Tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft (opschrift gewijzigd door de plenaire vergadering: ... tot wijziging van diverse decreten, wat het beheren en bewaren van bestuursdocumenten en persoonsgegevens betreft) #2016

ingediend op2016 (2023-2024) – Nr. 3 26 april 2024 (2023-2024) verzendcode: BIN Advies van de Gegevensbeschermingsautoriteit over het voorstel van decreet van Andries Gryffroy, Stijn De Roo, Willem-Frederik Schiltz, Philippe Muyters, Brecht Warnez en Arnout Coel tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft Documenten in het dossier: : Voorstel van decreet – Nr. 2: Advies van de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens Vlaams Parlement 1/23 Advies nr. 37/2024 van 26 april 2024 Betreft: een voorstel van decreet tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat betreft de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft (CO-A-2024-086) Het Kenniscentrum van de Gegevensbeschermingsautoriteit (hierna de “Autoriteit”), aanwezig: mevrouw Juline Deschuyteneer, mevrouw Cédrine Morlière, mevrouw Nathalie Ragheno en mevrouw Griet Verhenneman en de heren Yves-Alexandre de Montjoye, Bart Preneel en Gert Vermeulen; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikelen 23 en 26 (hierna “WOG”); Gelet op artikel 25, lid 3, WOG volgens hetwelk de beslissingen van het Kenniscentrum bij meerderheid van stemmen worden aangenomen; Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna “AVG”); Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG”); Gelet op het verzoek om advies van mevrouw Liesbeth Homans, Voorzitter Vlaams Parlement (hierna "de aanvrager"), ontvangen op 01/03/2024; Gelet op de bijkomende inhoudelijke toelichting, ontvangen op 29/03/2024; ■ ■ ■■ ■■ ■ ■ Autorité de protection des données Gegevensbeschermingsautoriteit Vlaams Parlement2016 (2023-2024) – Nr. 3 3 Advies 37/2024 - 2/23 Brengt op 26 april 2024 het volgend advies uit: I. VOORWERP VAN DE ADVIESAANVRAAG 1. De aanvrager verzoekt om het advies van de Autoriteit aangaande een voorstel van decreet tot wijziging van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer en van het Bestuursdecreet van 7 december 2018, wat betreft de bewaartermijnen van bestuursdocumenten en persoonsgegevens betreft (hierna "voorstel van decreet"). Context 2. Het voorstel van decreet beoogt, volgens het adviesaanvraagformulier, in het bijzonder: “tegemoet te komen aan de vereiste om de maximale bewaartermijn als essentieel element (algemeen) decretaal vast te leggen (…) voor vaak voorkomende processen/procedures/verwerkingen (…) . Alzo wordt verhinderd dat specifieke decreten moeten worden gewijzigd om een maximale bewaartermijn te voorzien. (…) De concrete verwerkingen met de andere essentiële elementen zijn geregeld in de betreffende decreten en besluiten. De verwerkingen as such worden aldus niet in het voorstel van decreet zelf geregeld.” 3. In de algemene toelichting (p. 1-2) wordt in dat kader verwezen naar: - het standpunt van minister van Binnenlandse Zaken bij het onderzoek van aanvragen om toegang tot gegevens van het Rijksregister: “Bij het onderzoek van de aanvraag om toegang te krijgen tot de gegevens van het Rijksregister, verwacht het Rijksregister dat de vijf essentiële elementen decretaal zijn vastgelegd, namelijk de categorie van verwerkte gegevens, de categorie van betrokken personen, de doelstelling die met de verwerking wordt nagestreefd, de categorie van personen die toegang hebben tot de verwerkte gegevens en de maximumtermijn voor het bewaren van de gegevens. (…) Als volgens het Rijksregister een essentieel element ontbreekt of onvoldoende concreet is bepaald, verwacht het een aanpassing van het decreet in kwestie. In het beste geval wordt dan een tijdelijke machtiging voor een jaar verleend in afwachting dat aan het decreet -binnen dat jaar- onder meer de decretale bepaling van de maximale bewaartermijn is toegevoegd. Pas na die decretale aanpassing kan de machtiging worden verlengd.” - de adviezen van de Raad van State (inzonderheid inzake toepassing van artikel 22 van de Grondwet)1: advies 68.936/AV van 7 april 2021; advies 69.535/3 van 5 juli 2021; advies 72.168/1 “artikel 22 van de Grondwet waarborgt aan elke burger dat geen enkele inmenging in het recht op eerbiediging van het privéleven kan plaatsvinden dan krachtens regels die zijn aangenomen door een democratisch verkozen beraadslagende vergadering, doordat het aan de bevoegde wetgever de bevoegdheid voorbehoudt om vast te stellen in welke gevallen en onder welke voorwaarden afbreuk kan worden gedaan aan dat recht. Een delegatie aan een andere macht is niet in strijd met het . . . . . . Advies 37/2024 - 3/23 van 13 december 2022; advies 72.624/3 van 28 februari 2023; advies 73.180/1 van 29 maart 2023; advies 73.612/1 van 13 juli 2023; advies 74.680/16 van 11 december 2023; advies 74.636/3 van 12 december 2023; advies 74.682/16 van 20 december 2023; advies 74.863/1 van 21 december 2023. 4. Het voorstel van decreet strekt er dus, voornamelijk, toe om een aantal algemeen geldende bewaartermijnen uit te werken voor de in bestuursdocumenten opgenomen persoonsgegevens die worden verwerkt in het kader van vaak voorkomende processen/procedures en verwerkingen en zulks om te vermijden dat specifieke decreten (waarin de andere essentiële elementen van een welbepaalde gegevensverwerking worden vastgesteld) moeten worden gewijzigd/aangevuld om aldaar de (concrete) maximale bewaartermijnen vast te leggen. Hiertoe wordt artikel III.87 …