Over de verwerking van persoonsgegevens door publiq vzw in het kader van de uitvoering van een Vlaamse vrijetijdspas #1571

ingediend op1571 (2022-2023) – Nr. 2 9 maart 2023 (2022-2023) verzendcode: CUL Advies van de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens over het voorstel van decreet van Cathy Coudyser, Orry Van de Wauwer, Stephanie D’Hose, Marius Meremans, Karin Brouwers en Manuela Van Werde over de verwerking van persoonsgegevens door publiq vzw in het kader van de uitvoering van een Vlaamse vrijetijdspas Documenten in het dossier: : Voorstel van decreet Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens, autonome dienst met rechtspersoonlijkheid tekst Voorstel van decreet van van het Vlaams Parlement titel over de verwerking van persoonsgegevens door publiq vzw in het kader van de uitvoering van een Vlaamse vrijetijdspas roepnaam (decreet Vrijetijdspas) datum zoals ingediend bij het Vlaams Parlement op 8 februari 20231 De Vlaamse Toezichtcommissie (hierna "de VTC"); Gelet op het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer (hierna: “het egovdecreet”), inzonderheid artikel 10/4, §1; Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna AVG), inzonderheid artikel 36, 4, artikel 57, 1, c) en artikel 58, 3; Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG”); Gelet op het verzoek om advies bij hoogdringendheid van mevrouw Liesbeth Homans, voorzitter van het Vlaams Parlement, van 14 februari 2022, ontvangen door de VTC op 15 februari 2022; Gelet op de behandeling op de zitting van 6 maart 2023; Brengt op 6 maart 2023 het volgend advies uit: I. VOORWERP VAN DE ADVIESAANVRAAG 1. De voorzitter van het Vlaams Parlement (hierna “de adviesvrager”) verzocht om het advies van de Vlaamse Toezichtcommissie (hierna “VTC”) over een voorstel van decreet over de verwerking van persoonsgegevens door publiq vzw in het kader van de uitvoering van een Vlaamse vrijetijdspas (hierna “het Ontwerp). 1 Stuk . Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens Advies wetgeving VTC nr. 2023/026 van 6 maart 2023 over Vlaams Parlement1571 (2022-2023) – Nr. 2 3 VTC/A/W/2023/026/AT 2. Het advies werd gevraagd bij hoogdringendheid die als volgt werd gemotiveerd: “De hoogdringendheid steunt op de vaststelling dat de dienstverlening die publiq met de UiTPAS aanbiedt in het gedrang komt. Hiervoor heeft publiq nood aan toegang tot het rijksregister, en de federale overheid vereist voor deze toegang een voldoende juridische grondslag. Met de UiTPAS-managers is hiervoor eind april als deadline gesteld. De UiTPAS-managers vormen een belangrijk forum voor de aansturing van UiTPAS. Zij zijn tewerkgesteld door de lokale besturen of regionale samenwerkingsverbanden die regelmatig samenkomen. De daar afgesproken timing dient te worden gerespecteerd. Ze is zo ingepast in de planning van meerdere partners. De hele dienstverlening van de lokale besturen is hieraan aangepast, net als de communicatie naar de doelgroep zelf. Het voorstel van decreet dat voor advies voorligt vormt, in afwachting van het toekomstige decreet rond digitale transformatie dat de basis voor de werking van publiq zal vormen, deze juridische grondslag.” 3. Aangezien de adviesbevoegdheid van de VTC op grond van artikel 10/4, § 1 van het e-govdecreet betrekking heeft op de verwerkingen van persoonsgegevens, is haar adviesverlening hiertoe beperkt. Context 4. De vzw publiq ontvangt al enkele jaren een subsidie van de Vlaamse Gemeenschap voor het ontwikkelen en beheren van een Vlaamse vrijetijdspas, de zogenaamde UiTPAS. De UiTPAS bestaat uit een programma van voordeelkaarten voor de toegang tot het Vlaamse vrijetijdsaanbod, met bijzondere aandacht voor mensen met een kansenstatuut. 5. Op de kredieten van de algemene uitgavenbegroting van de Vlaamse Gemeenschap voor het begrotingsjaar 2023, begrotingsartikel HB0-1HBA2AA-WT, wordt een bedrag van 829.258,00 euro toegekend aan publiq vzw voor de uitrol van de UiTPAS in 2023. 6. Om de continuïteit van de UiTPAS-dienstverlening te verzekeren is een automatische koppeling met het Rijksregister en het MAGDA-platform nodig (MAGDA: maximale gegevensdeling tussen administraties). Het is immers op basis van die gegevens dat publiq nagaat of bepaalde personen recht hebben op een kansenstatuut en het bijbehorende kortingstarief. De voorwaarde om toegang te krijgen tot die automatische koppeling is dat bepaalde essentiële elementen met betrekking tot de verwerking van persoonsgegevens decretaal verankerd worden. 7. Het Ontwerp wil een wettelijke grondslag geven aan de bedoelde gegevensverwerking. II. ONDERZOEK VAN DE ADVIESAANVRAAG 1. Voorafgaande toelichting 8. De VTC had in 2022 al een advies verleend over een ontwerp van ministerieel besluit en daarbij volgende verbeterpunten geadviseerd: in artikel 1 § 4 het woord “betrokken” wijzigen in “betrokkenen” (luik 1); de rechtvaardigingsgrond toevoegen aan het Ontwerp (luik 2); de essentiële elementen binnen een jaar opnemen in decreet en het Ontwerp aanpassen aan het advies (luik 2); het doeleinde opnemen in het Ontwerp (luik 3); verduidelijken wat bedoeld wordt met “collectieve marketing” (luik 3); een gegevensbeschermingseffectenbeoordeling uitvoeren (luik 4); geboorteplaats, geslacht en nationaliteit niet verwerken (luik 5); “kansenstatuut” definiëren (luik 5); VTC/A/W/2023/026/AT de nodige maatregelen nemen voor de juistheid van de gegevens (luik 6); de transparantiemaatregelen uitwerken (luik 7). 9. De VTC stelt vast dat de personen van wie gegevens worden verzameld en uitgewisseld de volgende zijn: de houders van een UitPAS; en dat het minstens de volgende gegevens betreft: identificatiegegevens waaronder het rijksregisternummer; het al dan niet vallen onder een …