1/10 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 20/2013 van 27 juni 2013 Betreft: machtigingsaanvraag van de Service Public de Wallonie, Direction Opérationnelle de la Fiscalité (SPW DGO7) (Waalse overheidsdienst Operationeel directotraat-generaal fiscaliteit) om toegang te hebben tot de gegevensbank van de Directie voor de Inschrijving der Voertuigen (DIV) (AF-MA-2013-031) Het Sectoraal comité voor de Federale Overheid; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van de SPW-DGO7 ontvangen op 03/05/2013; Gelet op de bijkomende informatie ontvangen op 23/05/2013; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Fedict op 29/05/2013; Gelet op het technisch en juridisch advies ontvangen op 27/06/2013; Gelet op het verslag van de Voorzitter;
Beraadslaging FO 20 /2013-2/10 Beslist op 27 juni 2013, na beraadslaging, als volgt: I. ONDERWERP VAN DE AANVRAAG 1. Op 3 mei 2013, ontving het Comité een machtigingsaanvraag van de SPW, Direction Générale Opérationnelle de la Fiscalité (hierna SPW-DGO7) 1 om toegang te hebben tot de persoonsgegevens uit het repertorium van de voertuigen van de DIV zodat deze Directie ze in het kader van haar opdrachten zou kunnen gebruiken.... 2. De bijzondere wet van 16 januari 1989 betreffende de financiering van de Gemeenschappen en Gewesten, bepaalt dat de verkeersbelasting op de autovoertuigen, de belasting op de in verkeerstelling en het eurovignet gewestelijke belastingen zijn 2. Tot vandaag worden deze belastingen evenwel ingevorderd op federaal niveau. Artikel 5, 3 van de bijzondere wet bepaalt inderdaad dat de federale straat kosteloos instaat voor de inning van deze belastingen, tenzij het gewest daar anders over beslist. In een besluit van 19/07/2012 3 besliste de Waalse Regering om de inning van deze drie belastingen zelf te beheren vanaf 1 januari 2014. Het operationeel directoraat-generaal fiscaliteit (DGO7) werd met deze opdracht belast. Om de verkeersbelasting op de autovoertuigen, de belasting op de in verkeerstelling en het eurovignet in het Waalse gewest te innen, wenst het DGO7 te beschikken over bepaalde gegevens van de Directie Inschrijving Voertuigen. 3. De eco-bonus en eco-malus zijn belastingen die het Waalse Gewest heeft vastgesteld 4 maar waarvan de heffing en de inning vandaag op federaal niveau gebeurt. Op 1 januari 2014, wordt het DGO7 belast met de gehele belastingcyclus en de DIV-gegevens zijn daarbij noodzakelijk om deze taken naar behoren te kunnen uitvoeren 5. 4. In de bijkomende, verstrekte informatie, legt de aanvrager uit dat hij een gegevensbank van voertuigkenmerken wenst uit te bouwen dat naast de gegevens uit de authentieke bron DIV ook de eigen gegevens van de SPW-DGO7 zal bevatten evenals de gegevens die werden ingewonnen via de belastingaangiftes. Daarnaast bevat deze voertuigkenmerkenbank ook 1 Krachtens het Besluit van de Waalse Regering van 1 februari 2007 betreffende de organieke personeelsformatie van de Waalse Overheidsdienst, maakt de DGO7 deel uit van de Waalse Overheidsdienst (SPW). 2 Artikel 3, 10 tot 12. 3 Dit besluit van de Waalse Regering werd geratificeerd bij Decreet betreffende de algemene begroting van de ontvangsten van het Waalse Gewest voor het begrotingsjaar 2013, artikel 15. 4 De vaststelling van deze belasting valt vandaag onder de bevoegdheid van de SPW-DGO7. Voor het beheer van de belasting Eco-Bonus/Malus, moet de aanvrager de gegevens verkrijgen van de DIV op een beveiligde FTP server. De gegevens worden vervolgens voor verdere verwerking ingebracht in de administratieve module Eco-Bonus/Malus. 5 het Sectoraal comité van het Rijksregister somt in de beraadslaging RR nr. 32/2013 van 17 april 2013 de onder punten 2 en 3 bedoelde belastingen op, waarvoor een toegang tot het Rijksregister en het gebruik van het identificatienummer gemachtigd werd.
Beraadslaging FO 20 /2013-3/10 voertuigen die niet in de DIV zijn opgenomen maar toch onderworpen zijn een jaarlijkse belasting (bijv. kleine aanhangwagens onder de 750 kg). Deze voertuigkenmerkenbank zal aan de hiernavolgende basisregels beantwoorden: a) de gegevens afkomstig van de DIV, die een authentieke bron is, worden nooit gewijzigd door de systemen en worden ook niet bijgewerkt tenzij via een opgave der wijzigingen uitgaande van de DIV; b) ieder gegeven van de voertuigenkenmerkenbank zal gelabeld worden in functie van de bron die het creëerde (DIV, aangifte, ambtenaar van het DGO7); c) toegang tot de gegevens is onderworpen aan een voorafgaandelijke machtiging De wil om een voertuigkenmerkenbank op te richten is gerechtvaardigd met het feit dat de SPW-DGO7 die gegevens met regelmatige tussenpozen massaal zal gebruiken. Zo moet de aanvrager bijvoorbeeld iedere maand de verkeersbelasting berekenen van ongeveer 300.000 voertuigen waarvan de verjaardatum van de inschrijving in die maand valt. De berekeningsmodule heeft de DIV-gegevens nodig om het belastingbedrag en de eigenaar van het voertuig te kunnen bepalen. Voor de werkbaarheid en de prestatiegerichtheid van het systeem is het echter nodig een beroep te doen op een referentiegegevensbank. Volgens de aanvraag moet in dit geval het gebruik van WebServices uitgesloten worden. Momenteel maakt de FOD Financiën, die tot 31/12/2013 voor deze belasting instaat, gebruik van dezelfde procedures om hun taken naar behoren te kunnen uitvoeren. De SPW-DGO7 preciseert ter informatie dat het met de gegevens van het Rijksregister op eenzelfde manier werkt als met de gegevens van de Kruispuntbank van Ondernemingen en de Kruispuntbank van de Sociale Zekerheid. 5. De voorliggende machtigingsaanvraag strekt ertoe gemachtigd te worden om toegang te hebben tot de informatiegegevens met eerbiediging van artikel 36bis van de WVP. II. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID 6. Krachtens artikel 36bis van de WVP vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging van (het bevoegde) sectoraal comité. 7. Dit Comité moet nagaan of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale
Beraadslaging FO 20 /2013-4/10 overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft (Parl. Doc. 50, 2001-2002, 1940/004). 8. De DIV, die ressorteert onder de FOD Mobiliteit en Vervoer, zal via elektronisch weg persoonsgegevens verstrekken aan de aanvrager. Het Comité is derhalve bevoegd. B. TEN GRONDE 1. FINALITEITSBEGINSEL 9. Artikel 4, 1, 2 van de WVP staat uitsluitend een verwerking van persoonsgegevens toe voor welbepaalde, uitdrukkelijke omschreven en gerechtvaardigde doeleinden en bovendien kunnen die gegevens niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Het Comité onderzoekt hierna of in onderhavig geval die beginsels werden nageleefd. 10. De doeleinden die de SPW-DOG7 nastreeft met de gevraagde gegevensverwerking, betreffen de vaststelling, de heffing en de inning van de belastingen en de fiscaliteit die van toepassing zijn op voertuigen, evenals het geschillenbeheer en de daarbij horende controle. 11. De aanvraag somt de normen op (wetten, decreten, koninklijke besluiten) die de wettelijke basis vormen van de gegevensverwerkingen waarvoor de gegevens van de DIV gewenst zijn. 12. Gelet op het voormelde reglementair kader, is het Comité van mening dat de SPW-DGO7 welbepaalde, uitdrukkelijke omschreven en gerechtvaardigde doeleinden nastreeft. De gevraagde gegevens kunnen voor deze doeleinden worden verwerkt. Het Comité moet nog onderzoeken of de doeleinden waarvoor de gegevens zullen worden gebruikt, verenigbaar zijn met de initiële verwerking die de DIV verrichtte. 13. Volgens de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen verzamelt en verwerkt de DIV die persoonsgegevens voor de volgende redenen: De Kruispuntbank heeft tot doel om enerzijds de opspoorbaarheid van voertuigen te waarborgen ( ) en anderzijds om op elk ogenblik de eigenaar ervan, de aanvrager en de titularis van hun inschrijving te identificeren, alsook de gegevens betreffende hun goedkeuring te achterhalen teneinde :
Beraadslaging FO 20 /2013-5/10 1 de ontwikkeling van een doeltreffend mobiliteitsbeleid met oog voor veiligheid en leefmilieu te vergemakkelijken en te ondersteunen; ( ) 8 de heffing van belastingen, retributies of vergoedingen inzake de aankoop, de inschrijving, de inverkeerstelling, het gebruik, de buitengebruikstelling of de overbrenging van een voertuig mogelijk te maken;( ). De wet van 19 mei 2010 is evenwel nog niet in werking getreden (zie artikel 40 van die wet). 14. Zolang de voormelde wet van 19 mei 2010 niet in werking is getreden, geldt het koninklijk besluit van 20 juli 2001 betreffende de inschrijving der voertuigen 6. Artikel 6, 2 van dit koninklijk besluit somt eveneens de doeleinden op waarvoor de DIV gegevens mag verwerken: De doeleinden waarvoor de persoonsgegevens van het repertorium mogen worden verwerkt, zijn : ( ) 2 de identificatie van de natuurlijke of rechtspersoon die belastingen of retributies verschuldigd is inzake de verwerving, de inschrijving, de inverkeerstelling, het gebruik of de buitengebruikstelling van een voertuig; ( ). 15. Het Comité is van mening dat de doeleinden waarvoor de SPW-DGO7 de gegevens verwerkt, verenigbaar zijn met de initiële verwerking van de DIV, gelet op de toepasselijke wettelijke bepalingen. Het Comité stelt vast dat krachtens artikel 2 van het decreet van 5 maart 2008 houdende invoering van een ecomalus op de CO2-emissies ( ) 7, dat de ecomalussen die het DGO7 beheert, belastingelementen zijn van de inverkeerstelling van een voertuig. Krachtens het Decreet van 17 januari 2008 houdende invoering van een ecobonus ( ) wordt het beheer van dit recht - dat samengaat met de inverkeerstelling van een voertuig toevertrouwd aan datzelfde DGO7. Daarnaast bepaalt artikel 16 van datzelfde decreet dat de terugbetaling van de onrechtmatig gekregen econbonus zal gebeuren in toepassing van bepaalde artikelen van het decreet van 6 mei 1999 betreffende de vestiging, de invordering en de geschillen inzake de Waalse gewestelijke belastingen. 6 Dit koninklijk besluit regelt vandaag nog altijd de toegang tot die gegevens in afwachting van de inwerkingtreding van de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen. 7 Dit artikel voegt een artikel 97 bis in, in het Wetboek met inkomstenbelastingen gelijkgestelde belastingen.
Beraadslaging FO 20 /2013-6/10 2. PROPORTIONALITEITSBEGINSEL 2.1. Aard van de gegevens 16. Artikel 4, 1, 3 van de WVP bepaalt dat de persoonsgegevens toereikend, ter zake dienend en niet overmatig moeten zijn uitgaande van de doeleinden waarvoor zij werden verkregen en verder worden verwerkt. 17. De SPW-DGO7 vraagt toegang tot de volgende informatiegegevens: a) gegevens betreffende de aard van het voertuig en de identificatie van het voertuig; b) technische gegevens van het ingeschreven voertuig c) identificatiegegevens van de eigenaar van het ingeschreven voertuig. De gegevens a) strekken ertoe de belasting te bepalen, terwijl de gegevens b) dienen om de belastingen te vestigen, met name de berekening van de belastingbedragen evenals de verminderingen en de vrijstellingen. Uit de aanvraag blijkt dat, gelet op de voortdurende evolutie in fiscale zaken, het DGO7 geïnteresseerd is in alle beschikbare, technische gegevens van het voertuig omdat die gegevens op termijn in aanmerking kunnen komen voor de bepaling en de vestiging van de belasting. De gegevens onder c) betreffen de beschikbare gegevens betreffende de identificatie van de eigenaar van het voertuig. Gelet op de doeleinden van de aanvrager en gelet op de motivering in de aanvraag, besluit het Comité dat de gevraagde gegevens in overeenstemming zijn met artikel 4, 1, 3 van de WVP. Het Comité benadrukt evenwel dat voor wat de identificatiegegevens betreft het Rijksregister de authentieke bron blijft en dat de DIV van haar kant de authentieke bron blijft voor de identificatiegegevens van voertuigen. 2.2. Bewaartermijn van de gegevens 18. Aangaande de bewaartermijn van de gegevens, herinnert het Comté eraan dat de gegevens niet langer mogen worden bewaard dan de tijd die nodig is om de doeleinden te verwezenlijken waarvoor die gegevens werden verkregen (artikel 4, 1, 5 van de WVP). 19. Volgens de aanvrager is het niet eenvoudig om een exacte bewaartermijn te bepalen. Een geschildossier kan bijvoorbeeld langer aanslepen dat een normaal dossier. Hij stelt voor
Beraadslaging FO 20 /2013-7/10 om de gegevens te bewaren voor de tijd die nodig voor het administratief beheer van de dossiers. Die termijn varieert per dossier. 20. Het Comité stelt inderdaad vast dat de bewaartermijn van de gegevens niet eenvoudig te bepalen is. Hiervoor verwijst het Comité naar punt 31 en volgende en naar punt 42 van de voormelde beraadslaging RR 32/2013. Gelet op wat voorafgaat, is het Comité van oordeel dat de aanvrager de gevraagde gegevens conform artikel 4, 1, 5 van de WVP, bewaart gedurende de tijd die hij nodig heeft om de bedoelde belastingen en taksen te innen. Het Comité vestigt de aandacht op het feit dat de gegevens bij een juridische procedure evenwel moeten bewaard worden voor de tijd die nodig is om deze procedure tot een goed einde te brengen. 21. Het Comité benadrukt dat er in de praktijk tijdens de bewaarperiode verschillende bewaarmethodes kunnen worden toegepast. De afwerking van een lopend dossier vereist dat de gegevens zodanig worden bewaard dat ze beschikbaar en toegankelijk zijn voor de ambtenaren die het dossier moeten behandelen. Zodra een dossier geklasseerd wordt, moeten de gegevens slechts beperkt beschikbaar en toegankelijk zijn. Met een dergelijke bewaarmethode kan eventueel worden tegemoetgekomen aan andere doeleinden, zoals de eerbiediging van de wettelijke bepalingen inzake verjaring of het verrichten van een administratieve controle. Zodra het nut van de bewaring vervalt, moeten de gegevens niet langer worden bewaard. 2.3. Frequentie van de toegang en duur van de machtiging 22. Aangaande de toegang verduidelijkt de aanvraag dat het doel van het DGO7 erin bestaat om met de gegevens van de DIV een intern voertuigkenmerkenbank op te richten. Deze gegevensbank zou met regelmatige tussenpozen worden bijgewerkt (wekelijks in een eerste fase en vervolgens dagelijks). De uitwisseling van de gegevens zal gebeuren via bestanden die worden gedropt op een beveiligde FTP-server zoals dat momenteel het geval is voor de FOD Financiën. De aanvrager verduidelijkt dat in de toekomst het gebruik van de websitediensten zou kunnen worden geïntegreerd in de transactionele functionaliteiten van zijn applicaties. Vandaag is dat evenwel nog niet het geval. Iedere applicatie van de DGO7 zou die gegevens uithalen die nuttig zijn voor de werking ervan in deze voertuigenkenmerkenbank (punt 4). De beheersinstelling merkt op dat de hierboven omschreven procedure die erin bestaat een kopie te maken van de gegevens van de DIV, niet conform lijkt te zijn met het principe van
Beraadslaging FO 20 /2013-8/10 de authentieke bronnen. Maar in het licht van de huidige stand van de techniek, lijkt die procedure de meest performante te zijn. Het Comité is dientengevolge van mening dat die toegang gepast is en dus in overeenstemming met de bepalingen van artikel 4, 1, 3 van de WVP. Het Comité verzoekt de aanvrager evenwel om in zijn eigen belang zo snel mogelijk over te gaan tot een dagelijks bijwerking van de gegevens en in de mate van het mogelijke, beroep te doen op de diensten van de website, wat volledig in overeenstemming is met het principe van de authentieke bronnen. Daarom behoudt het Comité zich het recht om terug te komen op de voorwaarden voor de doorgifte naargelang de transmissiemodus technologisch evolueert. 23. Er wordt ook toegang gevraagd voor onbepaalde duur. De regelgeving beperkt inderdaad de bovenvermelde opdrachten van de aanvraag niet in de tijd. Het Comité acht het dus gepast dat een machtiging voor onbepaalde duur wordt gevraagd (artikel 4, 1, 3 van de WVP). 2.4. Personeel die toegang heeft tot de gegevens en de bestemmelingen aan wie de gegevens mogen verstrekt worden 24. Binnen de DGO7 zullen de hiernavolgende diensten toegang hebben tot de gegevens: - Directie Vaststelling Voertuigenfiscaliteit - Directie Controles Voertuigenfiscaliteit - Directie Geschillen inzake Voertuigenfiscaliteit. De toegang tot de gegevens wordt beperkt tot de persoon belast met het beheer van de voertuigenfiscaliteit, meer bepaald: - de directeur - de ontvangers - de controleurs - de belasting vaststellende ambtenaren. 25. Als er sprake is van meerdere, behandelende ambtenaren, herinnert het Comité eraan dat er een lijst moet worden opgemaakt van die ambtenaren en dat de lijst ter beschikking van het Comité moet worden gehouden.
Beraadslaging FO 20 /2013-9/10 26. De aanvraag verduidelijkt eveneens dat de gegevensverwerkende dienstenverstrekker, die de betalingsverzoeken en de aanslagbiljetten zal drukken, ook toegang zal hebben tot de gegevens. Hier benadrukt het Comité dat in het kader van een gegevensverwerkersovereenkomst, artikel 16 van de WVP met betrekking tot de vertrouwelijkheid en de beveiliging van de verwerking moet worden nageleefd. 27. In het licht van artikel 4, 1, 3 van de WVP heeft het Comité geen tegenwerpingen tegen het feit dat de bovenvermelde personen toegang hebben tot de bedoelde persoonsgegevens, op voorwaarde dat zij slechts toegang hebben binnen het kader van hun bevoegdheden die hen krachtens de regelgeving werden toevertrouwd. Het Comité verzoekt de aanvrager eveneens om de noodzakelijke technische en organisatorische maatregelen te treffen zodat alleen deze personen toegang kunnen hebben. 3. TRANSPARANTIEBEGINSEL 28. Het Comité herinnert eraan dat een eerlijke gegevensverwerking transparant verloopt. De informatieplicht is een van de hoekstenen van een transparante verwerking. 29. In onderhavig geval worden de geplande verwerkingen verricht in toepassing van de bepalingen die werden opgelegd door of krachtens een wet, decreet of ordonnantie. Krachtens artikel 9, 2, 2 de lid, b) van de WVP is er in dergelijk geval een vrijstelling van informatieplicht. 30. Deze vrijstelling sluit evenwel niet uit dat het Comité het bestaan kan nagaan van afdoende garanties ter bescherming van de fundamentele rechten van de betrokken personen. Op dit punt volstaat het om de betrokkenen algemene informatie te verstrekken over het feit dat de hen betreffende gegevens afkomstig zijn van de DIV en voor welk doeleinde ze verwerkt worden. Die informatie zou bijvoorbeeld kunnen vermeld staan op de documenten die hen worden toegestuurd. Daarnaast zou die informatie bijvoorbeeld kunnen worden verstrekt via de website van de SPW-DGO7. 4. BEVEILIGING 4.1. Bij de DIV 31. Er blijkt uit de documenten die de DIV verstrekte (beraadslagingen FO 25/2012 van 20 september 2012 en FO 29/2012 van 6 december 2012) dat zij beschikken over een
Beraadslaging FO 20 /2013-10/10 Consulent inzake informatiebeveiliging en over een beveiligingsbeleid. Het Comité neemt hiervan akte. 4.2. Bij de SPW-DGO7 32. Aan de hand van de documenten die de SPW-DGO7 verstrekte, stelt het Comité vast dat de SPW-DGO7 beschikt over een consulent inzake informatiebeveiliging alsook over een beveiligingsbeleid en een uitvoeringsplan. Het inlichtingenformulier van de SPW-DGO7 vermeldt meer bepaald dat de permanente registratie van de identiteit van de eenheden die toegang hebben gehad tot de persoonsgegevens (punt 11 van het evaluatieformulier) zullen gebeuren tijdens het toegangsproces tot de gegevens van de DIV. het Comité dringt erop aan dat dit daadwerkelijk wordt ingevoerd omdat deze mogelijkheid om de toegangen op te sporen essentieel is om toegang te hebben tot een gegevensbank als de DIV. Om die redenen Het Comité Machtigt de Service Public de Wallonie, Direction Générale Opérationnelle de la Fiscalité en de DIV, om de gegevensverwerking zoals omschreven in de aanvraag, te verwezenlijken op voorwaarde dat de opmerkingen onder punten 17, 20 tot 22, 25 tot 27 en 30 nageleefd worden. De Wnd. Administrateur, De Voorzitter, (get.) Patrick Van Wouwe (get.) Willem Debeuckelaere