Tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft (opschrift gewijzigd door de plenaire vergadering: ... tot wijziging van diverse decreten, wat het beheren en bewaren van bestuursdocumenten en persoonsgegevens betreft) #2016

ingediend op2016 (2023-2024) – Nr. 2 21 maart 2024 (2023-2024) verzendcode: BIN Advies van de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens over het voorstel van decreet van Andries Gryffroy, Stijn De Roo, Willem-Frederik Schiltz, Philippe Muyters, Brecht Warnez en Arnout Coel tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft Documenten in het dossier: : Voorstel van decreet Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens, autonome dienst met rechtspersoonlijkheid tekst Voorstel van decreet van van het Vlaams Parlement titel tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft roepnaam (decreet bewaartermijnen) datum zoals ingediend bij het Vlaams Parlement op 13 februari 2024 (stuk ) trefwoorden Essentiële elementen; bewaartermijnen; archief; protocol; privé-organisaties; De Vlaamse Toezichtcommissie (hierna "de VTC"); Gelet op het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer (hierna: “het egovdecreet”) inzonderheid artikel 10/4, §1; Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna AVG), inzonderheid artikel 36, 4, artikel 57, 1, c) en artikel 58, 3; Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG”); Gelet op het verzoek om advies van de mevrouw Liesbeth Homans, voorzitter van het Vlaams Parlement van 28 februari 2024, ontvangen door de VTC op 27 december 2024; Gelet op de behandeling op de zitting van 19 maart 2024; Brengt op 19 maart 2024 het volgend advies uit: I. VOORWERP VAN DE ADVIESAANVRAAG 1. De voorzitter van het Vlaams Parlement (hierna “de adviesvrager”) verzocht om het advies van de Vlaamse Toezichtcommissie (hierna “VTC”) over voorstel van decreet van Andries Gryffroy, Stijn De Roo, Willem-Frederik Schiltz, Philippe Muyters, Brecht Warnez en Arnout Coel tot wijziging van het decreet van 18 juli 2008 betreffende Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens Advies wetgeving VTC nr. 2024/034 van 19 maart 2024 over Vlaams Parlement2016 (2023-2024) – Nr. 2 3 VTC/A/W/2024/034/AT het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft (hierna “het Ontwerp”). 2. Aangezien de adviesbevoegdheid van de VTC op grond van artikel 10/4, § 1 van het e-govdecreet betrekking heeft op de verwerkingen van persoonsgegevens, is haar adviesverlening hiertoe beperkt. Context 3. Het initiatief is deels een antwoord op de houding van het Rijksregister bij aanvragen om toegang te krijgen tot het Rijksregister. Het Rijksregister verwacht dat de vijf essentiële elementen van de gegevensverwerking decretaal zijn vastgelegd, waaronder de bewaartermijnen. Het verwijst hiervoor naar de gevestigde rechtspraak van het Grondwettelijk Hof en naar het advies van de Raad van State1 over de Pandemiewet dat daarop steunt. De adviesvrager verwijst zelf naar recentere adviezen van de Raad van State die dit bevestigen. 4. De adviesvrager legt uit dat het Rijksregister, als het van oordeel is dat een essentieel element van de verwerking ontbreekt in een decreet, slechts een tijdelijke machtiging van een jaar geeft met het oog op een aanpassing van het in het voorgelegde geval toepasselijke decreet in die periode. Volgens de adviesvrager is dit een suboptimale situatie (onderlijning VTC): “omdat die leidt tot een wildgroei aan snel of niet-onderbouwde en incoherente bewaartermijnen. Bovendien zorgt dat er ook voor dat er moeilijk(er) bijgestuurd kan worden: er is immers een decreetswijziging nodig als uit de praktijk andere inzichten zouden blijken. Tot slot leidt zo’n situatie ook tot tegenstrijdigheden met artikel III.87 en III.88 van het Bestuursdecreet, die vandaag al bewaartermijnen vereisen voor elke “categorie van bestuursdocumenten”. Dat alles kan ertoe leiden dat bewaartermijnen verkeerd geïnterpreteerd en toegepast worden, wat tot gevolg heeft dat informatie ofwel te lang bewaard wordt, ofwel te vroeg vernietigd wordt.” 5. Daarom wordt met het Ontwerp de bewaartermijn voor vaak voorkomende processen, procedures en verwerkingen algemeen vastgelegd. Dit gebeurt met een wijziging van artikel III. 87 van het Bestuursdecreet. 6. Met het Ontwerp worden nog twee andere zaken geregeld: - voor mededelingen op basis van andere grondslagen dan wettelijke verplichting en algemeen belang, zoals een overeenkomst, wordt geen protocol vereist (wijziging artikel 8, §1, eerste lid van het e-Govdecreet); - de entiteit die bevoegd is voor het facilitair management en documentbeheer mag bij het uitvoeren van de taken die nodig zijn voor het scannen van bestuursdocumenten, die bestuursdocumenten ook ontvangen en in voorkomend geval ook aftekenen in naam van de instantie (wijziging artikel III. 89/1 van het Bestuursdecreet). 7. Het laatste punt heeft geen betrekking op de verwerking van persoonsgegevens en zal hier dan ook niet besproken worden. II. ONDERZOEK VAN DE ADVIESAANVRAAG 1. Algemene bewaartermijnen 8. Artikel 4 van het Ontwerp geeft voor bestuursdocumenten die informatie over natuurlijke personen bevatten een maximale bewaartermijn per categorie. Het worden dan termijnen van respectievelijk 2, 5, 10, 30 en 110 jaar. 1 Raad van State 68.936/AV van 7 april 2021. VTC/A/W/2024/034/AT 9. Hiermee wordt minstens gedeeltelijk …