Aanvraag voor machtiging voor de elektronische mededeling van persoonsgegevens

De procedure in een notendop

De schriftelijke machtigingsaanvraag wordt gericht aan de Commissie voor de bescherming van de persoonlijke levenssfeer, Hoogstraat 139 te 1000 Brussel.

De Commissie stuurt de machtigingsaanvraag vervolgens naar het Sectoraal comité voor de Federale Overheid en naar de Federale Overheidsdienst voor Informatie- en Communicatietechnologie (FEDICT).

De termijnen die in de wet bepaald zijn, gaan slechts in vanaf het ogenblik dat het dossier volledig is. De vlotte behandeling van een machtigingsaanvraag is in hoge mate afhankelijk van het feit of de aanvraag volledig, duidelijk en goed gemotiveerd is.

Vanaf het ogenblik dat het dossier volledig is, beschikt de FOD Informatie- en Communicatietechnologie over een termijn van 15 dagen om technisch en juridisch advies te bezorgen aan het Sectoraal comité voor de Federale Overheid.

Om zich over de machtigingsaanvraag uit te spreken, beschikt het Sectoraal comité voor de Federale Overheid over 30 dagen, hetzij vanaf de ontvangst van dit technisch en juridisch advies, hetzij vanaf het verstrijken van de termijn van 15 dagen wanneer geen juridisch en technisch advies werd bezorgd. Indien het Sectoraal comité voor de Federale Overheid zich niet uitspreekt binnen die termijn, wordt de uitspraak geacht overeen te stemmen met het technisch en juridisch advies.

Praktische informatie

Om de taak van de aanvrager te vergemakkelijken wordt hierna toegelicht welke informatie de aanvraag moet bevatten. In combinatie met het modelformulier dat op de site terug te vinden is, zou de aanvraagprocedure vlot moeten verlopen.

Opdat het Sectoraal comité voor de Federale Overheid zou kunnen beoordelen of de normen van de Privacywet betreffende de beveiliging van het informatiesysteem dat persoonsgegevens verwerkt worden nageleefd, moet elke aanvraag vergezeld gaan van het “Evaluatieformulier voor elkeen die een elektronische mededeling van gegevens wenst te verkrijgen en aangaande de referentiemaatregelen voor de beveiliging van elke verwerking van persoonsgegevens” (evaluatieformulier.pdf) (evaluatieformulier.doc). Dit formulier moet volledig ingevuld en ondertekend worden.

Die vragenlijst is gebaseerd op een document dat de Commissie uitbracht, met name “Referentiemaatregelen voor de beveiliging van elke verwerking van persoonsgegevens”.

Aanvraag voor machtiging voor het verkrijgen van elektronische mededeling van persoonsgegevens van een FOD of van een overheidsinstantie met rechtspersoonlijkheid behorende tot de Federale Overheid

De aanvraag voor een elektronische mededeling moet de elementen bevatten die worden vermeld in het formulier voor de aanvraag van een machtiging. Het Sectoraal comité voor de Federale Overheid onderzoekt of het dossier in staat van behandeling is. Zoniet, worden bijkomende inlichtingen gevraagd.

Informatie over de aanvrager

De aanvrager is de natuurlijke persoon of rechtspersoon die een elektronische mededeling van persoonsgegevens wenst te verkrijgen van een FOD of van een overheidsinstantie met rechtspersoonlijkheid behorende tot de Federale Overheid . Zij dient volgende gegevens mede te delen:

  • naam;
  • adres;
  • contactgegevens van de instelling (telefoon, fax, e-mail);
  • contactpersoon (naam, voornaam, eventueel de functie);
  • contactgegevens van deze persoon (telefoon, fax, e-mail).

Wanneer het gaat om een rechtspersoon moet naast de benaming ook de dienst worden vermeld die de persoonsgegevens zal ontvangen (directie, afdeling,…).

Informatie over de verzender

De verzender is de federale overheidsdienst, of een openbare instelling met rechtspersoonlijkheid die onder de Federale Overheid ressorteert, van waaruit de elektronische mededeling van persoonsgegevens gebeurt. De volgende gegevens van de verzender dienen vermeld te worden:

  • naam;
  • adres;
  • contactgegevens van de instelling (telefoon, fax, e-mail).

Naast de naam van de instelling moet op het aanvraagformulier voor machtiging ook de dienst worden vermeld die de persoonsgegevens zal verzenden (directie, afdeling,…).

Opgave van de doeleinde(n) waarvoor de toegang of de mededeling werd verzocht

Dit is een belangrijk element bij de beoordeling van de aanvraag door het Comité. Het is immers op basis van het doeleinde dat het Comité kan nagaan of de gevraagde persoonsgegevens toereikend, ter zake dienend en niet overmatig zijn.

De doeleinden moeten:

  • welbepaald zijn: opgave van wat er met de persoonsgegevens zal gebeuren om zowel het sectoraal comité als de persoon wiens gegevens worden verwerkt zo volledig mogelijk te informeren;
  • uitdrukkelijk omschreven zijn: het doel moet niet alleen duidelijk zijn voor het sectoraal comité, het moet ook zo precies mogelijk omschreven zijn zodat de inhoud voor elke burger begrijpelijk is;
  • gerechtvaardigd zijn: aantonen dat er een evenwicht bestaat tussen het belang van de betrokkenen (wiens persoonsgegevens verwerkt worden) om hun rechten en vrijheden te bewaren en het belang van de aanvrager.

De volgende elementen maken het mogelijk om de legitimiteit van het doeleinde van de verwerking te beoordelen:

  • de wetten, decreten of ordonnanties die om ze te kunnen uitvoeren mededeling vereisen;
  • de wetten, decreten of ordonnanties die de basis vormen van de opdracht van algemeen belang die aan de aanvrager werd toevertrouwd en die mededeling vereisen om de opdracht te kunnen uitvoeren;
  • het belang voor de aanvrager om mededeling te bekomen in het kader van zijn taken.

Per gegeven

  • Aanduiding van de exacte behoefte: betreft het eenmalige mededeling dan wel mededeling volgens een bepaalde frequentie of betreft het permanente toegang?;
  • bewijs van proportionaliteit: de belangen van de betrokkene, wiens persoonsgegevens verwerkt worden, en de belangen van de aanvrager moeten tegenover elkaar worden afgewogen;
  • de voorziene bewaarduur: de bewaartermijn van de persoonsgegevens. Na het verstrijken van die termijn moeten de persoonsgegevens vernietigd worden.

Informatie aan de betrokken personen

De aanvrager moet vermelden welke maatregelen hij heeft genomen om de betrokken persoon in te lichten dat zijn persoonsgegevens zullen worden medegedeeld (via welk kanaal, op welk tijdstip en welke informatie).

Hoedanigheid en functie van de personen die toegang hebben tot de informatie

Het is wenselijk dat de toegang tot de informatie niet wordt toegekend volgens nader aangeduide organieke criteria maar volgens functionele criteria. Enkel personen die omwille van hun functieprofiel deze informatie nodig hebben voor de uitvoering van hun werk, krijgen toegang tot de informatie.

Wanneer de verwerkte gegevens, gegevens zijn zoals bedoeld in artikel 6 (gevoelige gegevens), 7 (gezondheidsgegevens) en 8 (gerechtelijke gegevens), moeten ook de categorieën personen aangeduid worden die toegang hebben tot de gegevens, waarbij hun functie in de verwerking nauwkeurig wordt omschreven.

De verantwoordelijke voor de verwerking (of de verwerker) moet de lijst van de categorieën van personen ter beschikking houden van de Commissie voor de bescherming van de persoonlijke levenssfeer.

Geheimhoudingsplicht voor de personen die gegevens verwerken zoals bedoeld in de artikelen 6,7 en 8 van de Privacywet

Omwille van hun bijzondere aard zijn de gegevens bedoeld in de artikelen 6 (gevoelige gegevens), 7 (gezondheidsgegevens) en 8 (gerechtelijke gegevens) ond erworpen aan specifieke beveiligingsmaatregelen.

De verantwoordelijke voor de verwerking moet erover waken dat de personen die de gegevens verwerken, gebonden zijn aan een wettelijke of statutaire bepaling of een gelijkwaardige contractuele bepaling die stelt dat de vertrouwelijkheid van de verwerkte gegevens geëerbiedigd moet worden.

Beveiliging van het informatiesysteem van de aanvrager

Het informatiesysteem van de aanvrager moet aan bepaalde beveiligingsnormen beantwoorden.

Deze normen zijn nader omschreven in “Referentiemaatregelen voor de beveiliging van elke verwerking van persoonsgegevens”, aanbevolen door de Commissie voor de bescherming van de persoonlijke levenssfeer.

Opdat het Sectoraal comité voor de Federale Overheid zou kunnen beoordelen of al deze punten worden nageleefd, moet de aanvrager de vragenlijst invullen, die het mogelijk maakt de beveiliging van het informatiesysteem dat persoonsgegevens verwerkt te toetsen aan de Privacywet (evaluatieformulier.pdf) (evaluatieformulier.doc).