Over de gegevensverwerking en -uitwisseling door Toerisme Vlaanderen voor het programma 'Iedereen verdient vakantie' #1953

ingediend op1953 (2023-2024) – Nr. 3 23 februari 2024 (2023-2024) verzendcode: BUI Advies van de Gegevensbeschermingsautoriteit over het voorstel van decreet van Cathy Coudyser, Loes Vandromme, Emmily Talpe, Karl Vanlouwe, Karin Brouwers en Maarten De Veuster over de gegevensverwerking en -uitwisseling door Toerisme Vlaanderen voor het programma ‘Iedereen verdient vakantie’ Documenten in het dossier: : Voorstel van decreet – Nr. 2: Advies van de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens Vlaams Parlement 1/11 Advies nr. 12/2024 van 23 februari 2024 Betreft: Voorstel van decreet over de gegevensverwerking en -uitwisseling door Toerisme Vlaanderen voor het programma ‘Iedereen verdient vakantie’ (CO-A-2024-020) Het Kenniscentrum van de Gegevensbeschermingsautoriteit (hierna de “Autoriteit”), aanwezig: mevrouw Cédrine Morlière, mevrouw Nathalie Ragheno, en mevrouw Griet Verhenneman en de heren Yves-Alexandre de Montjoye en Bart Preneel; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikelen 23 en 26 (hierna “WOG”); Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna “AVG”); Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG”); Gelet op artikel 25, lid 3, WOG volgens hetwelk de beslissingen van het Kenniscentrum bij meerderheid van stemmen worden aangenomen; Gelet op het verzoek om advies van mevrouw Liesbeth Homans, Voorzitter van het Vlaams Parlement (hierna "de aanvrager"), ontvangen op 19/01/2024; Brengt op 23 februari 2024 het volgend advies uit: . . . . . . . . . . . . ■ ■ ■■ ■■ ■ ■ Autorité de protection des données Gegevensbeschermingsautoriteit Vlaams Parlement1953 (2023-2024) – Nr. 3 3 Advies 11/2024 - 2/11 I. VOORWERP VAN DE ADVIESAANVRAAG 1. De aanvrager verzoekt om het advies van de Autoriteit aangaande het voorstel van decreet over de gegevensverwerking en -uitwisseling door Toerisme Vlaanderen voor het programma ‘Iedereen verdient vakantie’ (hierna “het voorstel van decreet”). Context (en voorgaanden) 2. De toelichting bij het voorstel van decreet verduidelijkt dat “nog altijd te veel Vlamingen te maken krijgen met financiële of andere drempels die hen beletten om van een ontspannende vakantie te genieten. Samen met andere partners, maakt Toerisme Vlaanderen1 derhalve al meer dan twintig jaar vakantie mogelijk voor mensen die armoede als drempel voor het nemen van vakantie moeten ervaren.”2 3. De toelichting bij het voorstel van decreet stelt dat om continuïteit van de dienstverlening van Toerisme Vlaanderen in het netwerk ‘Iedereen verdient vakantie’ te verzekeren een automatische koppeling met het Rijksregister en het MAGDA-platform (Maximale Gegevensdeling tussen Administraties) van de Vlaamse Dienstenintegrator nodig is: “Het is immers op basis van die gegevens dat Toerisme Vlaanderen nagaat of bepaalde personen recht hebben op een kansenstatuut en het bijbehorende kortingstarief.” 3 4. Gelet “op de noodzaak van continuïteit van de dienstverlening, en de urgentie van de toegang tot het Rijksregister en het MAGDA-platform, worden in dit voorstel van decreet de essentiële elementen en afspraken met betrekking tot de verwerking van persoonsgegevens vastgelegd”.4 II. ONDERZOEK VAN DE AANVRAAG A. Voorgaande opmerkingen ➢ Legaliteits-en voorzienbaarheidsbeginsel 5. De Autoriteit wijst erop dat elke verwerking van persoonsgegevens een inmenging vormt in het recht op bescherming van de persoonlijke levenssfeer, dat is vastgelegd in artikel 8 EVRM en in artikel 22 van de Grondwet. Dit recht is echter niet absoluut. De artikelen 8 EVRM en 22 van de Grondwet 1 Een intern verzelfstandigd agentschap met rechtspersoonlijkheid, opgericht bij het decreet van 19 maart 2004 tot oprichting van het intern verzelfstandigd agentschap met rechtspersoonlijkheid `Toerisme Vlaanderen'. 2 Toelichting bij het voorstel van decreet, p. 1. 3 Toelichting bij het voorstel van decreet, p. 1. 4 Toelichting bij het voorstel van decreet, p. 1. Advies 11/2024 - 3/11 sluiten overheidsinmenging in het recht op bescherming van het privéleven (waar ook persoonsgegevens deel van uitmaken) niet uit, maar vereisen dat zij wordt toegestaan door een voldoende precieze wettelijke bepaling; dat zij beantwoordt aan een algemeen maatschappelijk belang en dat zij evenredig is met de daarmee nagestreefde wettige doelstelling5. Elke norm die de verwerking van persoonsgegevens regelt (en die van nature een inmenging vormt in het recht op bescherming van persoonsgegevens) moet niet alleen noodzakelijk en evenredig zijn, maar ook voldoen aan de eisen van voorspelbaarheid en nauwkeurigheid, zodat de betrokkenen, over wie gegevens worden verwerkt, een duidelijk beeld krijgen van de verwerking van hun gegevens. 6. De verwerking van persoonsgegevens die noodzakelijk is voor de vervulling van een wettelijke verplichting6 of voor de uitoefening van een opdracht van algemeen belang of in het kader van de uitoefening van het openbaar gezag die aan verwerkingsverantwoordelijke is toevertrouwd7, moet overeenkomstig artikel 6.3 AVG, gelezen in het licht van overweging 41 van de AVG, worden geregeld door duidelijke en nauwkeurige regelgeving, waarvan de toepassing voor de betrokkenen voorzienbaar moet zijn. Bovendien is het volgens artikel 22 van de Grondwet noodzakelijk dat de "wezenlijke elementen" van de gegevensverwerking door middel van een formele wettelijke norm worden vastgesteld. Het gaat hierbij minstens om: - het (de) precieze en concrete doeleinde(n) van de gegevensverwerkingen; - de aanduiding van de verwerkingsverantwoordelijke(n) (tenzij dit duidelijk is). Wanneer de overheidsinmenging evenwel een …