeenkomstig de ad hoc ontlading van dmfa tewerkgesteld zijn in 150 zorgvoorzieningen; 2) dat excelbestand maakt VAZG over aan de databank van zorgberoepen en gezondheidswerkers (ecad van de FOD Volksgezondheid) 3) vanuit ecad wordt het excelbestand dan aangevuld met de persoonsgegevens bedoeld in deze machtigingsaanvraag 28. Het Comité merkt op dat als het excelbestand via e-mail zou overgemaakt worden er in dat geval gebruik dient gemaakt te worden van een beveiligde, geëncrypteerde ZIP-file (vb. via 7-zip). Het wachtwoord dient dan via een ander communicatiekanaal (vb. telefonisch) doorgeven te worden aan de aanvrager. OM DEZE REDENEN, het Comité 1 machtigt de mededeling van de hogervermelde persoonsgegevens die bij de FOD Volksgezondheid worden bewaard en dit om het doeleinde zoals omschreven in randnummer 9 te verwezenlijken; 2 beslist dat deze machtiging geldt voor zover en voor zolang de voorwaarden vermeld in deze beraadslaging worden nageleefd door de aanvrager; 3 beslist dat de aanvrager voor de eventuele operationele fase (zie randnummer 4) een nieuw verzoek dient in te dienen; 2 De aanvrager.
Beraadslaging FO 42 /2017-8/8 4 beslist dat het zich het recht voorbehoudt om, in voorkomend geval en op geregelde tijdstippen, de effectieve en duurzame toepassing te controleren van technische en organisatorische maatregelen die conform de stand van de techniek zijn en van aard om de risico s adequaat te dekken. In dit verband gebiedt het Comité de partijen/de aanvrager iedere relevante wijziging in de beveiliging van de gemachtigde verwerking aan het Comité mee te delen. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens, (get.) Stefan Verschuere