GRONDWETTELIJK HOF

Uittreksel uit arrest nr. 110/2022 van 22 september 2022 Rolnummers 7555, 7556, 7557, 7558, 7559 en 7560 In zake : de beroepen tot vernietiging van het decreet van het Waalse Gewest van 30 september 2020, van het decreet van de Duitstalige Gemeenschap van 12 oktober 2020, van artikel 2 van de wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0, van de ordonnantie van de Gemeenschappelijke Gemeenschapscommissie van 1 oktober 2020 en van het decreet van de Vlaamse Gemeenschap van 2 oktober 2020 « houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano », ingesteld door de vzw « Vivant Ostbelgien » en anderen en door de vzw « Ligue des droits humains ».

Het Grondwettelijk Hof, samengesteld uit de voorzitters P. Nihoul en L. Lavrysen, de rechters T. Giet, J. Moerman, M. Pâques, Y. Kherbache, T. Detienne, D. Pieters, S. de Bethune, E. Bribosia en W. Verrijdt, en, overeenkomstig artikel 60bis van de bijzondere wet van 6 januari 1989Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten op het Grondwettelijk Hof, emeritus rechter J.-P. Moerman, bijgestaan door de griffier P.-Y. Dutilleux, onder voorzitterschap van voorzitter P. Nihoul, wijst na beraad het volgende arrest : I. Onderwerp van de beroepen en rechtspleging a. Bij verzoekschrift dat aan het Hof is toegezonden bij op 12 april 2021 ter post aangetekende brief en ter griffie is ingekomen op 14 april 2021, is beroep tot vernietiging ingesteld van het decreet van het Waalse Gewest van 30 september 2020 « houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspectiediensten en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op grond van een gegevensbank bij Sciensano » (bekendgemaakt in het Belgisch Staatsblad van 15 oktober 2020, tweede editie) door de vzw « Vivant Ostbelgien », Diana Stiel, Alain Mertes en Michael Balter, bijgestaan en vertegenwoordigd door Mr.R. Fonteyn, advocaat bij de balie te Brussel. b. Bij verzoekschrift dat aan het Hof is toegezonden bij op 12 april 2021 ter post aangetekende brief en ter griffie is ingekomen op 14 april 2021, is beroep tot vernietiging ingesteld van het decreet van de Duitstalige Gemeenschap van 12 oktober 2020 « houdende instemming met het Samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie, betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano » (bekendgemaakt in het Belgisch Staatsblad van 15 oktober 2020, tweede editie) door de vzw « Vivant Ostbelgien », Diana Stiel, Alain Mertes en Michael Balter, bijgestaan en vertegenwoordigd door Mr.R. Fonteyn. c. Bij verzoekschriften die aan het Hof zijn toegezonden bij op 12 april 2021 ter post aangetekende brieven en ter griffie zijn ingekomen op 14 april 2021, zijn beroepen tot vernietiging ingesteld van artikel 2 van de wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0 « houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie, betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano » (bekendgemaakt in het Belgisch Staatsblad van 15 oktober 2020, tweede editie) door de vzw « Ligue des droits humains », bijgestaan en vertegenwoordigd door Mr.C. Forget, Mr. S. Najmi, advocaten bij de balie te Brussel, en Mr. R. Fonteyn, en door de vzw « Vivant Ostbelgien », Diana Stiel, Alain Mertes en Michael Balter, bijgestaan en vertegenwoordigd door Mr. R. Fonteyn. d. Bij verzoekschrift dat aan het Hof is toegezonden bij op 12 april 2021 ter post aangetekende brief en ter griffie is ingekomen op 14 april 2021, is beroep tot vernietiging ingesteld van de ordonnantie van de Gemeenschappelijke Gemeenschapscommissie van 1 oktober 2020 « houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspectiediensten en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op grond van een gegevensbank bij Sciensano » (bekendgemaakt in het Belgisch Staatsblad van 15 oktober 2020, tweede editie) door de vzw « Vivant Ostbelgien », Diana Stiel, Alain Mertes en Michael Balter, bijgestaan en vertegenwoordigd door Mr.R. Fonteyn. e. Bij verzoekschrift dat aan het Hof is toegezonden bij op 12 april 2021 ter post aangetekende brief en ter griffie is ingekomen op 14 april 2021, is beroep tot vernietiging ingesteld van het decreet van de Vlaamse Gemeenschap van 2 oktober 2020 « houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano » (bekendgemaakt in het Belgisch Staatsblad van 15 oktober 2020, tweede editie) door de vzw « Vivant Ostbelgien », Diana Stiel, Alain Mertes en Michael Balter, bijgestaan en vertegenwoordigd door Mr.R. Fonteyn.

Die zaken, ingeschreven onder de nummers 7555, 7556, 7557, 7558, 7559 en 7560 van de rol van het Hof, werden samengevoegd. (...) II. In rechte (...) Ten aanzien van de context van de bestreden akten B.1.1. De verzoekende partijen vorderen de vernietiging van het decreet van het Waalse Gewest van 30 september 2020 (zaak nr. 7555), van de ordonnantie van de Gemeenschappelijke Gemeenschapscommissie van 1 oktober 2020 (zaak nr. 7559), van het decreet van de Vlaamse Gemeenschap van 2 oktober 2020 (zaak nr. 7560), van artikel 2 van de wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0 (zaken nrs. 7557 en 7558) en van het decreet van de Duitstalige Gemeenschap van 12 oktober 2020 (zaak nr. 7556) « houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie, betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano » (hierna : het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3).

Via dat samenwerkingsakkoord komen de federale overheid, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie overeen om verscheidene gegevensbanken op te richten teneinde de manuele en digitale opsporing te regelen van de met COVID-19 besmette personen, van de personen die worden vermoed besmet te zijn en van hun contacten, teneinde de verspreiding van het virus te beperken.

B.1.2. De afdeling wetgeving van de Raad van State heeft, in haar advies nr. 67.719/VR van 15 juli 2020 over het voorontwerp van wet dat de bestreden wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0 is geworden, het ontwerp van samenwerkingsakkoord beschreven. Die beschrijving is van toepassing naar analogie met de definitieve tekst van het samenwerkingsakkoord, met een aantal aanpassingen die zijn aangegeven tussen vierkante haken : « 5.1. Bij het samenwerkingsakkoord worden bij Sciensano vier gegevensbanken opgericht (Gegevensbanken I, III, IV en V), naast de bestaande gegevensbank, die nader wordt geregeld in het licht van de strijd tegen COVID-19 (Gegevensbank II). Deze vijf gegevensbanken worden bij artikel 1, § 1, [6° tot 10°], van het samenwerkingsakkoord omschreven. - Gegevensbank I is de algemene, centrale gegevensbank bij Sciensano voor de verwerking en uitwisseling van gegevens voor de verwerkingsdoeleinden bepaald in het samenwerkingsakkoord. [...] - Gegevensbank II is de bestaande gegevensbank bij Sciensano die is opgericht ter uitvoering van een samenwerkingsovereenkomst met het Rijksinstituut voor ziekte- en invaliditeitsverzekering (hierna : RIZIV) [...]. De gegevens [...] moeten onderzoeksinstellingen, met inbegrip van Sciensano, in staat stellen wetenschappelijke of statistische studies uit te voeren in verband met de verspreiding van het coronavirus COVID-19 en om het beleid in de strijd tegen het coronavirus te ondersteunen, middels de uitwisseling van de gegevens met de Gegevensbank I [artikel 1, § 2, 3°]. - Gegevensbank III is de gegevensbank met [belopdrachten en opdrachten] voor de medewerkers van het contactcentrum. - Gegevensbank IV is de gegevensbank met contactgegevens van collectiviteiten. - Gegevensbank V is de centrale loglijst die toelaat om de werking van de digitale contactopsporingsapplicatie op een gecontroleerde manier te laten verlopen en die bij Sciensano afzonderlijk van Gegevensbank I en II wordt gehouden. Een digitale contactopsporingsapplicatie op basis van DP3T bestaat immers uit een mobiele applicatie die door de gebruiker [vrijwillig] lokaal op diens toestel geïnstalleerd en gebruikt kan worden, en een centrale loglijst die in Gegevensbank V bewaard wordt [artikel 14, § 3, 1° en 2°, en § 5]. 5.2. Hoofdstuk I van het samenwerkingsakkoord bevat algemene bepalingen. Artikel 1 bevat een aantal definities (paragraaf 1), vermeldt de doelstellingen van het samenwerkingsakkoord (paragraaf 2), bepaalt dat geen afbreuk wordt gedaan aan de regelgeving van de bevoegde overheden inzake contactonderzoek voor het opsporen van besmettelijke ziekten (paragraaf 3), schrijft voor dat de partijen de maatregelen moeten nemen om het samenwerkingsakkoord uit te voeren en om hun bestaande initiatieven ermee in overeenstemming te brengen (paragraaf 4), voorziet in de mogelijkheid van uitvoerende samenwerkingsakkoorden (paragraaf 5) en bepaalt dat de gezondheidszorgverleners en de gecontacteerde personen ontheven zijn van hun beroepsgeheim (paragraaf 6). Artikel 2 richt Gegevensbank I op (paragraaf 1), kadert Gegevensbank II binnen dit samenwerkingsakkoord (paragraaf 2), stelt de Gegevensbanken III en IV in (paragraaf 3), wijst Sciensano aan als verwerkingsverantwoordelijke van de Gegevensbanken I en II (paragraaf 4) en bepaalt dat de deelstaten [of hun agentschappen] de verwerkingsverantwoordelijken voor de Gegevensbanken III en IV zullen aanwijzen (paragraaf 5).

Hoofdstuk [II] omvat artikel 3, dat de verwerkingsdoeleinden regelt met betrekking tot de terbeschikkingstelling van persoonsgegevens door Gegevensbank I (paragraaf 1), alsook met betrekking tot de verwerking van persoonsgegevens [door de gefedereerde entiteiten] of de bevoegde agentschappen (paragraaf 2) en door de mobiele teams en de gezondheidsinspectiediensten van de gemeenschappen (paragraaf 3). Er wordt voorzien in een algemeen verbod om persoonsgegevens te verwerken voor andere doelstellingen (paragraaf 4).

Hoofdstuk [III] omvat artikel 4, dat de categorieën van personen omschrijft wiens persoonsgegevens worden verwerkt in het kader van dit samenwerkingsakkoord. Die categorieën worden bepaald in artikel 1, § 1, [13° tot 18°]. - Personen Categorie I : de personen voor wie de arts een COVID-19-test heeft voorgeschreven; - Personen Categorie II : de personen bij wie een COVID-19-test is uitgevoerd; - Personen Categorie III : de personen bij wie de arts een ernstig vermoeden heeft dat ze besmet zijn, zonder dat een COVID-19-test is uitgevoerd of voorgeschreven of waarbij de COVID-19-test uitwees dat ze niet besmet waren; - Personen Categorie IV : de personen met wie hetzij (i) de Personen Categorie II voor zover de COVID-19-test uitwees dat ze besmet zijn, hetzij (ii) de Personen Categorie III in contact zijn geweest gedurende een periode van veertien dagen voor en na de eerste tekenen van de besmetting; - Personen Categorie V : de behandelende artsen van de Personen Categorieën I, II, en III; - Personen Categorie VI : de referentiearts of - bij gebrek aan een referentiearts bij de betrokken collectiviteit - de administratief verantwoordelijke van collectiviteiten waarmee de Personen Categorieën I, II en III gedurende een periode van veertien dagen voor en veertien dagen na de eerste symptomen van de besmetting in contact [zijn] geweest.

Hoofdstuk [IV] bepaalt de categorieën van persoonsgegevens die verwerkt worden in het kader van het samenwerkingsakkoord. Artikel 5 schrijft voor dat de gegevensverwerking moet gebeuren [...] overeenkomstig de AVG en de wet van 30 juli 2018Relevante gevonden documenten type wet prom. 30/07/2018 pub. 05/09/2018 numac 2018040581 bron federale overheidsdienst justitie, federale overheidsdienst binnenlandse zaken en ministerie van landsverdediging 30 JULI 2018 - Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens type wet prom. 30/07/2018 pub. 30/03/2021 numac 2021030655 bron federale overheidsdienst binnenlandse zaken Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. - Officieuze coördinatie in het Duits sluiten ' betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens '. Artikel 6 schrijft voor dat de verplichte meldingen op grond van gemeenschapsregelgeving gebeurt aan Gegevensbank I (paragraaf 1) en omschrijft de categorieën van persoonsgegevens die in die gegevensbank worden verwerkt voor respectievelijk de Personen Categorie I, de Personen Categorie II, de Personen Categorie III en de Personen Categorie IV (paragrafen 2 tot 5). De paragrafen 6 en 7 omschrijven bijkomende te verwerken persoonsgegeven[s] voor bepaalde categorieën personen en clusters, die worden verzameld of aangeleverd door [de contactcentra,] de bevoegde mobiele teams of de gezondheidsinspectiediensten. Artikel 7 omschrijft de categorieën van persoonsgegevens die verwerkt worden in Gegevensbank III, namelijk de persoonsgegevens die worden meegedeeld door Sciensano vanuit Gegevensbank I aan de contactcentra (paragraaf 1), de persoonsgegevens voor Gegevensbank III met betrekking tot de Personen Categorie II die na een COVID-19-test besmet bleken te zijn, en de Personen Categorie III (paragraaf 2), de Personen Categorie IV (paragraaf 3) en de Personen Categorie VI (paragraaf 4). Artikel 8 omschrijft de categorieën van persoonsgegevens die verwerkt worden in Gegevensbank IV met betrekking tot de Personen Categorie V en Categorie VI. Artikel 9 omschrijft de categorieën van persoonsgegevens die na pseudonimisering verwerkt worden in Gegevensbank II met betrekking tot de Personen Categorie I, Categorie II en Categorie III (paragraaf 1) en de Personen Categorie IV (paragraaf 2).

Hoofdstuk V omvat artikel 10 dat de toegang regelt tot persoonsgegevens door de contactcentra (paragraaf 1) en door de mobiele teams en de gezondheidsinspectiediensten (paragraaf 2) en dat de doorgifte van persoonsgegevens na pseudonimisering regelt van Gegevensbank I naar Gegevensbank II (paragraaf 3).

Hoofdstuk VI betreft de bevoegdheid van het [informatieveiligheidscomité]. Artikel 11 regelt de voorafgaande beraadslaging in dat comité in bepaalde gevallen (paragrafen 1 en 2) en de verduidelijkende bevoegdheid van dat comité (paragraaf 3). Er wordt ook voorzien in de nadere regeling van bepaalde aspecten van het samenwerkingsakkoord in een uitvoerend samenwerkingsakkoord (paragraaf 4). Artikel 12 bepaalt de nadere regels die het informatieveiligheidscomité kan vaststellen (paragraaf 1) en regelt de toegang tot het Rijksregister en de registers van de Kruispuntbank van de sociale zekerheid (paragraaf 2), alsook de voorafgaande beraadslaging in het informatieveiligheidscomité voor de mededeling [aan Gegevensbank I] van persoonsgegevens uit andere authentieke bronnen [...] (paragraaf 3).

Hoofdstuk VII omvat artikel 13, dat betrekking heeft op de veiligheidsmaatregelen die Sciensano [en de bevoegde gefedereerde entiteiten of hun agentschappen] moet[en] nemen om een op het risico afgestemd beveiligingsniveau te waarborgen.

Hoofdstuk VIII heeft betrekking op de digitale contactopsporingsapplicaties. Artikel 14 beschrijft de doelstelling van digitale contactopsporingsapplicaties (paragraaf 1) en regelt de beperkingen inzake de verwerking van persoonsgegevens door middel van die applicaties (paragraaf 2), alsook de minimale voorwaarden voor die applicaties (paragraaf 3). De applicaties moeten de principes vervat in [de artikelen 5 en 25] van de AVG respecteren (paragraaf 4) en moeten gebaseerd zijn op vrijwillige basis (paragraaf 5). De bewaartermijn van de gegevens met betrekking tot contacten wordt geregeld (paragraaf 6), alsook de doelstellingen van de gegevensverwerking (paragraaf 7). Er moet een gegevensbeschermingseffectenbeoordeling worden opgesteld en gepubliceerd (paragraaf 8). Er wordt ook voorzien in de nadere regeling van bepaalde aspecten van de digitale contactopsporingsapplicaties in een uitvoerend samenwerkingsakkoord (paragraaf 9).

Hoofdstuk IX omvat artikel 15, dat de maximale bewaringstermijn regelt van persoonsgegevens voor de Gegevensbanken I, III, IV en V (paragraaf 1) en II (paragraaf 2). Hoofdstuk X betreft de transparantie en de rechten van betrokken personen. Artikel 16 verplicht Sciensano om als verwerkingsverantwoordelijke passende maatregelen te nemen inzake de communicatie van de rechten van de betrokken personen (paragraaf 1), om een website te creëren en te onderhouden (paragraaf 2), om een systeem te onderhouden en te beheren voor de uitoefening van door de AVG bepaalde rechten (paragraaf 3) en om een overeenkomst te sluiten met de [gefedereerde entiteiten] en hun agentschappen met betrekking tot hun verantwoordelijkheden inzake de uitoefening van de rechten van de betrokken personen en het verstrekken van informatie (paragraaf 4).

Hoofdstuk [XI] bevat verscheidene slotbepalingen. Artikel 17 regelt de beslechting van geschillen tussen de partijen door een samenwerkingsgerecht. Artikel 18 draagt de Interministeriële Conferentie Volksgezondheid op om toezicht te houden op de uitvoering en naleving van de bepalingen van het samenwerkingsakkoord [...] [,] om aanpassingen voor te stellen [en een bemiddelingsfunctie uit te oefenen]. Artikel 19 regelt de uitwerking in de tijd van het samenwerkingsakkoord (paragraaf 1) en [bepaalt dat de maatregelen ervan ophouden uitwerking te hebben op de dag van de publicatie van het koninklijk besluit dat het einde van de toestand van de COVID-19-epidemie afkondigt en] voorziet in de mogelijkheid van de beëindiging ervan door een nieuw samenwerkingsakkoord (paragraaf [3]) » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 31-35).

B.1.3. Overeenkomstig artikel 1, § 2, ervan heeft het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 als drievoudig doel (1) een kader te bieden voor het manuele contactonderzoek en het inzetten van mobiele teams, (2) een kader te bieden voor het digitale contactonderzoek middels gebruik van een digitale contactopsporingsapplicatie en (3) onderzoeksinstellingen en administraties, waaronder Sciensano, in staat te stellen wetenschappelijke of statistische studies uit te voeren inzake de strijd tegen de verspreiding van COVID-19 en/of het beleid op dat gebied te ondersteunen.

Uit de algemene toelichting bij het samenwerkingsakkoord blijkt dat de digitale contactopsporing bedoeld is om het manuele onderzoek aan te vullen (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, p. 72).

Het samenwerkingsakkoord strekt met name ertoe aanbevelingen te geven aan personen die met COVID-19 zijn besmet en aan mogelijk besmette of vermoedelijk besmette personen, teneinde de besmettingsketen te doorbreken. Uit artikel 1, § 2, 1°, f, van het samenwerkingsakkoord blijkt dat die aanbevelingen geen verplicht karakter hebben voor de betrokken personen.

B.1.4. Vóór het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 werd de oprichting van een gegevensbank teneinde manuele contactopsporing in het kader van de strijd tegen COVID-19 mogelijk te maken, geregeld bij het koninklijk besluit nr. 18 van 4 mei 2020 « tot oprichting van een databank bij Sciensano in het kader van de strijd tegen de verspreiding van het coronavirus COVID-19 » (hierna : het koninklijk besluit nr. 18 van 4 mei 2020). Met een geldigheidsduur die aanvankelijk was vastgesteld tot 4 juni 2020 (artikel 6), werd dat besluit verlengd tot 30 juni 2020 bij artikel 2 van het koninklijk besluit nr. 25 van 28 mei 2020 « tot wijziging van het koninklijk besluit nr. 18 van 4 mei 2020 tot oprichting van een databank bij Sciensano in het kader van de strijd tegen de verspreiding van het coronavirus COVID-19 » (hierna : het koninklijk besluit nr. 25 van 28 mei 2020).

Op 14 mei 2020 werd in de Kamer een wetsvoorstel « tot oprichting van een databank bij Sciensano in het kader van de strijd tegen de verspreiding van het coronavirus COVID-19 » ingediend met hetzelfde doel (Parl. St., Kamer, 2019-2020, DOC 55-1249/001). Een tweede wetsvoorstel « betreffende het gebruik van digitale contactopsporingsapplicaties ter voorkoming van de verdere verspreiding van het coronavirus COVID-19 onder de bevolking », dat de dag ervoor werd ingediend, beoogde een kader te bieden voor de digitale contactopsporing via digitale applicaties (Parl. St., Kamer, 2019-2020, DOC 55-1251/001). Bij haar adviezen nrs. 67.425/3-67.426/3-67.427/3 en nr. 67.424/3 van 26 mei 2020 over die twee wetsvoorstellen heeft de afdeling wetgeving van de Raad van State besloten tot de noodzaak om een samenwerkingsakkoord te sluiten tussen de federale overheid en de gemeenschappen, rekening houdend met de nauwe band tussen de federale bevoegdheden en de gemeenschapsbevoegdheden waarop de overwogen maatregelen betrekking hadden (Parl. St., Kamer, 2019-2020, DOC 55-1249/006, pp. 6-9; Parl.

St., Kamer, 2019-2020, DOC 55-1251/003, pp. 5-8). Zij heeft die conclusie herhaald in haar advies nr. 67.482/3 van 3 juni 2020 betreffende een globaal amendement op het voormelde eerste wetsvoorstel dat ertoe strekte dat te vervangen (Parl. St., Kamer, 2019-2020, DOC 55-1249/009, pp. 5-7).

Op 25 juni 2020 heeft het Overlegcomité het ontwerp van samenwerkingsakkoord aangenomen dat aan de oorsprong ligt van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3.

In afwachting van de afloop van de wetgevingsprocedures houdende instemming met het ontwerp van samenwerkingsakkoord heeft het koninklijk besluit nr. 44 van 26 juni 2020 « betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde regionale overheden of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano » (hierna : het koninklijk besluit nr. 44 van 26 juni 2020) de inhoud van het ontwerp van samenwerkingsakkoord in essentie overgenomen. Dat besluit is in werking getreden op 1 juli 2020.

Volgens artikel 17 ervan moest het ophouden uitwerking te hebben op de dag van de inwerkingtreding van het samenwerkingsakkoord en ten laatste op 15 oktober 2020.

Het koninklijk besluit nr. 18 van 4 mei 2020, het koninklijk besluit nr. 25 van 28 mei 2020 en het koninklijk besluit nr. 44 van 26 juni 2020 werden ingetrokken bij de artikelen 3 tot 5 van de bestreden wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0.

B.1.5. Overeenkomstig artikel 19, § 1, eerste lid, ervan zijn de bepalingen van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 die inhoudelijk overeenstemmen met die van het koninklijk besluit nr. 18 van 4 mei 2020, met terugwerkende kracht in werking getreden op de datum van inwerkingtreding van dat koninklijk besluit, op 4 mei 2020.

Overeenkomstig artikel 19, § 1, tweede lid, ervan zijn artikel 14 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 en de bepalingen van hetzelfde samenwerkingsakkoord die betrekking hebben op de digitale contactopsporingsapplicaties, met terugwerkende kracht in werking getreden op 29 juni 2020 « voor wat betreft de bepalingen die inhoudelijk overeenstemmen met het koninklijk besluit nr. 44 van 26 juni 2020 ».

Artikel 19, § 2, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bepaalt dat, behoudens hetgeen in artikel 15, §§ 2 en 3, ervan is vermeld, de maatregelen ervan ophouden uitwerking te hebben op de dag van de publicatie van het koninklijk besluit dat het einde van de toestand van de COVID-19-epidemie afkondigt.

Ten aanzien van het belang van de verzoekende partijen B.2.1. De Ministerraad, de Waalse Regering, de Vlaamse Regering, de Regering van de Duitstalige Gemeenschap en het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie (hierna : de verwerende overheden) voeren aan dat de beroepen tot vernietiging onontvankelijk zijn wegens gebrek aan belang.

B.2.2. De Grondwet en de bijzondere wet van 6 januari 1989Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten op het Grondwettelijk Hof vereisen dat elke natuurlijke persoon of rechtspersoon die een beroep tot vernietiging instelt, doet blijken van een belang. Van het vereiste belang doen slechts blijken de personen wier situatie door de bestreden akten rechtstreeks en ongunstig zou kunnen worden geraakt.

B.2.3. De tweede tot de vierde verzoekende partij in de zaken nrs. 7555, 7556, 7558, 7559 en 7560 beroepen zich op hun hoedanigheid van natuurlijke persoon ter ondersteuning van hun belang.

Bij de bestreden akten wordt instemming verleend met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 dat een juridisch kader creëert voor de manuele en digitale contactopsporing van personen die besmet zijn met het coronavirus teneinde de verspreiding ervan te voorkomen. Dat samenwerkingsakkoord voorziet in het verzamelen van tal van persoonsgegevens, met inbegrip van gevoelige gegevens over gezondheid met betrekking tot met name de personen die contact hebben gehad met een persoon die positief is getest op het coronavirus of met een vermoedelijk besmette persoon.

Dat samenwerkingsakkoord, zoals goedgekeurd bij de bestreden akten, raakt de situatie van elke natuurlijke persoon die zich op het Belgische grondgebied bevindt, dus rechtstreeks en ongunstig.

Een samenwerkingsakkoord dat wetgevende instemming vereist, heeft pas volledig uitwerking nadat het de instemming van alle betrokken wetgevende vergaderingen heeft gekregen.

De tweede tot de vierde verzoekende partij in de zaken nrs. 7555, 7556, 7558, 7559 en 7560 doen derhalve blijken van een belang om de vernietiging te vorderen van alle akten houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3.

Het is niet nodig om het belang van de eerste verzoekende partij in die zaken te onderzoeken.

B.2.4. Het beroep in de zaak nr. 7557 heeft betrekking op artikel 2 van de wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0 dat ook de in de zaak nr. 7558 bestreden akte is, en steunt op een middel dat analoog is aan het middel dat is aangevoerd in die zaak. Aangezien de tweede tot de vierde verzoekende partij in de zaak nr. 7558 doen blijken van een belang bij de vernietiging van artikel 2 van de wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0, is het niet nodig om het belang van de verzoekende partij in de zaak nr. 7557 te onderzoeken.

B.2.5. De exceptie wordt verworpen.

Ten aanzien van de ontvankelijkheid van het enige middel B.3.1. Volgens de verwerende overheden is het enige middel onontvankelijk omdat het in werkelijkheid enkel tegen het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 is gericht.

B.3.2. Het Hof is bevoegd om bij wege van arrest uitspraak te doen op beroepen tot vernietiging van wetten, decreten en ordonnanties. Die bevoegdheid omvat de akten houdende instemming met een samenwerkingsakkoord. Het Hof is evenwel niet bevoegd om een samenwerkingsakkoord te vernietigen.

De verzoekende partijen kunnen de akten houdende instemming met een samenwerkingsakkoord echter niet op zinvolle wijze bestrijden, en het Hof kan ze niet op zinvolle wijze toetsen, zonder de inhoud van de relevante bepalingen van het goedgekeurde samenwerkingsakkoord in hun kritiek of in hun onderzoek te betrekken.

B.3.3. In zoverre het formeel gericht is tegen de akten houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 en materieel gericht is tegen de bepalingen van dat samenwerkingsakkoord, is het enige middel ontvankelijk.

B.4.1. De verwerende overheden voeren aan dat het enige middel onontvankelijk is in zoverre het is afgeleid uit de schending van de artikelen 10 en 11 van de Grondwet, aangezien de verzoekende partijen de twee categorieën van personen die bij de bestreden akten op discriminerende wijze zouden worden behandeld, niet identificeren.

B.4.2. Wanneer een schending van het beginsel van gelijkheid en niet-discriminatie wordt aangevoerd, in samenhang gelezen met een ander grondrecht dat in de Grondwet of in een internationaalrechtelijke bepaling is gewaarborgd, of dat uit een algemeen rechtsbeginsel voortvloeit, dient de categorie van personen voor wie dat grondrecht wordt geschonden, te worden vergeleken met de categorie van personen ten opzichte van wie dat grondrecht wordt gewaarborgd.

B.4.3. Aangezien de artikelen 10 en 11 van de Grondwet worden aangevoerd in samenhang gelezen met verschillende bepalingen die het recht op eerbiediging van het privéleven en het recht op de bescherming van persoonsgegevens waarborgen, wordt de exceptie verworpen.

B.5.1. In de zaak nr. 7556 voeren de verwerende overheden aan dat het enige middel onontvankelijk is in zoverre de verzoekende partijen niet de bepaling van het decreet van de Duitstalige Gemeenschap van 12 oktober 2020 identificeren waarvan zij de vernietiging vorderen.

In alle zaken voeren de verwerende overheden aan dat het enige middel onontvankelijk is in zoverre het is afgeleid uit de schending van artikel 7 van het Handvest van de grondrechten van de Europese Unie (hierna : het Handvest) en van de artikelen 4, punt 7), 35 en 36 van de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 « betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) » (hierna : de AVG). Volgens hen laten de verzoekende partijen na aan te geven in welk opzicht die bepalingen zouden zijn geschonden.

B.5.2. Artikel 6 van de bijzondere wet van 6 januari 1989Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten op het Grondwettelijk Hof bepaalt : « Het verzoekschrift vermeldt het onderwerp van het beroep en bevat een uiteenzetting van de feiten en middelen ».

Om te voldoen aan de vereisten vermeld in die bepaling, moeten de middelen van het verzoekschrift te kennen geven welke van de regels waarvan het Hof de naleving waarborgt, zouden zijn geschonden, alsook welke de bepalingen zijn die deze regels zouden schenden, en uiteenzetten in welk opzicht die regels door de bedoelde bepalingen zouden zijn geschonden. Die vereisten zijn ingegeven, enerzijds, door de noodzaak voor het Hof om vanaf het indienen van het verzoekschrift in staat te zijn de juiste draagwijdte van het beroep tot vernietiging te bepalen en, anderzijds, door de zorg om aan de andere partijen in het geding de mogelijkheid te bieden op de argumenten van de verzoekers te repliceren, waartoe een duidelijke en ondubbelzinnige uiteenzetting van de middelen onontbeerlijk is.

B.5.3. Uit het verzoekschrift in de zaak nr. 7556 kan worden afgeleid dat de verzoekende partijen hun grieven enkel richten tegen artikel 1 van het decreet van de Duitstalige Gemeenschap van 12 oktober 2020 in zoverre bij die bepaling instemming wordt verleend met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3. Het Hof onderzoekt bijgevolg niet de andere bepalingen van dat decreet.

B.5.4. De verzoekende partijen voeren aan dat het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, zoals het bij de bestreden akten werd goedgekeurd, afbreuk doet aan het recht op eerbiediging van het privéleven en aan het recht op bescherming van persoonsgegevens, gewaarborgd door artikel 22 van de Grondwet, door artikel 8 van het Europees Verdrag voor de rechten van de mens en door artikel 7 van het Handvest, die een analoge draagwijdte hebben.

Het enige middel is derhalve ontvankelijk.

B.5.5. In artikel 4, punt 7), van de AVG wordt de verwerkingsverantwoordelijke gedefinieerd.

Wanneer zij, in het eerste onderdeel van het enige middel, de oprichting van Gegevensbank I bij Sciensano bekritiseren, onder meer om reden dat die instelling niet belast is met de manuele contactopsporingsverrichtingen, zetten de verzoekende partijen uiteen in welk opzicht artikel 4, punt 7), van de AVG zou zijn geschonden.

Het enige middel is derhalve ontvankelijk.

B.5.6. Wanneer de verzoekende partijen in het derde onderdeel van het enige middel opmerken dat de toestemmingsbevoegdheid van het Informatieveiligheidscomité niet kan worden verantwoord op grond van artikel 36, lid 5, van de AVG, aangezien dat Comité niet als een toezichthoudende autoriteit kan worden beschouwd, zetten zij uiteen in welk opzicht die bepaling zou zijn geschonden.

De verzoekende partijen zetten daarentegen niet uiteen in welk opzicht artikel 36, lid 4, van de AVG dat betrekking heeft op de raadpleging van de toezichthoudende autoriteit bij het opstellen van een wetgevingsvoorstel of een regelgevingsmaatregel, noch in welk opzicht artikel 35 van de AVG en artikel 36, leden 1 tot 3, van de AVG die betrekking hebben op de voorafgaande effectbeoordeling van de verwerkingsactiviteiten die waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van natuurlijke personen en op de voorafgaande raadpleging van de toezichthoudende autoriteit in dat kader, zouden zijn geschonden.

In zoverre het is afgeleid uit de schending van de artikelen 35 en 36, leden 1 tot 4, van de AVG, is het enige middel onontvankelijk.

B.5.7. De - zelfs volledige - weergave van de adviezen van een adviserende instantie voldoet niet aan de voormelde vereisten van artikel 6 van de bijzondere wet van 6 januari 1989Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten op het Grondwettelijk Hof. De in het tweede onderdeel van het enige middel uiteengezette grieven met betrekking tot de noodzaak om de gegevens en de gegevensbanken te onderscheiden volgens het nagestreefde doel, de noodzaak om persoonsgegevens met betrekking tot personen categorie IV te verzamelen in Gegevensbank I en het gebrek aan duidelijkheid van bepaalde concepten, zijn bijgevolg onontvankelijk.

Ten gronde B.6. Het enige middel is afgeleid uit de schending van de artikelen 10, 11 en 22 van de Grondwet, al dan niet in samenhang gelezen met artikel 8 van het Europees Verdrag voor de rechten van de mens, met de artikelen 7, 8 en 52 van het Handvest en met de artikelen 4, punt 7), 5, lid 1, 6, 9, 14 en 36, lid 5, van de AVG. De verzoekende partijen doen in essentie gelden dat verschillende bepalingen van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, zoals zij bij de bestreden akten werden goedgekeurd, het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens schenden.

B.7.1. Artikel 22 van de Grondwet bepaalt : « Ieder heeft recht op eerbiediging van zijn privé-leven en zijn gezinsleven, behoudens in de gevallen en onder de voorwaarden door de wet bepaald.

De wet, het decreet of de in artikel 134 bedoelde regel waarborgen de bescherming van dat recht ».

B.7.2. Artikel 8 van het Europees Verdrag voor de rechten van de mens bepaalt : « 1. Eenieder heeft recht op eerbiediging van zijn privé-leven, zijn gezinsleven, zijn huis en zijn briefwisseling. 2. Geen inmenging van enig openbaar gezag is toegestaan met betrekking tot de uitoefening van dit recht dan voor zover bij de wet is voorzien en in een democratische samenleving nodig is in het belang van 's lands veiligheid, de openbare veiligheid, of het economisch welzijn van het land, de bescherming van de openbare orde en het voorkomen van strafbare feiten, de bescherming van de gezondheid of de goede zeden, of voor de bescherming van de rechten en vrijheden van anderen ». B.7.3. De Grondwetgever heeft gestreefd naar een zo groot mogelijke concordantie tussen artikel 22 van de Grondwet en artikel 8 van het Europees Verdrag voor de rechten van de mens (Parl. St., Kamer, 1992-1993, nr. 997/5, p. 2).

De draagwijdte van dat artikel 8 is analoog aan die van de voormelde grondwetsbepaling, zodat de waarborgen die beide bepalingen bieden, een onlosmakelijk geheel vormen.

B.7.4. Het recht op eerbiediging van het privéleven, zoals gewaarborgd in de voormelde grondwets- en verdragsbepalingen, heeft als essentieel doel de personen te beschermen tegen inmengingen in hun privéleven.

Het voorstel dat is voorafgegaan aan de aanneming van artikel 22 van de Grondwet beklemtoonde « de bescherming van de persoon, de erkenning van zijn identiteit en de belangrijkheid van zijn ontplooiing en die van zijn gezin » en het onderstreepte de noodzaak om het privéleven en het gezinsleven te beschermen tegen « inmenging, onder meer als gevolg van de onafgebroken ontwikkeling van de informatietechnieken, wanneer maatregelen van opsporing, onderzoek en controle door de overheid en particuliere instellingen worden uitgevoerd bij het uitoefenen van hun functie of hun activiteit » (Parl. St., Senaat, B.Z. 1991-1992, nr. 100-4/2°, p. 3). In dat voorstel werd eveneens aangegeven dat de wetgever « het recht op de eerbiediging van het privéleven en het gezinsleven op geen enkele wijze mag uithollen; anders schendt hij niet alleen een grondwetsregel, maar ook internationale rechtsregels » (ibid.).

Het recht op eerbiediging van het privéleven heeft een ruime draagwijdte en omvat, onder meer, de bescherming van persoonsgegevens en van persoonlijke informatie. Uit de rechtspraak van het Europees Hof voor de Rechten van de Mens blijkt dat, onder meer, de volgende gegevens en informatie betreffende personen vallen onder de bescherming van dat recht : de naam, het adres, de professionele activiteiten, de persoonlijke relaties, digitale vingerafdrukken, camerabeelden, foto's, communicatiegegevens, DNA-gegevens, gerechtelijke gegevens (veroordeling of verdenking), financiële gegevens, informatie over bezittingen en medische gegevens (zie onder meer EHRM, 26 maart 1987, Leander t. Zweden, §§ 47-48;grote kamer, 4 december 2008, S. en Marper t.

Verenigd Koninkrijk, §§ 66-68; 17 december 2009, B.B. t. Frankrijk, § 57;10 februari 2011, Dimitrov-Kazakov t. Bulgarije, §§ 29-31; 18 oktober 2011, Khelili t. Zwitserland, §§ 55-57; 9 oktober 2012, Alkaya t. Turkije, § 29; 18 april 2013, M.K. t. Frankrijk, § 26; 18 september 2014, Brunet t. Frankrijk, § 31; 13 oktober 2020, Frâncu t. Roemenië, § 51). B.7.5. Het recht op eerbiediging van het privéleven is evenwel niet absoluut. Artikel 22 van de Grondwet en artikel 8 van het Europees Verdrag voor de rechten van de mens sluiten een overheidsinmenging in de uitoefening van dat recht niet uit, voor zover zij wordt toegestaan door een voldoende precieze wettelijke bepaling, zij beantwoordt aan een dwingende maatschappelijke behoefte in een democratische samenleving en zij evenredig is met de daarmee nagestreefde wettige doelstelling. Die bepalingen houden voor de overheid bovendien de positieve verplichting in om maatregelen te nemen die een daadwerkelijke eerbiediging van het privéleven verzekeren, zelfs in de sfeer van de onderlinge verhoudingen tussen individuen (EHRM, 27 oktober 1994, Kroon e.a. t. Nederland, § 31; grote kamer, 12 november 2013, Söderman t. Zweden, § 78).

De bescherming van persoonsgegevens, en in het bijzonder van medische gegevens, is van fundamenteel belang voor het recht op eerbiediging van het privéleven van een persoon en diens vertrouwen in de gezondheidszorg (EHRM, 25 februari 1997, Z. t. Finland, § 95). Wanneer zij de afweging maken tussen het belang van de Staat bij de verwerking van persoonsgegevens en het individueel belang bij de bescherming van de vertrouwelijkheid van die gegevens, beschikken de nationale autoriteiten over een zekere beoordelingsmarge (ibid., § 99). In het licht van het fundamentele belang van de bescherming van persoonsgegevens is die marge evenwel vrij beperkt (EHRM, 26 januari 2017, Surikov t. Oekraïne, § 73). Opdat een wettelijke regeling verenigbaar is met het recht op eerbiediging van het privéleven, is vereist dat een billijk evenwicht wordt bereikt tussen alle rechten en belangen die in het geding zijn. Bij de beoordeling van dat evenwicht dient rekening te worden gehouden met de bepalingen van het Verdrag van de Raad van Europa van 28 januari 1981 tot bescherming van personen ten opzichte van de geautomatiseerde verwerking van persoonsgegevens (hierna : het Verdrag nr. 108) (EHRM, 25 februari 1997, Z t. Finland, § 95; grote kamer, 4 december 2008, S. en Marper t. Verenigd Koninkrijk, § 103;26 januari 2017, Surikov t. Oekraïne, § 74).

Het Verdrag nr. 108 bevat onder meer de beginselen inzake de verwerking van persoonsgegevens : rechtmatigheid, behoorlijkheid, transparantie, doelbinding, evenredigheid, juistheid, opslagbeperking, integriteit en vertrouwelijkheid, en verantwoordingsplicht.

Datzelfde Verdrag is geactualiseerd bij een protocol tot amendering dat op 10 oktober 2018 voor ondertekening is opengesteld.

Uit Verdrag nr. 108 vloeit voort dat het nationale recht in het bijzonder moet verzekeren dat persoonsgegevens relevant en niet excessief zijn in het licht van de doeleinden waarvoor ze worden verzameld of bijgehouden, dat de gegevens worden bewaard in een vorm die de identificatie van de betrokkenen niet langer dan vereist mogelijk maakt, en dat de bijgehouden data op efficiënte wijze worden beschermd tegen verkeerdelijk gebruik en misbruik. Het heeft ook erop gewezen dat het van essentieel belang is dat het nationale recht duidelijke en gedetailleerde regels bevat inzake de reikwijdte en toepassing van de betrokken maatregelen, en ook minimumwaarborgen bevat inzake, onder andere, de duurtijd, de bewaring, het gebruik, de toegang van derden, procedures voor het behoud van de integriteit en vertrouwelijkheid van gegevens en procedures voor de vernietiging ervan, zodat in elke fase van de gegevensverwerking er voldoende waarborgen zijn tegen het risico van misbruik en willekeur (EHRM, 26 januari 2017, Surikov t. Oekraïne, § 74).

B.7.6. Binnen de werkingssfeer van het Europees Unierecht waarborgen artikel 22 van de Grondwet, artikel 8 van het Europees Verdrag voor de rechten van de mens en artikel 7 van het Handvest analoge grondrechten, terwijl artikel 8 van dat Handvest een specifieke rechtsbescherming van persoonsgegevens beoogt.

B.7.7. Het Hof van Justitie van de Europese Unie oordeelt dat de eerbiediging van het recht op persoonlijke levenssfeer bij de verwerking van persoonsgegevens gelijk welke informatie betreft aangaande een geïdentificeerde of identificeerbare natuurlijke persoon (HvJ, grote kamer, 9 november 2010, C-92/09 en C-93/09, Volker und Markus Schecke en Eifert, punt 52; 16 januari 2019, C-496/17, Deutsche Post AG, punt 54).

B.7.8. Artikel 52, lid 1, van het Handvest bepaalt : « Beperkingen op de uitoefening van de in dit handvest erkende rechten en vrijheden moeten bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Met inachtneming van het evenredigheidsbeginsel kunnen slechts beperkingen worden gesteld, indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen ».

B.7.9. Artikel 4, punten 1), 2), 5), 7), en 15), van de AVG bepalen : « Definities Voor de toepassing van deze verordening wordt verstaan onder : 1) ' persoonsgegevens ' : alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (' de betrokkene ');als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; 2) ' verwerking ' : een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; [...] 5) ' pseudonimisering ' : het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld; [...] 7) ' verwerkingsverantwoordelijke ' : een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; [...] 15) ' gegevens over gezondheid ' : persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven ». Artikel 5 van de AVG met als opschrift « Beginselen inzake verwerking van persoonsgegevens » bepaalt : « 1. Persoonsgegevens moeten : a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (' rechtmatigheid, behoorlijkheid en transparantie ');b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt;de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (' doelbinding '); c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (' minimale gegevensverwerking ');d) juist zijn en zo nodig worden geactualiseerd;alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (' juistheid '); e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is;persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen (' opslagbeperking '); f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (' integriteit en vertrouwelijkheid ').2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (' verantwoordingsplicht ') ». Artikel 6 van de AVG met als opschrift « Rechtmatigheid van de verwerking » bepaalt : « 1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan : a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. 2. De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast;hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. 3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij : a) Unierecht;of b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel. 4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met : a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering ». Artikel 9 van de AVG met als opschrift « Verwerking van bijzondere categorieën van persoonsgegevens » bepaalt : « 1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden. 2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan : a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven; [...] h) de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker en behoudens de in lid 3 genoemde voorwaarden en waarborgen;i) de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim; [...] 3. De in lid 1 bedoelde persoonsgegevens mogen worden verwerkt voor de in lid 2, punt h), genoemde doeleinden wanneer die gegevens worden verwerkt door of onder de verantwoordelijkheid van een beroepsbeoefenaar die krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels aan het beroepsgeheim is gebonden, of door een andere persoon die eveneens krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels tot geheimhouding is gehouden.4. De lidstaten kunnen bijkomende voorwaarden, waaronder beperkingen, met betrekking tot de verwerking van genetische gegevens, biometrische gegevens of gegevens over gezondheid handhaven of invoeren ». Artikel 14 van de AVG met als opschrift « Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen » bepaalt : « 1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie : a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking;d) de betrokken categorieën van persoonsgegevens;e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale organisatie;of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen : a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;b) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;c) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking van bezwaar te maken en het recht op gegevensoverdraagbaarheid;d) wanneer verwerking op artikel 6, lid 1, punt a) of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;e) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;f) de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen;g) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.3. De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie : a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt;b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van het eerste contact met de betrokkene;of c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt.4. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.5. De leden 1 tot en met 4 zijn niet van toepassing wanneer en voor zover : a) de betrokkene reeds over de informatie beschikt;b) het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, behoudens de in artikel 89, lid 1, bedoelde voorwaarden en waarborgen, of voor zover de in lid 1 van dit artikel bedoelde verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen.In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie; c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen;of d) de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim in het kader van Unierecht of lidstatelijke recht, waaronder een statutaire geheimhoudingsplicht ». Artikel 24 van de AVG met als opschrift « Verantwoordelijkheid van de verwerkingsverantwoordelijke » bepaalt : « 1. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd. 2. Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.3. Het aansluiten bij goedgekeurde gedragscodes als bedoeld in artikel 40 of goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat de verplichtingen van de verwerkingsverantwoordelijke zijn nagekomen ». Artikel 26 van de AVG met als opschrift « Gezamenlijke verwerkingsverantwoordelijken » bepaalt : « 1. Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen. 2. Uit de in lid 1 bedoelde regeling blijkt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk vervullen, en wat hun respectieve verhouding met de betrokkenen is.De wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld. 3. Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kan de betrokkene zijn rechten uit hoofde van deze verordening met betrekking tot en jegens iedere verwerkingsverantwoordelijke uitoefenen ». Artikel 36 van de AVG met als opschrift « Voorafgaande raadpleging » bepaalt in de leden 1 en 5 ervan : « 1. Wanneer uit een gegevensbeschermingseffectbeoordeling krachtens artikel 35 blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om het risico te beperken, raadpleegt de verwerkingsverantwoordelijke voorafgaand aan de verwerking de toezichthoudende autoriteit. [...] 5. Niettegenstaande lid 1 kunnen de verwerkingsverantwoordelijken lidstaatrechtelijk ertoe worden verplicht overleg met de toezichthoudende autoriteit te plegen en om haar voorafgaande toestemming te verzoeken wanneer zij met het oog op de vervulling van een taak van algemeen belang verwerken, onder meer wanneer verwerking verband houdt met sociale bescherming en volksgezondheid ». B.8. De grieven van de verzoekende partijen betreffen de volgende aspecten : I. de oprichting van Gegevensbank I bij Sciensano, bedoeld in artikel 2 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, en de bewaringstermijn van de in Gegevensbank II opgeslagen gegevens, bedoeld in artikel 15 (eerste en tiende onderdeel) (B.9-B.26);

II. de noodzaak om bepaalde categorieën van gegevens, bedoeld in de artikelen 6 tot 9, te verzamelen (tweede onderdeel) (B.27-B.34);

III. de aan het Informatieveiligheidscomité verleende machtiging om de mededeling van persoonsgegevens aan derden toe te staan, bedoeld in de artikelen 11 en 12 (derde onderdeel) (B.35.1-B.40);

IV. de informatie die door de contactcentra aan de behandelende artsen wordt verstrekt, bedoeld in artikel 3, § 1, 2°, B (vierde onderdeel) (B.41-B.43);

V. het doeleinde van wetenschappelijk onderzoek, bedoeld in artikel 3, § 1, 4° (vijfde onderdeel) (B.44-B.48);

VI. de koppelingen tussen Gegevensbank I en Gegevensbank V en het begrip « risicocontacten », bedoeld in artikel 14 (zesde en zevende onderdeel) (B.49-B.52.3);

VII. het begrip « fysiek bezoek », bedoeld in artikel 3 van het samenwerkingsakkoord (achtste onderdeel) (B.53-B.55.4);

VIII. de geheimhoudingsplicht van de medewerkers van de contactcentra (negende onderdeel) (B.56-B.62).

I. Wat betreft de oprichting van Gegevensbank I bij Sciensano en de bewaringstermijn van de in Gegevensbank II opgeslagen gegevens (eerste en tiende onderdeel) B.9. In het eerste onderdeel van het enige middel doen de verzoekende partijen gelden dat de oprichting van Gegevensbank I bij Sciensano, bedoeld in artikel 2 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, zoals goedgekeurd bij de bestreden akten, een onevenredige inmenging in het recht op eerbiediging van het privéleven en in het recht op bescherming van persoonsgegevens met zich meebrengt, aangezien Sciensano niet belast is met de manuele contactopsporingsverrichtingen en aangezien er andere middelen bestaan om het nagestreefde doel te bereiken, bijvoorbeeld door de contactcentra te vragen om zelf de noodzakelijke gegevens te verstrekken aan de actoren die belast zijn met wetenschappelijk onderzoek. De verzoekende partijen voeren eveneens aan dat de bestreden bepaling de beginselen van wettigheid en van voorzienbaarheid schendt omdat zij het niet mogelijk zou maken te begrijpen in welk opzicht de oprichting van een centrale gegevensbank noodzakelijk en evenredig is.

In het tiende onderdeel van het enige middel voeren de verzoekende partijen aan dat, aangezien in artikel 15 van het samenwerkingsakkoord de bewaringstermijn van de gepseudonimiseerde gegevens die in Gegevensbank II worden opgeslagen niet wordt gepreciseerd dat artikel, niet voldoet aan het wettigheidsbeginsel.

Het Hof onderzoekt die grieven die met name betrekking hebben op de inachtneming van het wettigheidsbeginsel door samenhangende bepalingen, samen.

B.10.1. Zoals in B.7.4 is vermeld, omvat het recht op eerbiediging van het privéleven de bescherming van persoonsgegevens en van persoonlijke informatie, waaronder met name de gezondheidsgegevens vallen.

In zoverre zij voorziet in het centraliseren van een groot aantal persoonsgegevens, met inbegrip van gevoelige gegevens over gezondheid, brengt de bestreden bepaling een inmenging teweeg in het recht op eerbiediging van het privéleven en in het recht op bescherming van persoonsgegevens, die worden gewaarborgd door de in B.7 tot B.8 aangehaalde bepalingen.

B.10.2. Zoals in B.7.5 is vermeld, is een dergelijke inmenging enkel toelaatbaar indien zij wordt toegestaan door een voldoende precieze wettelijke bepaling, indien zij beantwoordt aan een dwingende maatschappelijke behoefte in een democratische samenleving en indien zij evenredig is met de daarmee nagestreefde wettige doelstelling.

Aangezien de in Gegevensbank I opgenomen gegevens met name gegevens over gezondheid zijn, in de zin van artikel 4, punt 15), van de AVG, en de bestreden bepaling verschillende verwerkingen van die gegevens inhoudt in de zin van artikel 4, punt 2), van dezelfde AVG, dient de inmenging ook te voldoen aan de bij artikel 9 van de AVG vastgestelde voorwaarden.

Artikel 9, lid 1, van de AVG verbiedt in beginsel de verwerking van gevoelige persoonsgegevens, zoals gegevens over gezondheid. Artikel 9, lid 2, punt h), van de AVG staat een dergelijke verwerking evenwel toe wanneer zij noodzakelijk is « voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker » en wanneer zij onderworpen is aan het beroepsgeheim. Artikel 9, lid 2, punt i), van de AVG bepaalt dat de verwerking van dergelijke gegevens ook is toegestaan wanneer zij noodzakelijk is « om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim ».

B.11.1. In zoverre zij een schending van de beginselen van wettigheid en van voorzienbaarheid afleiden uit het niet-noodzakelijke en onevenredige karakter van de bestreden bepaling, verwarren de verzoekende partijen onderscheiden stappen van de toetsing die het Hof moet verrichten met betrekking tot de eerbiediging van het recht op persoonlijke levenssfeer en van het recht op bescherming van persoonsgegevens.

B.11.2. Bij artikel 22 van de Grondwet wordt aan de bevoegde wetgever de bevoegdheid voorbehouden om te bepalen in welke gevallen en onder welke voorwaarden afbreuk kan worden gedaan aan het recht op eerbiediging van het privéleven. Het waarborgt aldus aan elke burger dat geen inmenging in de uitoefening van dat recht kan plaatsvinden dan krachtens regels die zijn aangenomen door een democratisch verkozen beraadslagende vergadering.

Een delegatie aan een andere macht is evenwel niet in strijd met het wettigheidsbeginsel, voor zover de machtiging voldoende nauwkeurig is omschreven en betrekking heeft op de tenuitvoerlegging van maatregelen waarvan de essentiële elementen voorafgaandelijk door de wetgever zijn vastgesteld.

Bijgevolg moeten de essentiële elementen van de verwerking van persoonsgegevens in de wet zelf worden vastgelegd. In dat verband vertonen de volgende elementen, ongeacht de aard van de betrokken aangelegenheid, in beginsel een essentieel karakter : 1°) de categorie van verwerkte gegevens; 2°) de categorie van betrokken personen; 3°) de met de verwerking nagestreefde doelstelling; 4°) de categorie van personen die toegang hebben tot de verwerkte gegevens en 5°) de maximumtermijn voor het bewaren van de gegevens (zie in dezelfde zin het advies van de algemene vergadering van de afdeling wetgeving van de Raad van State nr. 68.936/AV van 7 april 2021 over een voorontwerp van wet « betreffende de maatregelen van bestuurlijke politie tijdens een epidemische noodsituatie », Parl. St., Kamer, 2020-2021, DOC 55-1951/001, p. 119).

B.11.3. Naast het formele wettigheidsvereiste legt artikel 22 van de Grondwet, in samenhang gelezen met artikel 8 van het Europees Verdrag voor de rechten van de mens en met de artikelen 7, 8 en 52 van het Handvest, de verplichting op dat de inmenging in het recht op eerbiediging van het privéleven en in het recht op bescherming van persoonsgegevens in duidelijke en voldoende nauwkeurige bewoordingen wordt geformuleerd die het mogelijk maken de hypothesen te voorzien waarin de wetgever een dergelijke inmenging in het recht op eerbiediging van het privéleven toestaat.

Inzake bescherming van de gegevens impliceert dat vereiste van voorzienbaarheid dat voldoende precies moet worden bepaald in welke omstandigheden de verwerkingen van persoonsgegevens zijn toegelaten (EHRM, grote kamer, 4 mei 2000, Rotaru t. Roemenië, § 57; grote kamer, 4 december 2008, S. en Marper t. Verenigd Koninkrijk, § 99). In dat verband heeft het Europees Hof voor de Rechten van de Mens erop gewezen dat er verschillende cruciale fases zijn waarbij vragen rond de bescherming van persoonsgegevens onder artikel 8 van het Europees Verdrag voor de rechten van de mens kunnen rijzen, waaronder gedurende de verzameling, de bewaring, het gebruik en de mededeling van gegevens (EHRM, 24 januari 2019, Catt t. Verenigd Koninkrijk, § 95).

Derhalve moet eenieder een voldoende duidelijk beeld kunnen hebben van de verwerkte gegevens, de bij een bepaalde gegevensverwerking betrokken personen en de voorwaarden voor en de doeleinden van de verwerking.

B.11.4. Bijgevolg onderzoekt het Hof eerst of, gelet op de verschillende elementen die in de bestreden bepaling en in de daarmee verbonden bepalingen zijn vervat, elke persoon wiens persoonsgegevens worden verzameld en opgeslagen in Gegevensbank I en, in voorkomend geval, in de andere gegevensbanken die door die Gegevensbank worden gevoed, op voldoende nauwkeurige wijze kan weten onder welke voorwaarden de verwerking van zijn gegevens geschiedt. 1. De wettigheid en de voorzienbaarheid van de inmenging B.12. Artikel 2 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bepaalt : « § 1. Teneinde de doelstellingen bepaald in artikel 1, § 2 te realiseren wordt binnen Sciensano Gegevensbank I opgericht waarin de categorieën van gegevens zoals beschreven in artikel 6 in het kader van de verwerkingsdoeleinden zoals omschreven in artikel 3 worden verwerkt voor de duur zoals bepaald in artikel 15. Deze gegevens worden meegedeeld door de daartoe bevoegde personen of in opdracht van de daartoe bevoegde personen van de ziekenhuizen, en de laboratoria, alsook door de artsen en de medewerkers van het contactcentrum, de gezondheidsinspectiediensten en de mobiele teams. § 2. De Gegevensbank I wordt opgericht onverminderd de reeds bestaande Gegevensbank II. Voor het verwezenlijken van de doelstelling onder artikel 1, § 2, 1°, h en 3° zullen de gegevens uit Gegevensbank I worden gepseudonimiseerd alvorens te worden opgenomen in Gegevensbank II conform de bepalingen van artikel 9 en 10. § 3. Teneinde de doelstellingen bepaald in artikel 1, § 2, 1°, b, e, f en g, te verwezenlijken, worden naast de Gegevensbank I eveneens de volgende tijdelijke gegevensbanken opgericht waartussen de categorieën van gegevens bepaald in artikel 6 zullen worden uitgewisseld, zij het uitsluitend voor de in artikel 3 bepaalde verwerkingsdoeleinden en conform hetgeen bepaald in artikel 10 voor de duur zoals bepaald in artikel 15 : 1° Gegevensbank III;2° Gegevensbank IV. § 4. Sciensano is de verwerkingsverantwoordelijke van de Gegevensbanken I en II. § 5. De bevoegde gefedereerde entiteiten of de door de bevoegde gefedereerde entiteiten aangeduide agentschappen ieder voor diens bevoegdheid, treden op als verwerkingsverantwoordelijke voor de Gegevensbanken III en IV met betrekking tot de persoonsgegevens verzameld en gebruikt [door de] door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra en nemen passende maatregelen opdat de personen bepaald in artikel 4 de in de artikelen 13 en 14 van de Algemene Verordening Gegevensbescherming bedoelde informatie en de in artikelen 15 tot en met 22 en artikel 34 van de Algemene Verordening Gegevensbescherming bedoelde communicatie in verband met de verwerking voor de verwerkingsdoeleinden bepaald in artikel 3, § 2 ontvangen. Deze informatie dient te worden voorzien in eenvoudige en duidelijke taal en in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm ».

B.13.1. Volgens artikel 1, § 1, 6°, van het samenwerkingsakkoord is Gegevensbank I « de middels dit samenwerkingsakkoord op te richten gegevensbank bij Sciensano voor de verwerking en uitwisseling van gegevens voor de verwerkingsdoeleinden bepaald in artikel 3 ».

Sciensano wordt aangewezen als verwerkingsverantwoordelijke van die gegevensbank (artikel 2, § 4, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3). Het betreft de openbare instelling met rechtspersoonlijkheid die met name als wettelijke opdrachten heeft adviezen te verlenen aan de overheden bevoegd voor gezondheid, persoonsgegevens met betrekking tot de volksgezondheid of in verband met de gezondheid te verwerken en wetenschappelijke analyses te maken op basis van de verwerkte informatie ter ondersteuning van het gezondheidsbeleid (artikelen 3 en 4, § 1, 1°, en § 4, van de wet van 25 februari 2018Relevante gevonden documenten type wet prom. 25/02/2018 pub. 21/03/2018 numac 2018011241 bron federale overheidsdienst volksgezondheid, veiligheid van de voedselketen en leefmilieu Wet tot oprichting van Sciensano type wet prom. 25/02/2018 pub. 19/06/2020 numac 2020021229 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van Sciensano. - Duitse vertaling van uittreksels sluiten « tot oprichting van Sciensano »). Sedert 17 juni 2021 bepaalt paragraaf 4/1 van artikel 4 van de wet van 25 februari 2018Relevante gevonden documenten type wet prom. 25/02/2018 pub. 21/03/2018 numac 2018011241 bron federale overheidsdienst volksgezondheid, veiligheid van de voedselketen en leefmilieu Wet tot oprichting van Sciensano type wet prom. 25/02/2018 pub. 19/06/2020 numac 2020021229 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van Sciensano. - Duitse vertaling van uittreksels sluiten, ingevoerd bij artikel 63 van de wet van 13 juni 2021 « houdende maatregelen ter beheersing van de COVID-19-pandemie en andere dringende maatregelen in het domein van de gezondheidszorg », dat « Sciensano [...] in het kader van de beheersing van volksgezondheidscrisissen als opdracht [heeft] om de wetenschappelijke aspecten die hieraan verbonden zijn te coördineren en uit te voeren, de risico's te bewaken en deze te evalueren door specifieke analyses van de verzamelde gegevens, adviezen en aanbevelingen te verstrekken aan de verschillende gezondheidsautoriteiten van het land, en de communicatie te organiseren ten behoeve van de overheden, de zorgverstrekkers en het publiek ». Die bepaling strekt ertoe de wettelijke opdrachten van Sciensano te verduidelijken en het gezag en de rol van die instelling in het kader van het beheer van gezondheidscrisissen te versterken (Parl. St., Kamer, 2020-2021, DOC 55-1929/001, p. 60).

Uit de bepalingen van het samenwerkingsakkoord en uit de algemene toelichting erbij blijkt dat Gegevensbank I een centrale gegevensbank is die is opgericht bij Sciensano teneinde de persoonsgegevens te verzamelen die, enerzijds, door de artsen, de laboratoria en de ziekenhuizen en, anderzijds, door de medewerkers van de contactcentra en door de mobiele teams worden verstrekt (artikel 2, § 1, derde zin, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3; Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 65 en 73). Het « contactcentrum » is de « door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide instantie die de betrokkene contacteert via elke mogelijk manier van communicatie, waaronder telefonisch, per e-mail of fysiek bezoek binnen het kader van de doeleinden zoals bepaald in artikel 3, § 2 en die vervolgens de verzamelde gegevens deelt met de Gegevensbank I » (artikel 1, § 1, 4°). De « mobiele teams » zijn de « medewerkers van het COVID-outbreak support team georganiseerd door de gezondheidsinspecties die ter plaatse maatregelen nemen in het geval van een cluster » (artikel 1, § 1, 12°). Een « cluster » is « een concentratie van personen besmet of mogelijks besmet met het coronavirus COVID-19 in collectiviteiten » (artikel 1, § 1, 2°). Een « collectiviteit » is « een gemeenschap van personen met betrekking tot dewelke de bevoegde gezondheidsinspecties oordelen dat er een verhoogd risico op de verspreiding [van] het coronavirus COVID-19 bestaat » (artikel 1, § 1, 3°), bijvoorbeeld : een ziekenhuis, een school, een asielcentrum, een gevangenis, een woonzorgcentrum, een werkplaats, een instelling voor personen met een beperking, een kinderopvang, een revalidatiecentrum of een kazerne (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, p. 76).

B.13.2. Gegevensbank I wordt opgericht naast een andere gegevensbank die reeds bestaat bij Sciensano (Gegevensbank II). De persoonsgegevens uit Gegevensbank I worden, na pseudonimisering, opgeslagen in Gegevensbank II om te worden gebruikt met het oog op wetenschappelijk onderzoek (artikel 2, § 2). In de algemene toelichting bij het samenwerkingsakkoord wordt vermeld dat het « e-Health »-platform instaat voor die pseudonimisering, die plaatsvindt na het opslaan van de gegevens in Gegevensbank I en voordat zij worden gedeeld met Gegevensbank II (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 69-74, in het bijzonder p. 71).

B.13.3. Bij het samenwerkingsakkoord worden bovendien drie andere gegevensbanken opgericht : een gegevensbank die gemeenschappelijk is voor de contactcentra en die de opdrachten en de belopdrachten voor de medewerkers van de contactcentra bevat (Gegevensbank III), een gegevensbank met contactgegevens van collectiviteiten (Gegevensbank IV) (artikel 1, § 1, 8° en 9°, en artikel 2, § 3) en de centrale loglijst van de digitale contactopsporingsapplicatie (Gegevensbank V) (artikel 1, § 1, 10°, en artikel 14, § 3, 2°).

Gegevensbanken III en IV « wisselen gegevens uit in het kader van het contactonderzoek, dit met elkaar en met de Gegevensbank I » (Parl.

St., Kamer, 2019-2020, DOC 55-1490/001, p. 75; zie artikel 2, § 3). De bevoegde gefedereerde entiteiten of hun agentschappen worden aangewezen als verwerkingsverantwoordelijken voor Gegevensbanken III en IV (artikel 2, § 5). Volgens de algemene toelichting bij het samenwerkingsakkoord gaat het om het Vlaams Agentschap Zorg en Gezondheid, het « Agence wallonne pour une vie de qualité », het ministerie van de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, p. 74). Sciensano is de verwerkingsverantwoordelijke van Gegevensbank V (artikel 14, § 3, 3°) die, bij Sciensano, afzonderlijk wordt gehouden van Gegevensbanken I en II (artikel 1, § 1, 10°).

B.13.4. Daaruit vloeit voort dat Gegevensbank I de bron vormt van de persoonsgegevens die worden doorgegeven aan Gegevensbank II die voor wetenschappelijk onderzoek wordt gebruikt. Zij vormt daarenboven de bron en de ontvanger van de persoonsgegevens die worden verzameld in Gegevensbank III en in Gegevensbank IV. Uit het voormelde artikel 1, § 1, 4°, van het samenwerkingsakkoord en uit de algemene toelichting erbij blijkt immers dat Gegevensbank I met name de informatie bevat die door de contactcentra is verzameld bij besmette personen en bij vermoedelijk besmette personen met betrekking tot de personen met wie die contact hebben gehad en de informatie die door de mobiele teams bij collectiviteiten is verzameld : « Teneinde het manuele contactonderzoek zo efficiënt mogelijk te maken dient de Gegevensbank I te fungeren als de centrale gegevensbank in de strijd tegen de verspreiding van het coronavirus COVID-19. Sciensano, als verwerkingsverantwoordelijke, beheert de Gegevensbank I die persoonsgegevens bevat die door zorgverleners en zorginstellingen zijn verstrekt. Echter voor de doelstellingen uiteengezet in dit samenwerkingsakkoord zal het ook noodzakelijk zijn dat de medewerkers van de contactcentra (met inbegrip van veldonderzoekers) en de mobiele teams de door hen verzamelde gegevens met de Gegevensbank I delen. Dit met het oogmerk een zo efficiënt en volledig mogelijk manueel contactonderzoek te organiseren » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, p. 73). « De door de mobiele teams verzamelde gegevens kunnen tevens worden doorgegeven aan Sciensano om te worden opgeslagen in de Gegevensbank I voor de verdere verwerking en mededeling ervan, zij het enkel voor de binnen dit samenwerkingsakkoord bepaalde verwerkingsdoeleinden » (ibid. p. 89).

B.13.5. Gegevensbank I staat daarentegen los van Gegevensbank V. a) De verwerkingsdoeleinden B.14.1. Artikel 3 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 vermeldt de doeleinden van de verwerking van de in Gegevensbank I verzamelde persoonsgegevens « en de daaropvolgende gegevensuitwisseling naar de Gegevensbanken II, III en IV » (Parl.

St., Kamer, 2019-2020, DOC 55-1490/001, p. 76).

B.14.2. Zoals de Gegevensbeschermingsautoriteit heeft opgemerkt in haar advies nr. 64/2020 van 20 juli 2020 over het ontwerp van samenwerkingsakkoord dat het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 is geworden, kunnen die doeleinden worden samengebracht in drie categorieën (Parl. St., Kamer, 2019-2020, DOC 55-1490/002, pp. 11-12).

Het eerste doeleinde bestaat erin het de contactcentra mogelijk te maken (vermoedelijk) besmette personen en hun contacten manueel op te sporen (hierna : het doeleinde van manuele contactopsporing). Daartoe ontvangen de contactcentra, via een gegevensuitwisseling tussen Gegevensbank I en Gegevensbank III, de categorieën van persoonsgegevens met betrekking tot de personen categorie II « voor zover de coronavirus COVID-19-test uitwees dat ze besmet zijn » (hierna : de positief geteste personen categorie II) en de vermoedelijk besmette personen (personen categorie III), teneinde hun eventuele aanbevelingen te doen maar vooral om hun te vragen informatie te verstrekken over de personen met wie zij contact hebben gehad (artikel 3, § 1, 1°, in samenhang gelezen met artikel 1, § 1, 14° en 15°;zie ook artikel 3, § 2, 1°, en artikel 10, § 1). Die informatie moet het de contactcentra vervolgens mogelijk maken de personen te contacteren met wie de positief geteste personen en de vermoedelijk besmette personen contact hebben gehad gedurende een periode van veertien dagen vóór en veertien dagen na de eerste tekenen van besmetting (personen categorie IV) om hun hygiëne- en preventierichtlijnen te verstrekken, quarantaine voor te stellen of uit te nodigen om te worden getest (artikel 3, § 1, 2°, A, in samenhang gelezen met artikel 1, § 1, 16°; zie ook artikel 3, § 2, 2°, A). Die informatie moet het de contactcentra ook mogelijk maken om de referentiearts of de administratief verantwoordelijke van de collectiviteiten te contacteren waarmee die positief geteste en vermoedelijk besmette personen gedurende een periode van veertien dagen vóór en veertien dagen na de eerste symptomen van de besmetting met het coronavirus COVID-19 in contact zijn geweest (personen categorie VI) om hen te informeren over de (vermoedelijke) besmetting van de voornoemde personen (artikel 3, § 1, 2°, B, in samenhang gelezen met artikel 1, § 1, 18°; zie ook artikel 3, § 2, 2°, B, en artikel 10, § 1).

Het tweede doeleinde bestaat erin het de mobiele teams en de gezondheidsinspectiediensten van de gefedereerde entiteiten mogelijk te maken initiatieven te nemen om uitbreiding van schadelijke effecten die veroorzaakt zijn door COVID-19 tegen te gaan in het kader van het vervullen van hun reglementaire opdrachten (hierna : het doeleinde van preventie). Daartoe hebben de teams en diensten die zijn bedoeld in het Vlaamse decreet van 21 november 2003Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten1 « betreffende het preventieve gezondheidsbeleid », in het decreet van de Duitstalige Gemeenschap van 1 juni 2004 « betreffende de gezondheidspromotie en inzake medische preventie » en de uitvoeringsbesluiten ervan, in de ordonnantie van het Brusselse Hoofdstedelijke Gewest van 19 juli 2007 « betreffende het preventieve gezondheidsbeleid », in het decreet van het Waalse Gewest van 2 mei 2019 « tot wijziging van het Waalse Wetboek van Sociale Actie en Gezondheid wat betreft de preventie en de bevordering van de gezondheid », in het besluit van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie van 23 april 2009 « betreffende de profylaxe tegen overdraagbare ziekten » en in het besluit van de Vlaamse Regering van 19 juni 2009 « betreffende initiatieven om uitbreiding van schadelijke effecten, die veroorzaakt zijn door biotische factoren, tegen te gaan », toegang tot de persoonsgegevens die zijn verzameld in Gegevensbank I met betrekking tot de personen van de categorieën I tot IV (artikel 3, § 1, 3°; artikel 3, § 3, en artikel 10, § 2).

Het derde doeleinde bestaat erin de onderzoeksinstellingen, waaronder Sciensano, in staat te stellen wetenschappelijke of statistische studies uit te voeren inzake de strijd tegen de verspreiding van COVID-19 en/of het beleid op dat gebied te ondersteunen (hierna : het doeleinde van wetenschappelijk onderzoek). Daartoe worden de persoonsgegevens met betrekking tot de personen van de categorieën I tot V die in Gegevensbank I zijn vervat, ter beschikking gesteld van Gegevensbank II in gepseudonimiseerde vorm en vervolgens ter beschikking gesteld van de onderzoeksinstellingen, waaronder Sciensano, in geanonimiseerde of minstens gepseudonimiseerde vorm (artikel 3, § 1, 4°; zie ook : artikel 1, § 2, 1°, h; artikel 1, § 2, 3°, en artikel 10, § 3, eerste zin).

B.14.3. In artikel 3, § 4, wordt vermeld dat de krachtens het samenwerkingsakkoord verzamelde gegevens niet mogen worden gebruikt voor andere doelstellingen, « in het bijzonder maar niet uitsluitend politionele, commerciële, fiscale, strafrechtelijke of aan staatsveiligheid verbonden doelstellingen ». b) De categorieën van verzamelde persoonsgegevens en de categorieën van betrokken personen B.15.1. Artikel 6, §§ 2 tot 7, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bepaalt de categorieën van persoonsgegevens die in Gegevensbank I zijn vervat voor elke categorie van betrokken personen.

B.15.2. Voor de personen die over een voorschrift beschikken (personen categorie I), bevat Gegevensbank I de volgende categorieën van persoonsgegevens : « 1° het INSZ-nummer; 2° de naam en de voornaam; 3° het geslacht; 4° de geboortedatum en, in voorkomend geval, de overlijdensdatum; 5° het adres; 6° contactgegevens, met inbegrip van telefoonnummer en e-mailadres van de betrokkene en van de in geval van nood te contacteren persoon of wettelijke vertegenwoordiger, en de aanduiding van de relatie van deze personen tot de betrokkene (ouder, voogd, huisarts,...); 7° datum van aanvang van symptomen; 8° het RIZIV-nummer van de voorschrijver van de [test]; 9° gegevens met betrekking tot de voorgeschreven [test], met inbegrip van de datum en het soort [test]; 10° de aanduiding van het al dan [niet] uitoefenen van het beroep van zorgverlener; 11° de ziekenhuisafdeling, het identificatienummer en locatiegegevens van het ziekenhuis, indien de betrokkene is gehospitaliseerd; 12° eventueel het resultaat van de CT-scan, indien de betrokkene is gehospitaliseerd; 13° de eventuele collectiviteit waarvan de betrokkene deel uitmaakt of [waar hij] in contact mee is gekomen » (artikel 6, § 2, eerste lid). De naam en voornaam, de geboortedatum, het geslacht en het adres worden opgehaald uit het Rijksregister of uit de registers van de Kruispuntbank van de Sociale Zekerheid (artikel 6, § 2, tweede lid).

B.15.3. Voor de geteste personen (personen categorie II) bevat Gegevensbank I, naast de in B.15.2 reeds aangehaalde gegevens, « 2° de datum, [het] resultaat, staalnummer en type van de [test]; 3° het RIZIV-nummer van het labo dat de [test] heeft uitgevoerd; 4° in geval van een testresultaat op grond waarvan geen besmetting kon worden vastgesteld, de mogelijke beslissing tot overruling hiervan door een arts; 5° in geval van een testresultaat op grond waarvan geen besmetting kon worden vastgesteld, het RIZIV-nummer van de arts die de beslissing tot overruling heeft genomen » (artikel 6, § 3, eerste lid).

Die gegevens worden verstrekt door « de daartoe bevoegde personen of in opdracht van de daartoe bevoegde personen van het laboratorium, het ziekenhuis of andere zorginstelling of zorgverstrekker die de [test] heeft uitgevoerd », met uitzondering van de eventuele beslissing tot overruling die door een arts is genomen bij een negatief testresultaat en het RIZIV-nummer van die arts, die door de betrokken arts worden meegedeeld (artikel 6, § 3, tweede lid).

B.15.4. Voor de vermoedelijk besmette personen (personen categorie III) bevat Gegevensbank I, naast de in het 1° tot 7°, 10° en 13°, bedoelde gegevens, reeds aangehaald in B.15.2, « 7° de vermoedelijke diagnose van besmetting [...]; 8° het RIZIV-nummer van de arts die het ernstig vermoeden formuleert; [...] 12° de gegevens noodzakelijk voor het contactcentrum om nuttig contact te leggen met de betrokkene, met inbegrip van postcode en taal » (artikel 6, § 4, eerste lid). De naam en voornaam, de geboortedatum, het geslacht en het adres worden opgehaald uit het Rijksregister of uit de registers van de Kruispuntbank van de Sociale Zekerheid (artikel 6, § 4, tweede lid, tweede zin).

Die gegevens worden verstrekt door de arts die vermoedt dat er een besmetting is (artikel 6, § 4, tweede lid, eerste zin).

B.15.5. Voor de personen die contact hebben gehad met een positief geteste persoon of met een vermoedelijk besmette persoon (personen categorie IV) en, in voorkomend geval, voor de positief geteste personen categorie II en voor de vermoedelijk besmette personen (personen categorie III), bevat Gegevensbank I : « 1° het INSZ-nummer; 2° de naam en de voornaam;3° het geslacht; 4° de geboortedatum en, in voorkomend geval[,] de overlijdensdatum; 5° het adres; 6° de contactgegevens, met inbegrip van het telefoonnummer en het e-mailadres; 7° de gegevens noodzakelijk voor het contactcentrum om verder nuttig contact te leggen met de persoon bedoeld in deze paragraaf en de lijst met personen waarmee de persoon bedoeld in deze paragraaf recent contact heeft gehad, met inbegrip van postcode en taal, en het ingeschatte besmettingsrisico] van de persoon bedoeld in deze paragraaf; 8° lijst met collectiviteiten waarvan de persoon bedoeld in deze paragraaf deel uitmaakt of [waar hij] in contact mee is gekomen, waarvan de gegevens worden meegedeeld door de Gegevensbank IV; 9° de relevante criteria voor inschatting voor hoog of laag besmettingsrisico en het geven van advies, met inbegrip van eventuele symptomen, tijdstip van aanvang van de symptomen, type van voorgeschreven [test], doktersbezoek, registratie van eventuele weigering tot doktersbezoek; 10° de aan het contactcentrum meegedeelde relevante gegevens door de persoon bedoeld in deze paragraaf met betrekking tot de gemaakte verplaatsingen, symptomen, en opvolging van isolatie-[,] preventie- en hygiënemaatregelen; 11° het loutere feit dat er tussen de Persoon Categorie IV en de Personen Categorie I, II, III een contact is geweest, met inbegrip van het deel uitmaken van het huishouden van de Persoon Categorie IV; 12° het antwoord op de vraagaanduiding of (i) de [positief geteste Personen Categorie II]; (ii) Personen Categorie III; of (iii) de Personen Categorie IV al dan niet gebruik maken van een digitale contactopsporingsapplicatie » (artikel 6, § 5).

Dezelfde bepaling voorziet erin dat die gegevens worden verstrekt door de contactcentra.

B.15.6. Voor de positief geteste personen categorie II, voor de personen van de categorieën III en IV en voor de personen die behoren tot een cluster, bevat Gegevensbank I eveneens : « alle gegevens die nodig zijn voor de organisatie en de opvolging van de contactname met de betrokkene door medewerkers van het contactcentrum, zoals de taal van de betrokkene, de contactstatus van de betrokkene, de ticketnummers van de contactopnames of de pogingen tot contactnames, de soorten contactnames, het tijdstip van de tickets, het tijdstip en de duurtijd van de contactname, het resultaat van de contactname » (artikel 6, §§ 6 en 7).

Voor de positief geteste personen categorie II en voor de personen van categorie III en IV worden die gegevens aangeleverd door de contactcentra (artikel 6, § 6). Voor de personen die behoren tot een cluster, worden die gegevens aangeleverd door de bevoegde mobiele teams of gezondheidsinspectiediensten (artikel 6, § 7).

B.16.1. De in Gegevensbanken II, III en IV vervatte categorieën van persoonsgegevens worden opgesomd in de artikelen 7 tot 9 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3.

B.16.2. Gegevensbank II bevat aldus, voor de personen van de categorieën I, II en III, « de persoonsgegevens opgelijst in artikel 6 [...], doch enkel na pseudonimisering », namelijk : « 1° een uniek nummer dat niet toelaat de persoon te identificeren; 2° het geboortejaar en, in voorkomend geval, het jaar en maand van overlijden; 3° het geslacht; 4° de postcode; 5° het RIZIV-nummer van de voorschrijver van de coronavirus COVID-19-test; 6° het type, de datum, het staalnummer en het resultaat van een coronavirus COVID-19-test of de vermoedelijke diagnose bij afwezigheid van coronavirus COVID-19-test; 7° het RIZIV-nummer van het labo [dat] de coronavirus COVID-19-test heeft uitgevoerd; 8° in geval van een negatief testresultaat, een mogelijk[e] beslissing tot overruling hiervan door een arts; 9° [in geval] van overruling van een negatief testresultaat, het RIZIV-nummer van de arts die de beslissing tot overruling heeft genomen; 10° het type en postcode van de eventuele collectiviteit waarvan de persoon deel uitmaakt of [waar hij] in contact mee is gekomen; 11° het resultaat van medische onderzoeken, met inbegrip van het resultaat van de CT-scan; 12° de aanduiding van het al dan [niet] uitoefenen van het beroep van zorgverlener; 13° gegevens relevant voor de contactopsporing, met inbegrip van symptomen, datum van de eerste symptomen, verplaatsingen, opvolging van isolatie- en hygiënemaatregelen; 14° het loutere feit dat er een contact is geweest tussen, en met inbegrip van het deel uitmaken van het huishouden van, de persoon Categorie IV en enerzijds de Personen Categorie II voor zover de coronavirus COVID-19-test uitwees dat deze personen besmet zijn en anderzijds de Personen Categorie III » (artikel 9, § 1).

Voor de personen categorie IV bevat Gegevensbank II « de persoonsgegevens opgelijst in artikel 6 [...], doch enkel na pseudonimisering », namelijk : « 1° een uniek nummer dat niet toelaat de persoon te identificeren; 2° het geboortejaar en, in voorkomend geval, het jaar en de maand van overlijden; 3° het geslacht; 4° symptomen; 5° het al dan niet contact met kwetsbare personen; 6° het resultaat en de datum van de voorgeschreven coronavirus COVID-19-test; 7° het beroep van zorgverlener uitoefenen;8° de strikt noodzakelijke gegevens met betrekking tot de contactopname, met inbegrip van datum van ticket en algemeen resultaat van de contactopname in de vorm van een code; 9° alle relevante criteria voor inschatting voor hoog of laag risico; 10° postcode van het adres » (artikel 9, § 2).

B.16.3. Gegevensbank III bevat de volgende categorieën van persoonsgegevens met betrekking tot de positief geteste personen categorie II en de personen categorie III : « 1° het INSZ-nummer; 2° de naam en de voornaam; 3° het geslacht; 4° de geboortedatum; 5° de contactgegevens, met inbegrip van het adres, telefoonnummer en e-mailadres en de in geval van nood te contacteren personen; 6° de gegevens noodzakelijk voor het contactcentrum om nuttig contact te leggen met de betrokkene, met inbegrip van postcode en taal; 7° de aanduiding dat de persoon moet worden gebeld als (vermoedelijk) besmet persoon om zijn contacten op te sporen; 8° indien van toepassing, het testresultaat en de datum van de coronavirus COVID-19-test; 9° het ticketnummer, datum, tijdstip en resultaat van de contactopname » (artikel 7, § 2).

Voor de personen categorie IV bevat Gegevensbank III : « 1° het INSZ-nummer; 2° de naam en de voornaam; 3° het geslacht; 4° de geboortedatum en, in voorkomend geval[,] de overlijdensdatum; 5° het adres; 6° de contactgegevens, met inbegrip van het telefoonnummer en het e-mailadres; 7° de gegevens noodzakelijk voor het contactcentrum om verder nuttig contact te leggen met de persoon bedoeld in deze paragraaf en de lijst met personen waarmee de persoon bedoeld in deze paragraaf recent contact heeft gehad, met inbegrip van postcode en taal van de persoon bedoeld in deze paragraaf; 8° lijst met collectiviteiten waarvan de persoon bedoeld in deze paragraaf deel uitmaakt of [waar hij] in contact mee is gekomen, waarvan de gegevens worden meegedeeld door de Gegevensbank IV; 9° de relevante criteria voor inschatting voor hoog of laag besmettingsrisico en het geven van advies, met inbegrip van eventuele symptomen, tijdstip van aanvang van de symptomen, type van voorgeschreven coronavirus COVID-19-test, doktersbezoek, registratie van eventuele weigering tot doktersbezoek; 10° de aan het contactcentrum en mobiele teams meegedeelde relevante gegevens door de persoon bedoeld in deze paragraaf met betrekking tot de gemaakte verplaatsingen, symptomen, en opvolging van isolatie [,] preventie- en hygiënemaatregelen;11° het loutere feit dat er een contact is geweest tussen, en met inbegrip van het deel uitmaken van het huishouden van, de persoon Categorie IV en enerzijds de Personen Categorie II voor zover de coronavirus COVID-19-test uitwees dat deze personen besmet zijn en anderzijds de Personen Categorie III » (artikel 7, § 3).

Voor de personen categorie VI bevat Gegevensbank III : « 1° naam, type, contactgegevens van de collectiviteit; 2° contactinformatie van referentiearts en/of verantwoordelijke van de collectiviteit, met inbegrip van naam, voornaam en telefoonnummer » (artikel 7, § 4).

B.16.4. Gegevensbank IV bevat de volgende categorieën van persoonsgegevens met betrekking tot de personen van categorie V en VI : « 1° identificatienummer uit authentieke bron, met name het Rijksregister of de Kruispuntbank van de sociale zekerheid, en intern identificatienummer; 2° naam, type, adres, nummer zoals weergegeven in de Kruispuntbank der Ondernemingen, van de collectiviteit waarvan de persoon deel uitmaakt of [waar hij] in contact mee is gekomen; 3° contactinformatie van referentiearts en/of verantwoordelijke van de collectiviteit, met inbegrip van naam, voornaam en telefoonnummer » (artikel 8). c) De categorieën van personen die toegang hebben tot de gegevens B.17.1. Uit artikel 2, §§ 4 en 5, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 blijkt dat Gegevensbanken I tot IV toegankelijk zijn voor de respectieve verwerkingsverantwoordelijke ervan, namelijk : Sciensano voor Gegevensbanken I en II, en de bevoegde gefedereerde entiteiten of hun agentschappen voor Gegevensbanken III en IV. B.17.2. Daarenboven hebben de contactcentra, volgens artikel 10, § 1, eerste lid, van het samenwerkingsakkoord, enkel toegang « tot de in artikel 7, § 2, § 3 en § 4 bedoelde categorieën van persoonsgegevens », met andere woorden tot de persoonsgegevens uit Gegevensbank III met betrekking tot de positief geteste personen categorie II en de personen van de categorieën III, IV en VI. Volgens artikel 10, § 1, tweede lid, worden met de toegang van de contactcentra tot de gegevens uit Gegevensbank III « de doeleinden vermeld in artikel 3, § 1, 1° tot en met 3°, en artikel 3, § 2 », met andere woorden het doeleinde van manuele contactopsporing en het doeleinde van preventie, nagestreefd.

B.17.3. Volgens artikel 10, § 2, van het samenwerkingsakkoord hebben de bevoegde mobiele teams en de gezondheidsinspectiediensten enkel « voor de doeleinden vermeld in artikel 3, § 1, 3° », met andere woorden voor het doeleinde van preventie, toegang « tot de in artikel 6 bedoelde categorieën van persoonsgegevens van de Personen Categorieën I, II, III en IV en waar nodig van de Personen Categorieën V en VI in de Gegevensbank I ».

B.17.4. Artikel 10, § 3, eerste zin, van het samenwerkingsakkoord bepaalt dat de persoonsgegevens uit Gegevensbank I verder worden doorgegeven, na pseudonimisering, aan Gegevensbank II « voor de doeleinden zoals bepaald in artikel 3, § 1, 4° », met andere woorden voor het doeleinde van wetenschappelijk onderzoek.

B.17.5. Uit het voorgaande vloeit voort dat, naast de toegang waarover de respectievelijke verwerkingsverantwoordelijke ervan beschikt, Gegevensbank I bovendien toegankelijk is voor de mobiele teams en voor de bevoegde gezondheidsinspectiediensten, terwijl Gegevensbank III toegankelijk is voor de contactcentra. d) De maximale bewaringstermijn van de gegevens B.18.1. Overeenkomstig het beginsel van opslagbeperking van de gegevens moeten persoonsgegevens worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is (artikel 5, lid 1, punt e), van de AVG).

B.18.2. Volgens artikel 15, § 1, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 worden de in Gegevensbank I vervatte gegevens uiterlijk 60 dagen na het opslaan ervan gewist. Dezelfde bepaling voorziet erin dat de in Gegevensbank III opgeslagen gegevens dagelijks worden gewist.

Artikel 15, § 3, bepaalt dat Gegevensbanken I en III door de verwerkingsverantwoordelijke worden « gedesactiveerd en opgeheven of gewist » ten laatste vijf dagen na de dag van publicatie van het koninklijk besluit dat het einde van de toestand van de COVID-19-epidemie afkondigt.

B.19.1. Wat betreft de maximale bewaringstermijn van de gepseudonimiseerde persoonsgegevens die zijn opgeslagen in Gegevensbank II, voorzag artikel 15, § 2, van het ontwerp van samenwerkingsakkoord erin dat die gegevens zouden worden gewist « conform hetgeen bepaald in de wet van 10 april 2014Relevante gevonden documenten type wet prom. 10/04/2014 pub. 30/04/2014 numac 2014024167 bron federale overheidsdienst volksgezondheid, veiligheid van de voedselketen en leefmilieu Wet houdende diverse bepalingen inzake gezondheid sluiten houdende diverse bepalingen inzake gezondheid en de in uitvoering daarvan afgesloten samenwerkingsovereenkomst tussen RIZIV en Sciensano ».

Ingevolge het advies van de Gegevensbeschermingsautoriteit nr. 64/2020 van 20 juli 2020 (Parl. St., Kamer, 2019-2020, DOC 55-1490/002, p. 23) voorziet artikel 15, § 2, van het uiteindelijk aangenomen samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 erin dat die gegevens worden gewist « conform de algemeen aanvaarde termijn voor het bewaren van gegevens betreffende de gezondheid en in het kader van wetenschappelijk onderzoek met betrekking tot gezondheidsgegevens, met name dertig jaar ».

B.19.2. Wanneer de verzoekende partijen, in het tiende onderdeel van het enige middel, aanklagen dat artikel 15, § 2, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 de bewaringstermijn van de in Gegevensbank II opgeslagen gepseudonimiseerde gegevens niet met de vereiste duidelijkheid preciseert, verwijzen zij naar het ontwerp van samenwerkingsakkoord en niet naar het samenwerkingsakkoord zelf.

Aangezien het op een verkeerde premisse is gebaseerd, is het tiende onderdeel van het enige middel niet gegrond.

B.20.1. Volgens artikel 15, § 1 en § 3, tweede zin, van het samenwerkingsakkoord worden de in Gegevensbank IV opgeslagen persoonsgegevens overgedragen aan de inzake het opsporen van besmettelijke infectieziekten bevoegde gefedereerde entiteiten binnen de vijf dagen na de dag van publicatie van het koninklijk besluit dat het einde van de toestand van de COVID-19-epidemie afkondigt.

Er wordt geen maximale bewaringstermijn vastgesteld voor de persoonsgegevens die in Gegevensbank IV zijn opgeslagen.

B.20.2. Artikel 15, § 1, van het ontwerp van samenwerkingsakkoord bepaalde : « [...] De persoonsgegevens uit de Gegevensbank IV worden ofwel om de 10 jaar geüpdatet ofwel gewist. [...] ».

In haar advies nr. 67.719/VR van 15 juli 2020 over het voorontwerp van wet dat de bestreden wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0 is geworden, had de afdeling wetgeving van de Raad van State in verband met die bepaling aangegeven dat de ontstentenis van een maximumtermijn voor het bewaren van de in Gegevensbank IV vervatte persoonsgegevens niet in overeenstemming was met de AVG : « In [...] artikel 15, § 1, eerste lid, van het samenwerkingsakkoord [wordt] bepaald dat de persoonsgegevens uit de Gegevensbank IV ofwel om de tien jaar geüpdatet ofwel gewist worden. Op een vraag in dat verband hebben de gemachtigden het volgende geantwoord : ' Na een termijn van 10 jaar worden de gegevens ofwel gewist, ofwel nagekeken op hun accuraatheid en indien nodig geüpdatet. Indien in geval van niet-accurate gegevens updaten onmogelijk is of niet opportuun, zullen de gegevens gewist worden. Zolang ze niet gewist zijn, zijn ze accuraat en zijn dit de gegevens van de contactpersonen van de collectiviteiten. In geval van uitbraken van andere infectieziekten, zal dit immers zeer nuttig zijn '.

Dat aldus voor die persoonsgegevens niet wordt voorzien in een maximale bewaringstermijn, is evenwel niet conform artikel 5, lid 1, e), van de AVG, naar luid waarvan ' persoonsgegevens (...) bewaard [moeten worden] in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan [noodzakelijk is] voor de doeleinden waarvoor de persoonsgegevens worden verwerkt '. 39.2. Op de vraag wat de redenen zijn voor de uitzondering die volgens paragraaf 1, tweede lid, gemaakt wordt, wat de Gegevensbanken IV en V betreft, hebben de gemachtigden het volgende geantwoord : ' Het komt opportuun voor om deze Gegevensbank [IV] te [laten] voortbestaan na de COVID19 crisis. Immers, deze Gegevensbank zal ook haar nut in de toekomst bewijzen. Daarenboven bevat het merendeel van deze gegevens geen persoonsgegevens, maar gegevens over de collectiviteiten zelf '.

Het dispositief moet aldus worden herzien dat het beantwoordt aan het beginsel dat het aan de wetgever staat om de bewaringstermijnen voor de persoonsgegevens vast te stellen » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 55-56).

B.20.3. In de algemene toelichting bij het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 wordt vermeld : « De persoonsgegevens uit Gegevensbank III worden dagelijks gewist en de persoonsgegevens in Gegevensbank IV voortdurend geüpdatet, ofwel gewist. In geval dat niet-accurate gegevens updaten onmogelijk is of niet opportuun, zullen de gegevens gewist worden. Zolang ze niet gewist zijn, zijn ze accuraat en zijn dit de gegevens van de contactpersonen van de collectiviteiten die worden bewaard. De persoonsgegevens uit Gegevensbank IV worden ten laatste vijf dagen na de dag van publicatie van het koninklijk besluit dat het einde van de toestand van de coronavirus COVID-19-epidemie afkondigt, overgedragen aan de bevoegde gefedereerde entiteiten voor de uitoefening van hun bevoegdheid inzake het opsporen van besmettelijke infectieziekten in het kader van de materiële bevoegdheden inzake preventieve gezondheidszorg. Immers, in geval van uitbraken van andere infectieziekten, zal het bewaren van de accurate persoonsgegevens in Gegevensbank IV zeer nuttig zijn. Daarenboven bevat Gegevensbank IV slechts voor een beperkt deel persoonsgegevens » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, p. 105).

B.20.4. Gegevensbank IV bevat verschillende categorieën van persoonsgegevens met betrekking tot de personen van categorie V en VI. Die gegevens worden opgesomd in het voormelde artikel 8 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3.

Door niet in de maximumtermijn voor het bewaren van die persoonsgegevens te voorzien, zijn de artikelen 2, § 3, en 15, § 1 et § 3, tweede zin, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, zoals zij bij de bestreden akten werden goedgekeurd, niet bestaanbaar met de artikelen 10, 11 en 22 van de Grondwet, in samenhang gelezen met artikel 5, lid 1, punt e), van de AVG. B.21. Onder voorbehoud van de gedeeltelijke vernietiging vermeld in B.20.4 bepaalt artikel 2 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, in samenhang gelezen met de artikelen 1, 3, 6 tot 10 en 15 ervan, de categorieën van verwerkte gegevens in Gegevensbank I en Gegevensbanken II, III en IV die ermee verbonden zijn, de categorieën van betrokken personen, de met de verwerking nagestreefde doelstellingen, de categorieën van personen die toegang hebben tot de verwerkte gegevens en de maximumtermijn voor het bewaren van de gegevens. Overeenkomstig artikel 3, § 4, is het gebruik van de verzamelde gegevens voor andere doelstellingen dan die welke in B.14.2 worden vermeld, overigens verboden.

De personen wier persoonsgegevens worden verzameld in Gegevensbank I en de daarmee verbonden gegevensbanken, kunnen de voorwaarden waaronder hun gegevens worden verwerkt, bijgevolg op voldoende nauwkeurige wijze kennen. 2. De noodzaak en de evenredigheid van de inmenging B.22. Het Hof onderzoekt thans de noodzaak en de evenredigheid van de inmenging.

In het kader van dat onderzoek dient te worden nagegaan of de inmenging niet verder gaat dan hetgeen nodig is voor het verwezenlijken van de nagestreefde doelstellingen en, in het bijzonder, of er maatregelen bestaan die minder afbreuk doen aan de betrokken rechten, terwijl ze op doeltreffende wijze bijdragen tot het doel van de in het geding zijnde regelgeving (HvJ, 17 oktober 2013, C-291/12, Schwarz t. Stadt Bochum, punten 46 en 47). De bescherming van het grondrecht op eerbiediging van het privéleven op het niveau van de Unie vereist, volgens vaste rechtspraak van het Hof van Justitie, dat de uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven (HvJ, 16 december 2008, C-73/07, Satakunnan Markkinapörssi en Satamedia, punt 56; 8 april 2014, C-293/12 en C-594/12, Digital Rights Ireland e.a., punten 51 en 52; 6 oktober 2015, C-362/14, Schrems, punt 92; 21 december 2016, C-203/15 en C-698/15, Tele2 Sverige en Watson e.a., punten 96 en 103; 6 oktober 2020, C-511/18, C-512/18 en C-520/18, La Quadrature du Net e.a., punt 130).

Bij de beoordeling van de evenredigheid van maatregelen met betrekking tot de verwerking van persoonsgegevens, dient rekening te worden gehouden met, onder meer, het geautomatiseerde karakter ervan, de gebruikte technieken, de accuraatheid, de pertinentie en het al dan niet buitensporige karakter van de gegevens die worden verwerkt, het al dan niet voorhanden zijn van maatregelen die de duur van de bewaring van de gegevens beperken, het al dan niet voorhanden zijn van een systeem van onafhankelijk toezicht dat toelaat na te gaan of de bewaring van de gegevens nog langer is vereist, het al dan niet voorhanden zijn van afdoende controlerechten en rechtsmiddelen voor de betrokkenen, het al dan niet voorhanden zijn van waarborgen ter voorkoming van stigmatisering van de personen van wie de gegevens worden verwerkt en het al dan niet voorhanden zijn van waarborgen ter voorkoming van foutief gebruik en misbruik van de verwerkte persoonsgegevens door de overheidsdiensten (arrest nr. 108/2016, 14 juli 2016, B.12.2; arrest nr. 29/2018, 15 maart 2018, B.14.4; arrest nr. 27/2020, 20 februari 2020, B.8.3; EHRM, grote kamer, 4 mei 2000, Rotaru t. Roemenië, § 59; beslissing, 29 juni 2006, Weber en Saravia t. Duitsland, § 135;28 april 2009, K.H. e.a. t. Slowakije, §§ 60-69; grote kamer, 4 december 2008, S. en Marper t. Verenigd Koninkrijk, §§ 101-103, 119, 122 en 124; 18 april 2013, M.K. t. Frankrijk, §§ 37 en 42-44; 18 september 2014, Brunet t. Frankrijk, §§ 35-37; 12 januari 2016, Szabó en Vissy t. Hongarije, § 68; HvJ, grote kamer, 8 april 2014, C-293/12, Digital Rights Ireland Ltd en C-594/12, Kärntner Landesregierung e.a., punten 56-66).

B.23. Zoals in B.1.1 en B.1.3 is vermeld, strekt het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 ertoe de volksgezondheid te beschermen via een manuele en digitale contactopsporing in het kader van de strijd tegen de verspreiding van COVID-19.

Die doelstelling vormt een legitiem doel dat inmengingen in het recht op eerbiediging van het privéleven en in het recht op bescherming van persoonsgegevens kan rechtvaardigen. Afgezien daarvan draagt de bescherming van de volksgezondheid ook bij tot de bescherming van de rechten en vrijheden van anderen.

B.24.1. Krachtens het beginsel van minimale gegevensverwerking moeten persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (artikel 5, lid 1, punt c), van de AVG).

B.24.2. In haar advies nr. 42/2020 van 25 mei 2020 betreffende het wetsvoorstel « tot oprichting van een databank bij Sciensano in het kader van de strijd tegen de verspreiding van het coronavirus COVID-19 », dat is aangehaald in B.1.4, heeft de Gegevensbeschermingsautoriteit opgemerkt dat de centralisatie van een grote hoeveelheid gezondheidsgegevens « in één enkele gegevensbank die is opgezet, eigendom is van en wordt beheerd door een actor die slechts als tussenpersoon optreedt », niet in overeenstemming was met dat beginsel : « [...] er [zijn] geen aanwijzingen [...] dat deze gegevens moeten worden gecentraliseerd in een databank die door een derde partij (Sciensano) wordt bijgehouden; een dergelijke centralisering is derhalve niet in overeenstemming met de beginselen van noodzakelijkheid, proportionaliteit en minimalisering en kan derhalve niet worden aanvaard. [...] De Autoriteit herinnert eraan dat de aanwijzing van Sciensano als de verwerkingsverantwoordelijke [...] inhoudt dat deze verantwoordelijk is voor de naleving van alle verplichtingen die aan de verwerkingsverantwoordelijken in het kader van de AVG worden opgelegd (verstrekking van toereikende informatie aan de betrokkenen, invoering van een systeem voor het beheer van de rechten van de betrokkenen, invoeren van passende beveiligingsmaatregelen, risicoanalyse, enz.) Ook de reikwijdte van deze aanwijzing moet worden verduidelijkt.

Sciensano treedt alleen op als verwerkingsverantwoordelijke voor de voormelde verrichtingen inzake gegevensverzameling, de registratie in de databank en de mededeling van de gegevens aan derden. Niet voor de zogenaamde ' opsporingsverrichtingen ' (contact opnemen met besmette personen en hun contacten).

Wat deze verrichtingen betreft, zijn het de regionale agentschappen (die toezicht houden op de contactcentra) die verantwoordelijk zijn voor de verwerking en de Autoriteit wijst er ook op dat zij in die hoedanigheid veiligheidsmaatregelen moeten nemen, het recht van toegang voor de burger moeten waarborgen, een risicoanalyse moeten uitvoeren, enz. [(artikel 35)]. [...] Het wetsvoorstel voorziet in de centralisatie van een grote hoeveelheid gegevens, voornamelijk medische en dus gevoelige gegevens, in de handen van één enkele actor die niet de actor is die verantwoordelijk zal zijn voor het vervullen van de drie voorziene doeleinden; Sciensano is immers : a. niet belast met het contacteren [van] besmette (of vermoedelijk besmette) personen, verrichtingen die worden uitgevoerd door contactcentra onder de verantwoordelijkheid van de regionale agentschappen bevoegd inzake gezondheid;b. niet belast met de uitvoering van de epidemiologische studies als bedoeld in artikel 1, § 2°;c. en ook niet gemachtigd voor het nemen van ' initiatieven om uitbreiding van schadelijke effecten, die veroorzaakt zijn door infectieziekten, tegen te gaan '. De Autoriteit vraagt zich af waarom elk van de actoren die belast zijn met het vervullen van deze doeleinden niet zelf de noodzakelijke gegevens kan verzamelen en registreren, ook al betekent dit dat zij deze rechtstreeks aan de onder het wetsvoorstel vallende epidemiologische en volksgezondheidsonderzoeksinstanties moeten verstrekken.

Bovendien begrijpt de Autoriteit niet waarom de gegevens met betrekking tot ' zieken ' (personen die worden verondersteld met het virus te zijn besmet, die een test hebben uitgevoerd, die een test hebben voorgeschreven gekregen of die met een bevestigde diagnose in het ziekenhuis zijn opgenomen) en de gegevens met betrekking tot de personen waarmee zij in contact zijn gekomen, in dezelfde databank moeten worden geregistreerd (wetende dat deze laatsten worden ' meegedeeld door de contactcentra ', die dus al over deze gegevens beschikken om met deze personen contact op te nemen en dus niet bij Sciensano hoeven te worden geregistreerd - artikel 2, § 4, van het wetsvoorstel).

Deze centralisatie van een grote hoeveelheid gezondheidsgegevens in één enkele gegevensbank die is opgezet, eigendom is van en wordt beheerd door een actor die slechts als tussenpersoon optreedt, [...] is niet in overeenstemming met de beginselen van noodzakelijkheid en minimalisering [...] » (pp. 8-10; in dezelfde zin : advies nr. 34/2020 van 28 april 2020 « betreffende het voorontwerp van koninklijk besluit nr. XXX tot uitvoering van artikel 5, § 1, 1°, van de wet van 27 maart 2020Relevante gevonden documenten type wet prom. 27/03/2020 pub. 30/03/2020 numac 2020040938 bron federale overheidsdienst kanselarij van de eerste minister Wet die machtiging verleent aan de Koning om maatregelen te nemen in de strijd tegen de verspreiding van het coronavirus COVID-19 (1) type wet prom. 27/03/2020 pub. 30/03/2020 numac 2020040937 bron federale overheidsdienst kanselarij van de eerste minister Wet die machtiging verleent aan de Koning om maatregelen te nemen in de strijd tegen de verspreiding van het coronavirus COVID-19 (1) type wet prom. 27/03/2020 pub. 03/04/2020 numac 2020030524 bron federale overheidsdienst binnenlandse zaken Wet die machtiging verleent aan de Koning om maatregelen te nemen in de strijd tegen de verspreiding van het coronavirus COVID-19 . - Duitse vertaling type wet prom. 27/03/2020 pub. 03/04/2020 numac 2020030525 bron federale overheidsdienst binnenlandse zaken Wet die machtiging verleent aan de Koning om maatregelen te nemen in de strijd tegen de verspreiding van het coronavirus COVID-19 . - Duitse vertaling sluiten die machtiging verleent aan de Koning om maatregelen te nemen in de strijd tegen de verspreiding van het coronavirus COVID-19 (II), met het oog op het gebruik van digitale contactopsporingsapplicaties ter voorkoming van de verdere verspreiding van het coronavirus COVID-19 onder de bevolking », p. 5; advies nr. 36/2020 van 29 april 2020 betreffende het voorontwerp van koninklijk besluit dat het koninklijk besluit nr. 18 van 4 mei 2020 is geworden, pp. 5 en 11).

B.24.3. Uit de algemene toelichting bij het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 blijkt dat de oprichting van een centrale gegevensbank bij Sciensano werd verantwoord door de noodzaak om rekening houdend met de mobiliteit van de burgers, een uniform manueel onderzoek in heel België te verzekeren, door de wil om de werking van de contactcentra niet te vertragen en door de wil om het risico op datalekken te verminderen : « Teneinde de gegevensverwerking van dit manuele contactonderzoek in heel België uniform te laten verlopen, werd aan Sciensano, Belgisch Instituut voor Volksgezondheid, de opdracht gegeven om gezondheids- en contactgegevens van patiënten in te zamelen bij artsen, laboratoria en ziekenhuizen en te verwerken in één centrale gegevensbank.

Een centrale gegevensbank is noodzakelijk, gelet op de mobiliteit van de burgers doorheen de verschillende gefedereerde entiteiten. Het aanhouden van verschillende gegevensbanken per gefedereerde entiteit, zou aldus inhouden dat gegevensbanken met elkaar dienen te interageren op het ogenblik dat dergelijke verplaatsingen zich voordoen. Op praktisch gebied zou dit interageren voor een vertraagde werking van de contactcentra kunnen zorgen, daar moet worden gewacht op input uit de andere gefedereerde entiteiten. Bovendien brengt het doorgeven van persoonsgegevens tussen verschillende gedecentraliseerde databanken op regelmatige basis een veel groter risico op datalekken met zich mee.

Met het oog op een veiliger en efficiënter beleid, heeft dit samenwerkingsakkoord tot doel allereerst de juridische basis te bieden voor deze centrale gegevensbank.

Deze centrale gegevensbank bij Sciensano, die middels dit samenwerkingsakkoord wordt opgericht (hierna ' Gegevensbank I '), zal voorzien in de uitwisseling van gegevens met de gegevensbanken, die worden opgericht ter ondersteuning van de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra. Deze laatste - eveneens centraal gehoste gegevensbanken (hierna ' Gegevensbanken III en IV ') - worden middels dit samenwerkingsakkoord ook opgericht.

De organisatie van de gegevensbanken is gebaseerd op principes van gegevensbescherming door ontwerp en door standaardinstellingen en dataminimalisatie. Meervoudige opslag van dezelfde persoonsgegevens in gegevensbanken bij verschillende gefedereerde entiteiten is vermeden.

Op het vlak van de informatietechnologie heeft elke gegevensbank uiteraard een eigen onderliggend gegevensmodel. Verschillende gegevensmodellen geven aanleiding tot verschillende gegevensbanken.

Gegevensbank I is noodzakelijkerwijze een gemeenschappelijke gegevensbank over de gefedereerde entiteiten heen omdat het opvolgen van de contacten zich niet kan beperken tot de personen die ressorteren onder één gefedereerde entiteit. Het organiseren van een gegevensbank per gefedereerde entiteit zou ertoe leiden dat elk gewest of een gemeenschap een eigen duplicaat van de gehele gegevensbank moet beheren, en er permanente synchronisatie zou moeten geschieden met het risico op datalekken. Dat is in strijd met principes van dataminimalisatie en informatieveiligheid voorzien in de Algemene Verordening Gegevensbescherming.

Het organiseren van een gegevensbank per gefedereerde entiteiten zou een fundamentele, negatieve impact hebben op de omlooptijd binnen het gehele manuele contactonderzoek. Immers, de verschillende bewerkingen om de uitwisselingen van gegevens tussen de verschillende databanken van de gefedereerde entiteiten te organiseren, zou dermate veel tijd innemen dat dit het hele proces zou vertragen (van het opvolgen van personen die een coronavirus COVID-19-test dienen te ondergaan tot het contacteren van de Personen Categorie II voor zover de coronavirus COVID-19-test uitwees dat ze besmet zijn en Personen Categorie III).

De Gegevensbank III is een afzonderlijke gegevensbank die enkel de (bel)opdrachten bevat voor de medewerkers van de contactcentra. Deze gegevensbank heeft een ander gegevensmodel dan Gegevensbank I en is dus een afzonderlijke gegevensbank. Overigens is een scheiding tussen Gegevensbank I en Gegevensbank III een maatregel van gegevensbescherming door ontwerp om te vermijden dat de medewerkers van het contactcentrum onnodige toegang zouden kunnen hebben tot de gezondheidsgegevens in Gegevensbank I. De Gegevensbank III is een gemeenschappelijke gegevensbank over de contactcentra heen die, om dezelfde reden als Gegevensbank I een gemeenschappelijke gegevensbank is over de gefedereerde entiteiten heen.

Gegevensbank IV is een afzonderlijke gegevensbank die informatie bevat over de collectiviteiten en de contactpersonen van collectiviteiten.

Deze gegevensbank heeft een ander gegevensmodel dan Gegevensbank I en Gegevensbank III en is dus een afzonderlijke gegevensbank.

Teneinde de gezondheidsinspectiediensten en de mobiele teams toe te laten de aan hen toevertrouwde taken (waaronder het identificeren en opsporen van uitbraken van het coronavirus COVID-19 en clusters, het ter plekke maatregelen treffen voor het indijken van coronavirus COVID-19-uitbraken en clusters) naar behoren te kunnen uitoefenen, is het ook noodzakelijk dat er wordt voorzien in een uitwisseling van de gegevens tussen de Gegevensbank I en de gezondheidsinspectiediensten, alsook met de mobiele teams » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 65-69).

B.24.4. In haar advies nr. 64/2020 van 20 juli 2020 over het ontwerp van samenwerkingsakkoord dat het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 is geworden, heeft de Gegevensbeschermingsautoriteit aangegeven dat de oprichting van een centrale gegevensbank bij Sciensano noodzakelijk en evenredig leek ten aanzien van die verantwoordingen : « Op dit moment lijken de beweegredenen die in de algemene toelichting bij dit ontwerp worden aangevoerd, de noodzaak en de evenredigheid van de oprichting van een centrale gegevensbank bij Sciensano te rechtvaardigen (althans in beginsel) » (Parl. St., Kamer, 2019-2020, DOC 55-1490/002, p. 43).

B.24.5. Het centraliseren van de persoonsgegevens met betrekking tot de besmettingen met het coronavirus, ten behoeve van de strijd tegen de verspreiding van COVID-19, is te dezen verantwoord om redenen van veiligheid en integriteit van de gegevens en van snelheid inzake de manuele opsporing van mogelijk besmette personen. Het centraliseren van de gegevens, in plaats van het opslaan ervan in afzonderlijke gegevensbanken die door de contactcentra worden beheerd, biedt meer waarborgen wat de veiligheid en de integriteit ervan betreft. Het risico op misbruik en het risico op vertraging zouden hoger zijn indien de persoonsgegevens met betrekking tot de besmettingen met COVID-19 werden opgenomen in een afzonderlijke gegevensbank die door elk contactcentrum van het land wordt beheerd.

B.25. Volgens artikel 4, punt 7), van de AVG is de verwerkingsverantwoordelijke « een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen ».

De verwerkingsverantwoordelijke is dus diegene die in staat is om het doel van en de middelen voor de verwerking van de gegevens vast te stellen.

Sciensano voldoet aan dat tweevoudige criterium met betrekking tot de verwerking, voor het doeleinde van wetenschappelijk onderzoek, van de gepseudonimiseerde persoonsgegevens uit Gegevensbank II die afkomstig zijn uit Gegevensbank I, rekening houdend met de wettelijke opdrachten die haar zijn toevertrouwd bij het voormelde artikel 4 van de wet van 25 februari 2018Relevante gevonden documenten type wet prom. 25/02/2018 pub. 21/03/2018 numac 2018011241 bron federale overheidsdienst volksgezondheid, veiligheid van de voedselketen en leefmilieu Wet tot oprichting van Sciensano type wet prom. 25/02/2018 pub. 19/06/2020 numac 2020021229 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van Sciensano. - Duitse vertaling van uittreksels sluiten « houdende oprichting van Sciensano ».

Uit hetgeen in B.14.2 en B.17 is vermeld, blijkt daarentegen dat de door de gefedereerde entiteiten of door hun agentschappen aangewezen contactcentra de persoonsgegevens uit Gegevensbank III die gedeeltelijk afkomstig zijn uit Gegevensbank I, verwerken voor het doeleinde van manuele contactopsporing en voor het doeleinde van preventie, terwijl de mobiele teams en de gezondheidsinspectiediensten van de gefedereerde entiteiten de gegevens uit Gegevensbank I verwerken voor het doeleinde van preventie.

Artikel 26 van de AVG voorziet erin dat, wanneer de doeleinden en middelen van de verwerking worden bepaald door meerdere verwerkingsverantwoordelijken, die de gezamenlijke verwerkingsverantwoordelijken zijn. De respectieve verplichtingen van de gezamenlijke verwerkingsverantwoordelijken worden vastgesteld in een regeling (lid 1), waarvan de « wezenlijke inhoud » aan de betrokkene beschikbaar wordt gesteld (lid 2). Die kan zijn rechten uit hoofde van de AVG met betrekking tot iedere verwerkingsverantwoordelijke uitoefenen (lid 3).

Aangezien de mobiele teams en de gezondheidsinspectiediensten de persoonsgegevens uit Gegevensbank I verwerken, moeten de bevoegde gefedereerde entiteiten of hun agentschappen onder wier gezag die teams en diensten werken, als gezamenlijke verwerkingsverantwoordelijken van Gegevensbank I worden aangewezen, naast Sciensano, in de zin van artikel 26 van de AVG. Rekening houdend met de nauwe banden tussen Gegevensbanken I en III, moeten de bevoegde gefedereerde entiteiten of hun agentschappen onder wier gezag de contactcentra werken, ook als gezamenlijke verwerkingsverantwoordelijken van Gegevensbank I in de zin van artikel 26 van de AVG worden aangewezen.

B.26. Het eerste onderdeel van het enige middel is gegrond in de in B.20.4 bedoelde mate en in de in B.25 bedoelde mate.

De bestreden akten moeten worden vernietigd in zoverre daarbij instemming wordt verleend met, enerzijds, de artikelen 2, § 3, en 15, § 1 en § 3, tweede zin, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 in zoverre die bepalingen niet voorzien in een maximumtermijn voor het bewaren van de persoonsgegevens die zijn opgeslagen in Gegevensbank IV en, anderzijds, artikel 2, § 4, van hetzelfde samenwerkingsakkoord in zoverre die bepaling niet erin voorziet dat de bevoegde gefedereerde entiteiten of hun agentschappen onder wier gezag de contactcentra, de mobiele teams en de gezondheidsinspectiediensten werken, gezamenlijke verwerkingsverantwoordelijken van Gegevensbank I zijn.

II. Wat betreft de noodzaak om bepaalde categorieën van gegevens te verzamelen (tweede onderdeel) B.27. In het tweede onderdeel van het enige middel doen de verzoekende partijen gelden dat de artikelen 6 tot 9 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 een onevenredige inmenging in het recht op eerbiediging van het privéleven en in het recht op bescherming van persoonsgegevens met zich meebrengen aangezien die bepalingen voorzien in het verzamelen van bepaalde persoonsgegevens die niet noodzakelijk zijn ten aanzien van het doeleinde van manuele contactopsporing (eerste grief). Daarenboven zou de keuze om de met het oog op onderzoek verwerkte gegevens te pseudonimiseren niet verantwoord zijn (tweede grief).

B.28. De verzoekende partijen doen gelden dat de verzameling, in Gegevensbank I, van het identificatienummer van de sociale zekerheid (hierna : de INSZ), van de persoonsgegevens uit het Rijksregister, van het resultaat van de CT-scan en van de taal van de betrokken persoon niet noodzakelijk is voor het doeleinde van manuele contactopsporing.

Hetzelfde zou gelden voor de persoonsgegevens die worden verzameld in Gegevensbank I met betrekking tot de personen categorie III. B.29.1. Het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 voorziet in het verzamelen van het INSZ in Gegevensbank I voor de personen van de categorieën I tot IV (artikel 6, § 2, eerste lid, 1°, § 3, 1°, § 4, eerste lid, 1°, en § 5, 1°).

Zoals in artikel 1, § 1, 11°, van het samenwerkingsakkoord wordt gepreciseerd, is het INSZ het identificatienummer bedoeld in artikel 8, § 1, 1° of 2°, van de wet van 15 januari 1990Relevante gevonden documenten type wet prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 bron federale overheidsdienst binnenlandse zaken Wet houdende oprichting en organisatie van een Kruispuntbank van de Sociale Zekerheid. - Officieuze coördinatie in het Duits sluiten « houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid ». Het betreft, voor de natuurlijke personen die in het Rijksregister zijn opgenomen, het identificatienummer van het Rijksregister en, voor de natuurlijke personen die niet in het Rijksregister zijn opgenomen, het identificatienummer van de Kruispuntbank van de Sociale Zekerheid.

De keuze om het INSZ te gebruiken wordt in de algemene toelichting bij het samenwerkingsakkoord als volgt verantwoord : « Met het oog op de eenduidige identificatie van de betrokken personen (zijnde gehospitaliseerde patiënten, besmette personen of personen van wie een ernstig vermoeden bestaat dat zij besmet zijn) en het onderling linken van de verzamelde gegevens, is het absoluut noodzakelijk om ook het identificatienummer van de sociale zekerheid van de betrokken personen wiens gegevens in de Gegevensbank I worden verwerkt op te slaan en te voorzien in een algemene toegang tot het Rijksregister. Tevens ontlast dit de artsen, ziekenhuizen en laboratoria die de informatie ter beschikking stellen (d.i. de informatieverstrekkers), aangezien zij enkel de gegevens dienen aan te leveren die niet kunnen worden teruggevonden in het Rijksregister.

Gelet op het feit dat het hele gezondheidszorgsysteem in België gebaseerd is op het gebruik van het rijksregisternummer om een patiënt daadwerkelijk te kunnen identificeren, is ook dit nummer van noodzakelijk belang om te verwerken binnen het manuele contactonderzoek, met het oog op het juist identificeren van de indexpersoon alsook van de personen met wie de indexpersoon in contact is geweest. Het opnemen van het identificatienummer van de sociale zekerheid resulteert noodzakelijkerwijze ook in het opslaan van de geboortedatum van de betrokken personen wiens gegevens in Gegevensbank I worden opgeslagen.

Het verplicht gebruik van het identificatienummer van de sociale zekerheid als uniek identificatienummer in de gezondheidssector is overigens geregeld door artikel 8 van de wet van 21 augustus 2008Relevante gevonden documenten type wet prom. 21/08/2008 pub. 13/10/2008 numac 2008022534 bron federale overheidsdienst sociale zekerheid Wet houdende oprichting en organisatie van het eHealth-platform type wet prom. 21/08/2008 pub. 15/03/2011 numac 2011000129 bron federale overheidsdienst binnenlandse zaken Wet houdende oprichting en organisatie van het eHealth-platform. - Duitse vertaling sluiten houdende oprichting en organisatie van het eHealth-platform. Het Grondwettelijk Hof heeft in zijn arrest 29/2010 van 18 maart 2010 geoordeeld dat ' rekening houdend met de waarborgen waarin de wet van 21 augustus 2008Relevante gevonden documenten type wet prom. 21/08/2008 pub. 13/10/2008 numac 2008022534 bron federale overheidsdienst sociale zekerheid Wet houdende oprichting en organisatie van het eHealth-platform type wet prom. 21/08/2008 pub. 15/03/2011 numac 2011000129 bron federale overheidsdienst binnenlandse zaken Wet houdende oprichting en organisatie van het eHealth-platform. - Duitse vertaling sluiten voorziet met betrekking tot de vertrouwelijkheid van de persoonlijke gezondheidsgegevens gedurende de verwerking ervan door het eHealth-platform, [...] de keuze om gebruik te maken van het rijksregisternummer, als identificatiesleutel, in redelijkheid verantwoord [is] ' » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 82-84).

Het verzamelen van het INSZ in Gegevensbank I als identificatiesleutel van de personen van de categorieën I tot IV is aldus redelijk verantwoord.

B.29.2. Artikel 6, § 2, tweede lid, § 3, 1°, en § 4, tweede lid, van het samenwerkingsakkoord voorziet bovendien erin dat de naam en voornaam, de geboortedatum, het geslacht en het adres van de personen van de categorieën I tot III worden verzameld in Gegevensbank I vanuit het Rijksregister of vanuit de registers van de Kruispuntbank van de Sociale Zekerheid.

Daaruit vloeit voort dat de toegang tot die registers het mogelijk moet maken om enkel persoonsgegevens te verzamelen die ertoe strekken de (mogelijk) besmette personen of de personen die vermoedelijk besmet zijn, te identificeren, hetgeen noodzakelijk is voor het nastreven van het doeleinde van manuele contactopsporing.

B.30.1. Het samenwerkingsakkoord bepaalt eveneens dat « het resultaat van de CT-scan » kan worden opgeslagen in Gegevensbank I voor de persoon categorie I die is « gehospitaliseerd » (artikel 6, § 2, eerste lid, 12°), waarbij de « CT-scan » verwijst naar een techniek inzake medische beeldvorming. Volgens de verzoekende partijen wordt met het verzamelen van die categorie van gegevens enkel het doeleinde van wetenschappelijk onderzoek nagestreefd, en niet dat van manuele contactopsporing.

B.30.2. Krachtens het beginsel van doelbinding moeten persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en moet de eventuele verdere verwerking van die gegevens verenigbaar zijn met die oorspronkelijke doeleinden (artikel 5, lid 1, punt b), van de AVG). Overeenkomstig het beginsel van minimale gegevensverwerking moeten die gegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de nagestreefde doeleinden (artikel 5, lid 1, punt c), van de AVG).

B.30.3. In de algemene toelichting bij het samenwerkingsakkoord wordt vermeld : « De categorieën van persoonsgegevens die verzameld worden zijn identificatie- en contactgegevens, testgegevens, voorschriften, resultaten van CT-scans en vermoedelijke diagnoses van personen enerzijds en gegevens van de besmette personen of de personen van wie een ernstig vermoeden bestaat dat deze [personen] besmet zijn alsook gehospitaliseerde patiënten met een bevestigde diagnose van het coronavirus COVID-19 in de ziekenhuizen anderzijds. [...] Voor wat betreft de coronavirus COVID-19-testen, zijn niet enkel de testresultaten van belang, maar ook zal het type van voorgeschreven en/of uitgevoerde coronavirus COVID-19-test, alsook de datum van de coronavirus COVID-19-test noodzakelijk zijn. Enerzijds om te bepalen of een patiënt al dan niet besmet is, en anderzijds om onderzoekers toe te laten om verder kwaliteits- en statistisch onderzoek te voeren inzake het testen op het coronavirus COVID-19. Ook uit resultaten van CT-scans kan een besmetting met het coronavirus COVID-19 worden afgeleid. Het verzamelen van deze gegevens laat toe om meer duidelijkheid te verkrijgen omtrent het algemeen ziekteverloop van het coronavirus COVID-19 bij een besmette patiënt » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 81-82).

B.30.4. Daaruit blijkt dat het resultaat van een onderzoek via een CT-scan een element inzake medische beeldvorming is dat het mogelijk maakt vast te stellen dat een patiënt besmet is met het coronavirus.

Onder voorbehoud van de interpretatie dat de CT-scan bedoeld in artikel 6, § 2, eerste lid, 12°, van het samenwerkingsakkoord een CT-scan is waaruit een besmetting met COVID-19 kan worden afgeleid, kan worden aangenomen dat het opslaan van dat gegeven in Gegevensbank I noodzakelijk is voor het nastreven van het doeleinde van contactopsporing, dat inhoudt dat de COVID-19-infectiestatus van personen vooraf wordt vastgesteld.

B.31. Het samenwerkingsakkoord voorziet bovendien in het opslaan, in Gegevensbank I, van de taal van de vermoedelijk besmette personen (personen categorie III) (artikel 6, § 4, 12°), van de personen met wie de positief geteste personen en de vermoedelijk besmette personen in contact zijn geweest (personen categorie IV), van de positief geteste personen categorie II (artikel 6, § 5, 7°, en § 6) en van de personen die behoren tot een cluster (artikel 6, § 7).

Er kan worden aangenomen dat de vermelding van de taal van de betrokken persoon noodzakelijk is om het de contactcentra mogelijk te maken die persoon in zijn taal te contacteren.

B.32.1. Volgens artikel 1, § 1, 15°, van het samenwerkingsakkoord zijn personen categorie III « de personen bij wie de arts een ernstig vermoeden heeft dat ze besmet zijn met het coronavirus COVID-19, zonder dat een coronavirus COVID-19-test is uitgevoerd of voorgeschreven of waarbij de coronavirus COVID-19-test [...] uitwees dat ze niet besmet waren ».

Zoals in B.15.4 is vermeld, bepaalt artikel 6, § 4, van het samenwerkingsakkoord de persoonsgegevens met betrekking tot de personen categorie III die in Gegevensbank I worden opgeslagen door de arts die de besmetting vermoedt.

B.32.2. In haar voormelde advies nr. 64/2020 van 20 juli 2020 heeft de Gegevensbeschermingsautoriteit opgemerkt : « 42. Het ontwerp voorziet in het verzamelen en vastleggen in Gegevensbank I van persoonsgegevens van personen die vermoedelijk besmet zijn (personen van categorie III). Hoewel het, gezien het tekort aan tests om besmetting met het coronavirus te bevestigen, aanvankelijk gerechtvaardigd leek te steunen op een ernstig vermoeden om het bestaan van een COVID-19-besmetting vast te stellen, vraagt de Autoriteit zich af of dit vandaag de dag nog steeds het geval is, aangezien de testcapaciteit sinds het begin van de epidemie sterk is toegenomen en vandaag de dag alle personen bij wie een besmetting met COVID-19 wordt vermoed, zouden moeten kunnen worden getest. De Autoriteit vraagt zich dan ook af waarom het ontwerp voorziet in het verzamelen en vastleggen van een grote hoeveelheid gegevens over vermoedelijk besmette personen in Gegevensbank I (en III). 43. Bovendien kan, zoals de Autoriteit reeds heeft benadrukt in haar adviezen nr.36/2020 en nr. 42/2020, het gegeven ' vermoedelijke diagnose van besmetting met het coronavirus COVID-19 ' moeilijk worden beschouwd als een juist gegeven in de zin van artikel 5.1.d) van de AVG » (Parl. St., Kamer, 2019-2020, DOC 55-1490/002, pp. 51-52).

B.32.3. In de algemene toelichting bij het samenwerkingsakkoord wordt vermeld : « Een patiënt waarbij een ernstig vermoeden bestaat dat deze patiënt besmet is met het coronavirus COVID-19, is een patiënt waarvan de arts heeft gesteld dat zelfs zonder een test te doen, de patiënt voldoende symptomen vertoont om uit te gaan van besmetting of waarvan de corona COVID-19-test heeft uitgewezen dat de patiënt niet besmet is, maar de arts deze beslissing naast zich neerlegt. Daar beide diagnoses van een vermoedelijke besmetting door een arts gebeuren, en deze aldus voldoende betrouwbaar zijn, is het noodzakelijk om dergelijke vermoedelijk besmette personen ook als indexpersonen aan te duiden en aldus mee op te nemen in het contactonderzoek. De term vermoedelijk besmette personen wijst dus op personen die door een arts aangeduid zijn als besmet, maar niet officieel door een test werden aangeduid als besmet » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, p. 84).

B.32.4. Het opnemen van vermoedelijk besmette personen in het systeem van manuele contactopsporing werd aldus verantwoord door de betrouwbaarheid van de door de arts gestelde diagnose. Om de volksgezondheid tijdens de COVID-19-pandemie te beschermen, vermochten de wetgevers in de manuele contactopsporing de personen op te nemen voor wie een arts een sterk klinisch vermoeden heeft dat zij besmet zijn, bij afwezigheid van een test of ondanks een negatief testresultaat.

Uit artikel 3, § 1, 1°, en § 2, 1°, van het samenwerkingsakkoord vloeit daarenboven voort dat, in tegenstelling tot hetgeen de verzoekende partijen aanvoeren, met de verwerking van de persoonsgegevens met betrekking tot personen categorie III in Gegevensbank I wel degelijk het doeleinde van manuele contactopsporing wordt nagestreefd, en niet enkel het doeleinde van wetenschappelijk onderzoek.

B.33. Wat betreft de keuze om de met het oog op onderzoek verwerkte gegevens te pseudonimiseren, worden in artikel 9 van het samenwerkingsakkoord de categorieën van persoonsgegevens uit Gegevensbank I opgesomd die, na pseudonimisering, worden opgeslagen in Gegevensbank II om te worden gebruikt met het oog op wetenschappelijk onderzoek.

Wat dat punt betreft, wordt in de algemene toelichting bij het samenwerkingsakkoord vermeld : « de functies van het bestaande epidemiologisch(e) onderzoek [moeten] blijvend gegarandeerd worden. Derhalve zal het van belang zijn om op grond van de gegevens, verstrekt in het kader van het manuele contactonderzoek, onderzoeksinstellingen, met inbegrip van Sciensano, in staat te stellen wetenschappelijke of statistische studies uit te voeren in verband met de verspreiding van het coronavirus COVID-19 en/of om het beleid in de strijd tegen het coronavirus COVID-19 te ondersteunen, middels de uitwisseling van de gegevens tussen de Gegevensbank I en de reeds bestaande gegevensbank bij Sciensano, die vandaag de dag al wordt aangewend voor wetenschappelijk onderzoek (hierna ' Gegevensbank II '). Dit maakt een taak uit die ressorteert onder de materiële bevoegdheid van de federale Staat inzake wetenschappelijk onderzoek. Het verwerken van de persoonsgegevens in de Gegevensbank I gebeurt ook in het kader van de federale bevoegdheden inzake wetenschappelijk onderzoek, zoals blijkt uit artikel 1, § 2 van het samenwerkingsakkoord. In dat opzicht wordt aangesloten bij de opdrachten waarmee Sciensano is belast bij artikel 4 van de wet van 25 februari 2018Relevante gevonden documenten type wet prom. 25/02/2018 pub. 21/03/2018 numac 2018011241 bron federale overheidsdienst volksgezondheid, veiligheid van de voedselketen en leefmilieu Wet tot oprichting van Sciensano type wet prom. 25/02/2018 pub. 19/06/2020 numac 2020021229 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van Sciensano. - Duitse vertaling van uittreksels sluiten ' tot oprichting van Sciensano '.

Aldus wordt enkel de uitwisseling van gepseudonimiseerde persoonsgegevens in het kader van wetenschappelijk onderzoek naar de reeds bestaande databank van Sciensano (Gegevensbank II) geregeld middels het samenwerkingsakkoord. Het vaststellen van regels inzake de uitvoering van het wetenschappelijk onderzoek zelf valt derhalve buiten de werkingssfeer van het samenwerkingsakkoord.

Bij deze gegevensuitwisseling wordt geopteerd voor pseudonimisering eerder dan voor anonimisering, aangezien men op voorhand nog niet kan bepalen welke gegevens nodig zijn voor het uitvoeren van een bepaald wetenschappelijk onderzoek. Het lijkt dan ook opportuun om de gegevens bij opslag in Gegevensbank II niet te ontdoen van hun potentiële waarde, maar tevens [...] de persoonsgegevens van de betrokkenen maximaal te beschermen. Zoals door het Europese Comité voor Gegevensbescherming werd aangegeven is het nieuwe concept van pseudonimisering, zoals voor het eerst gedefinieerd in de Algemene Verordening Gegevensbescherming, een aangewezen beschermingsmechanisme. Dit concept van pseudonimisering legt eveneens de verplichting op om passende technische en organisatorische maatregelen te treffen, aansluitend bij dataminimalisatie en gegevensbescherming door ontwerp. Het eHealth-platform zal hierbij instaan voor de pseudonimisering van de persoonsgegevens. Deze pseudonimisering vindt plaats wanneer en dus alvorens de persoonsgegevens uit Gegevensbank I worden gedeeld met Gegevensbank II. Aldus is er geen sprake van gepseudonimiseerde persoonsgegevens in Gegevensbank I daar dit technisch niet werkbaar is en nog steeds tegemoet gekomen wordt aan de principes die de Algemene Verordening Gegevensbescherming oplegt » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 69-71).

Daaruit blijkt dat de keuze om de in Gegevensbank II opgeslagen persoonsgegevens te pseudonimiseren in plaats van ze te anonimiseren, redelijk verantwoord is.

B.34. Onder voorbehoud van de in B.30.4 vermelde interpretatie is het tweede onderdeel van het enige middel niet gegrond.

III. Wat betreft de aan het Informatieveiligheidscomité verleende machtiging om de mededeling van persoonsgegevens aan derden toe te staan (derde onderdeel) B.35.1. In het derde onderdeel van het enige middel doen de verzoekende partijen gelden dat de artikelen 11 en 12 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 het in artikel 22 van de Grondwet vervatte wettigheidsbeginsel schenden, in zoverre zij het Informatieveiligheidscomité ertoe machtigen de essentiële elementen met betrekking tot de mededeling van persoonsgegevens aan derden te bepalen. Volgens de verzoekende partijen kunnen de beraadslagingen van het Informatieveiligheidscomité niet worden beschouwd als een « wet » in de zin van artikel 6, lid 2, artikel 9, lid 2, punt i), en artikel 9, lid 4, van de AVG. De toestemmingsbevoegdheid van het Informatieveiligheidscomité kan daarenboven niet worden verantwoord op grond van artikel 36, lid 5, van de AVG aangezien dat Comité niet als een toezichthoudende autoriteit kan worden beschouwd.

B.35.2. De grief van de verzoekende partijen heeft enkel betrekking op de delegatie die is verleend aan het Informatieveiligheidscomité met betrekking tot de mededeling van persoonsgegevens aan derden. Die maatregel wordt beoogd in artikel 11, § 1, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, in samenhang gelezen met artikel 10, § 3, tweede zin, ervan.

Het Hof beperkt zijn onderzoek tot die bepalingen.

B.36.1. Artikel 11, § 1, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bepaalt : « Voor zover niet opgenomen in dit samenwerkingsakkoord, gebeurt zowel de mededeling van persoonsgegevens per soort actor aan Sciensano voor verwerking in Gegevensbank I, als de verdere mededeling van die persoonsgegevens door Sciensano aan derden bepaald in artikel 10, steeds na beraadslaging door de Kamer ' sociale zekerheid en gezondheid ' van het Informatieveiligheidscomité bedoeld in de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten tot oprichting van het Informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van de Algemene Verordening Gegevensbescherming ».

Artikel 10, § 3, tweede zin, bepaalt : « De persoonsgegevens zoals meegedeeld en opgeslagen in de Gegevensbank II, kunnen enkel worden doorgegeven aan derde partijen voor de doeleinden zoals bepaald in artikel 3, § 1, 4°, na de beraadslaging, zoals bedoeld in artikel 11, door de Kamer ' sociale zekerheid en gezondheid ' van het Informatieveiligheidscomité ».

Artikel 3, § 1, 4°, bepaalt : « De verwerking van de persoonsgegevens in de Gegevensbank I beoogt de volgende verwerkingsdoeleinden : [...] 4° de terbeschikkingstelling van gepseudonimiseerde persoonsgegevens vallend onder de categorieën van persoonsgegevens zoals uiteengezet onder artikel 6 van Personen Categorieën I tot en met V conform hetgeen bepaald in artikel 10 aan de reeds bestaande Gegevensbank II om de in dit lid vermelde gepseudonimiseerde gegevens ter beschikking te stellen na anonimisering, of minstens pseudonimisering voor het geval dat anonimisering niet zou toelaten aan de onderzoeksinstellingen hun wetenschappelijke of statistische studie te voeren, aan onderzoeksinstellingen, met inbegrip van Sciensano, ingevolge de daartoe voorziene procedure teneinde de onderzoeksinstellingen in staat te stellen wetenschappelijke of statistische studies uit te voeren inzake de strijd tegen de verspreiding van het coronavirus COVID-19 en/of om na pseudonimisering het beleid op dit gebied te ondersteunen in overeenstemming met titel 4 van de wet van 30 juli 2018Relevante gevonden documenten type wet prom. 30/07/2018 pub. 05/09/2018 numac 2018040581 bron federale overheidsdienst justitie, federale overheidsdienst binnenlandse zaken en ministerie van landsverdediging 30 JULI 2018 - Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens type wet prom. 30/07/2018 pub. 30/03/2021 numac 2021030655 bron federale overheidsdienst binnenlandse zaken Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. - Officieuze coördinatie in het Duits sluiten betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens ». B.36.2. Artikel 11, § 1, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, in samenhang gelezen met artikel 10, § 3, tweede zin, ervan, machtigt de kamer « sociale zekerheid en gezondheid » van het Informatieveiligheidscomité om, bij wege van beraadslagingen, de mededeling aan derden toe te staan van gepseudonimiseerde persoonsgegevens die zijn opgeslagen in Gegevensbank II « voor de doeleinden zoals bepaald in artikel 3, § 1, 4° », met andere woorden met het oog op wetenschappelijk onderzoek.

B.36.3. Wat de in de artikelen 10, § 3, en 11, § 1, van het ontwerp van samenwerkingsakkoord vervatte machtiging betreft, heeft de Gegevensbeschermingsautoriteit de volgende opmerkingen geformuleerd : « 58. Artikel 10[,] § 3[,] van het ontwerp bepaalt : ' [...] De persoonsgegevens zoals meegedeeld en opgeslagen in de Gegevensbank II, kunnen enkel worden doorgegeven aan derde partijen voor de doeleinden zoals bepaald in artikel 3, § 1, 4°, na de beraadslaging, zoals bedoeld in artikel 11, door de kamer sociale zekerheid en gezondheid van het Informatieveiligheidscomité '. De Autoriteit herinnert eraan dat, overeenkomstig de beginselen van transparantie en wettigheid, de regelgeving omtrent de mededeling van gegevens - in ieder geval wanneer deze mededeling een wezenlijke inmenging vormt in de rechten en vrijheden van de betrokkenen - moet bepalen wie de ontvangers zijn of, in ieder geval, aan welke categorieën van ontvangers die gegevens mogen worden meegedeeld. De opstellers van het ontwerp moeten daarom ten minste de categorieën van derden aan wie dergelijke gegevens kunnen worden meegedeeld, aangeven. 59. Artikel 11[,] § 1[,] van het ontwerp bepaalt : ' Voor zover niet opgenomen in dit besluit, gebeurt zowel de mededeling van persoonsgegevens aan Sciensano voor verwerking in de Gegevensbank I, als de verdere mededeling van die persoonsgegevens door Sciensano aan derden, steeds na beraadslaging door de kamer sociale zekerheid en gezondheid van het Informatieveiligheidscomité bedoeld in de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten tot oprichting van het Informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van de Algemene Verordening Gegevensbescherming '.60. De Autoriteit merkt op, zoals zij reeds heeft gedaan in haar adviezen nr.36/2020 en 42/2020, dat noch artikel 8 van [het] EVRM, noch artikel 22 van de Grondwet, noch de AVG, met name artikel 6.3, een dergelijke ' vrijbrief ' toestaan. Zoals de Autoriteit hierboven reeds heeft benadrukt, moet elke verwerking (en dus ook elke mededeling) van persoonsgegevens die een verhoogd risico kan inhouden voor de rechten en vrijheden van de betrokkenen, zoals hier het geval is, specifiek worden geregeld door een wet- of regelgevingstekst (besluit), en dus niet door een beraadslaging van het Informatieveiligheidscomité. De Autoriteit herinnert eraan dat deze regelgeving nauwkeurig moet zijn en ten minste de essentiële elementen van de verwerking moet omschrijven, met inbegrip van de welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden; de (categorieën van) persoonsgegevens die toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de beoogde doeleinden; de maximale bewaartermijn van de geregistreerde persoonsgegevens; het aanwijzen van de verwerkingsverantwoordelijke; de ontvangers of categorieën van ontvangers aan wie de gegevens worden verstrekt en de omstandigheden waarin en de redenen waarom zij worden verstrekt. 61. Het samenwerkingsakkoord moet dus zelf bepalen aan welke ' derde partijen ' Sciensano de betreffende gegevens mag meedelen en om welke redenen Sciensano de gegevens aan hen zal meedelen.Zeker gezien de hoeveelheid en de gevoeligheid van de gegevens in kwestie (gezondheidsgegevens, gegevens met betrekking tot vermoedelijke besmetting na contact) en de mogelijkheid voor potentiële ontvangers om deze verschillende soorten gegevens met elkaar te vergelijken » (Parl. St., Kamer, 2019-2020, DOC 55-1490/002, pp. 55-57).

B.36.4. In de algemene toelichting bij het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 wordt vermeld : « De gepseudonimiseerde gegevens die zich bevinden in Gegevensbank II kunnen enkel worden doorgegeven aan derde partijen in het kader van wetenschappelijke of statistische studies inzake de strijd tegen de verspreiding van het coronavirus COVID-19 en/of om het beleid op dit gebied te ondersteunen. Deze doorgifte is enkel mogelijk na beraadslaging door de kamer sociale zekerheid en gezondheid van het Informatieveiligheidscomité » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 93-94). « Een beraadslaging van [de kamer sociale zekerheid en gezondheid van] het Informatieveiligheidscomité is ook vereist voor de uitwisseling van de gegevens in Gegevensbank II aan derden voor wetenschappelijk onderzoek. Echter, het verlenen van toegang aan derden voor wetenschappelijk onderzoek, valt buiten de werkingssfeer van het samenwerkingsakkoord en zal in dit samenwerkingsakkoord dan ook niet verder worden behandeld » (ibid., pp. 96-97).

B.37.1. Zoals in B.11.2 is vermeld, waarborgt artikel 22 van de Grondwet, door aan de bevoegde wetgever de bevoegdheid voor te behouden om te bepalen in welke gevallen en onder welke voorwaarden afbreuk kan worden gedaan aan het recht op eerbiediging van het privé- en gezinsleven, aan elke burger dat geen inmenging in dat recht zal kunnen plaatsvinden dan krachtens regels die zijn aangenomen door een democratisch verkozen beraadslagende vergadering.

Een delegatie aan een andere macht is niet in strijd met het wettigheidsbeginsel, voor zover de machtiging voldoende nauwkeurig is omschreven en betrekking heeft op de tenuitvoerlegging van maatregelen waarvan de essentiële elementen voorafgaandelijk door de wetgever worden vastgesteld.

B.37.2. Artikel 6, lid 2, van de AVG bepaalt dat de lidstaten « specifiekere bepalingen » kunnen handhaven of invoeren ter aanpassing van de manier waarop de regels van de AVG worden toegepast met betrekking tot de verwerking die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (artikel 6, lid 1, punt c)) en de verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (artikel 6, lid 1, punt e)). Artikel 9, lid 2, punt i), van de AVG bepaalt dat het Unierecht of lidstatelijk recht krachtens hetwelk de verwerking van gevoelige gegevens noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid, voorziet in « passende en specifieke maatregelen » ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim. Artikel 9, lid 4, bepaalt dat de lidstaten « bijkomende voorwaarden, waaronder beperkingen, » met betrekking tot onder meer de verwerking van gegevens over gezondheid kunnen handhaven of invoeren.

Artikel 36, lid 5, bepaalt dat de verwerkingsverantwoordelijken lidstaatrechtelijk ertoe kunnen worden verplicht overleg met de toezichthoudende autoriteit te plegen en om haar voorafgaande toestemming te verzoeken wanneer zij met het oog op de vervulling van een taak van algemeen belang verwerken, onder meer wanneer verwerking verband houdt met volksgezondheid.

B.38.1. Het Informatieveiligheidscomité werd opgericht bij artikel 2, § 1, van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten « tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening (EU) 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG » (hierna : de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten). In tegenstelling tot de sectorale comités die zijn afgeschaft bij de wet van 3 december 2017Relevante gevonden documenten type wet prom. 03/12/2017 pub. 06/03/2019 numac 2018014287 bron federale overheidsdienst buitenlandse zaken, buitenlandse handel en ontwikkelingssamenwerking Wet houdende instemming met de Overeenkomst tussen het Koninkrijk België en de Republiek Zuid-Afrika inzake het verrichten van betaalde werkzaamheden door partners van het diplomatiek en consulair personeel, gedaan te Pretoria op 14 januari 2016 (2)(3) type wet prom. 03/12/2017 pub. 10/01/2018 numac 2017031916 bron federale overheidsdienst justitie Wet tot oprichting van de Gegevensbeschermingsautoriteit type wet prom. 03/12/2017 pub. 25/09/2018 numac 2018013819 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van de Gegevensbeschermingsautoriteit. - Officieuze coördinatie in het Duits sluiten « tot oprichting van de Gegevensbeschermingsautoriteit » die ze opvolgt en die waren opgenomen in de vroegere Commissie voor de bescherming van de persoonlijke levenssfeer, werd het Informatieveiligheidscomité opgericht als een nieuw onafhankelijk orgaan van de Gegevensbeschermingsautoriteit op grond van de voormelde artikelen 6, lid 2, en 9, lid 4, van de AVG (Parl. St., Kamer, 2017-2018, DOC 54-3185/001, pp. 6-7 en 30; DOC 54-3185/005, pp. 7-10). Uit de parlementaire voorbereiding van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten blijkt dat de wetgever heeft gewild dat het Informatieveiligheidscomité noch als een verwerkingsverantwoordelijke, noch als een toezichthoudende autoriteit in de zin van de AVG werd beschouwd (Parl. St., Kamer, 2017-2018, DOC 54-3185/001, pp. 8-10).

Overeenkomstig artikel 2, § 2, van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten bestaat het Informatieveiligheidscomité uit twee kamers : een kamer « sociale zekerheid en gezondheid » en een kamer « federale overheid ». De artikelen 2, § 1, en 4, § 1, eerste lid, van dezelfde wet bepalen dat de leden ervan voor een hernieuwbare termijn van zes jaar worden benoemd door de Kamer van volksvertegenwoordigers, die hen ook van hun opdracht kan ontheffen. Artikel 5 van dezelfde wet bepaalt dat de leden van het Informatieveiligheidscomité « van niemand onderrichtingen [krijgen] ». Uit de parlementaire voorbereiding blijkt dat de wetgever het Informatieveiligheidscomité heeft willen onttrekken aan elke hiërarchische controle (Parl. St., Kamer, 2017-2018, DOC 54-3185/001, p. 10).

De bevoegdheid om administratieve beslissingen te nemen die wordt toevertrouwd aan de kamer « sociale zekerheid en gezondheid » van het Informatieveiligheidscomité bij artikel 11, § 1, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, in samenhang gelezen met artikel 10, § 3, tweede zin, ervan, (de mededeling van persoonsgegevens toestaan of weigeren), is analoog aan die welke wordt toevertrouwd aan die kamer bij artikel 15, § 1, eerste lid, van de wet van 15 januari 1990Relevante gevonden documenten type wet prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 bron federale overheidsdienst binnenlandse zaken Wet houdende oprichting en organisatie van een Kruispuntbank van de Sociale Zekerheid. - Officieuze coördinatie in het Duits sluiten « houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid », vervangen bij artikel 18 van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten, bij artikel 42, § 2, 3°, van de wet van 13 december 2006 « houdende diverse bepalingen betreffende gezondheid », zoals gewijzigd bij artikel 43 van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten, en bij artikel 11 van de wet van 21 augustus 2008Relevante gevonden documenten type wet prom. 21/08/2008 pub. 13/10/2008 numac 2008022534 bron federale overheidsdienst sociale zekerheid Wet houdende oprichting en organisatie van het eHealth-platform type wet prom. 21/08/2008 pub. 15/03/2011 numac 2011000129 bron federale overheidsdienst binnenlandse zaken Wet houdende oprichting en organisatie van het eHealth-platform. - Duitse vertaling sluiten « houdende oprichting en organisatie van het eHealth-platform en diverse bepalingen », zoals gewijzigd bij artikel 50 van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten. Die bepalingen machtigen de kamer « sociale zekerheid en gezondheid » van het Informatieveiligheidscomité om de mededeling toe te staan van, respectievelijk, (1) sociale gegevens van persoonlijke aard door de Kruispuntbank van de sociale zekerheid of door een instelling van sociale zekerheid aan een andere instelling van sociale zekerheid of aan een andere instantie dan een federale overheidsdienst, een programmatorische overheidsdienst of een federale instelling van openbaar nut, (2) persoonsgegevens die de gezondheid betreffen en (3) persoonsgegevens door of aan het eHealth-platform. Bij de uitoefening van hun toestemmingsbevoegdheid beperken de kamers van het Informatieveiligheidscomité zich ertoe na te gaan of de desbetreffende mededeling van persoonsgegevens de in de AVG omschreven beginselen van doelbinding, evenredigheid en veiligheid in acht neemt (Parl. St., Kamer, 2017-2018, DOC 54-3185/001, pp. 6, 8 en 9).

Artikel 46, § 2, eerste lid, van de wet van 15 januari 1990Relevante gevonden documenten type wet prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 bron federale overheidsdienst binnenlandse zaken Wet houdende oprichting en organisatie van een Kruispuntbank van de Sociale Zekerheid. - Officieuze coördinatie in het Duits sluiten « houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid », vervangen bij artikel 39 van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten, bepaalt dat de beraadslagingen van het Informatieveiligheidscomité « een algemene bindende draagwijdte tussen partijen en jegens derden » hebben. Volgens de parlementaire voorbereiding van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten hebben die beraadslagingen « een normatieve waarde (wet in materiële zin), overeenkomstig de grondwettelijke bepalingen en kunnen [zij] worden betwist volgens de geldende rechtsmiddelen indien ze tegenstrijdig zijn met hogere juridische normen » (ibid., p. 8).

Het tweede lid van dezelfde bepaling luidt : « De Gegevensbeschermingsautoriteit kan elke beraadslaging van het informatieveiligheidscomité te allen tijde, ongeacht wanneer zij werd verleend, toetsen aan hogere rechtsnormen. Onverminderd haar andere bevoegdheden kan zij, als ze op een gemotiveerde wijze vaststelt dat een beraadslaging niet in overeenstemming is met een hogere rechtsnorm, het informatieveiligheidscomité vragen om die beraadslaging op de punten die ze aangeeft binnen de vijfenveertig dagen en uitsluitend voor de toekomst te heroverwegen. In voorkomend geval legt het informatieveiligheidscomité de gewijzigde beraadslaging ter advies voor aan de Gegevensbeschermingsautoriteit. Voor zover die niet binnen de vijfenveertig dagen bijkomende opmerkingen formuleert, wordt de gewijzigde beraadslaging geacht definitief te zijn ».

Artikel 46, § 1, 8°, van de wet van 15 januari 1990Relevante gevonden documenten type wet prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 bron federale overheidsdienst binnenlandse zaken Wet houdende oprichting en organisatie van een Kruispuntbank van de Sociale Zekerheid. - Officieuze coördinatie in het Duits sluiten « houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid », vervangen bij artikel 39 van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten, bepaalt daarenboven dat het Informatieveiligheidscomité jaarlijks op de website van de Kruispuntbank en op de website van het eHealth-platform een beknopt verslag publiceert over de vervulling van zijn opdrachten tijdens het afgelopen jaar. In de parlementaire voorbereiding van de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten wordt ten slotte vermeld dat tegen de beraadslagingen van het Informatieveiligheidscomité beroep kan worden ingesteld bij de Raad van State (Parl. St., Kamer, 2017-2018, DOC 54-3185/001, pp. 10 en 31).

B.38.2. Uit het voorgaande blijkt dat de beraadslagingen van het Informatieveiligheidscomité met name voor de personen wier verwerking van persoonsgegevens door dat Comité wordt toegestaan, een bindende draagwijdte hebben. Die beraadslagingen worden aan een zwakke controle van de Gegevensbeschermingsautoriteit onderworpen omdat die het Informatieveiligheidscomité enkel kan vragen om een beslissing die zij onwettig zou achten, te « heroverwegen » en advies te verlenen over de ingevolge die vraag gewijzigde beraadslaging. Hoewel aan de betrokken personen geen jurisdictioneel beroep tegen de beraadslagingen van het Informatieveiligheidscomité wordt ontzegd, wordt hun wel de waarborg ontnomen dat die aan parlementaire controle worden onderworpen. Noch de benoeming en de ontheffing van hun opdracht van de leden van het Informatieveiligheidscomité door de Kamer van volksvertegenwoordigers, noch de verplichting om jaarlijks het beknopt verslag over de vervulling van de opdrachten van het Informatieveiligheidscomité op de website van de Kruispuntbank en op de website van het eHealth-platform te publiceren, lijken immers op een dergelijke controle.

B.39. Zoals de afdeling wetgeving van de Raad van State heeft opgemerkt in haar advies nr. 63.202/2 van 26 april 2018 over het voorontwerp van wet dat de wet van 5 september 2018Relevante gevonden documenten type wet prom. 05/09/2018 pub. 10/12/2020 numac 2020043838 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 10/09/2018 numac 2018203892 bron federale overheidsdienst sociale zekerheid, federale overheidsdienst financien, federale overheidsdienst beleid en ondersteuning en federale overheidsdienst economie, k.m.o., middenstand en energie Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG type wet prom. 05/09/2018 pub. 24/02/2022 numac 2022020281 bron federale overheidsdienst binnenlandse zaken Wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten betreffende de uitvoering van Verordening 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. - Duitse vertaling van uittreksels type wet prom. 05/09/2018 pub. 12/09/2018 numac 2018013546 bron federale overheidsdienst financien Wet tot wijziging van de bepalingen van de wet van 22 februari 1998 tot vaststelling van het organiek statuut van de Nationale Bank van België en van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten betreffende het beroep dat kan worden ingesteld tegen bepaalde beslissingen van de FSMA en van de NBB inzake financiële instrumenten en centrale effectenbewaarinstellingen sluiten is geworden, « wordt bij de AVG [...] een verplichting inzake onafhankelijkheid opgelegd aan de toezichthoudende autoriteit en niet aan de overheidsinstanties die persoonsgegevens verwerken of dergelijke verwerkingen toestaan zonder dat ze het statuut van een dergelijke toezichthoudende autoriteit krijgen, en die net onder het toezicht van de toezichthoudende autoriteit moeten worden geplaatst » (Parl. St., Kamer, 2017-2018, DOC 54-3185/001, p. 129). De bepalingen, maatregelen en voorwaarden die de lidstaten krachtens artikel 6, lid 2, artikel 9, lid 2, punt i), en artikel 9, lid 4, van de AVG kunnen aannemen, doen niets af aan die vaststelling.

Door de kamer « sociale zekerheid en gezondheid » van het Informatieveiligheidscomité, waarvan het statuut niet wordt gepreciseerd in de wet, noch de beoordelingsbevoegdheid erbij wordt afgebakend, te machtigen tot het nemen van beslissingen inzake de verwerking van persoonsgegevens die voor derden bindend zijn, zonder dat dergelijke beslissingen aan parlementaire controle kunnen worden onderworpen, ontzegt artikel 11, § 1, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, in samenhang gelezen met artikel 10, § 3, tweede zin, ervan, de betrokken personen de garantie van een dergelijke controle, zonder dat zulks te rechtvaardigen valt op grond van een vereiste die voortvloeit uit het recht van de Europese Unie.

De wetgevers hebben bovendien essentiële elementen van de in B.36.2 vermelde mededeling van persoonsgegevens aan derden gedelegeerd, door niet te bepalen wie de ontvangers van die mededeling zijn.

B.40. De bestreden akten moeten worden vernietigd in zoverre daarbij instemming wordt verleend met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 doordat artikel 11, § 1, ervan de woorden « zowel » en « als de verdere mededeling van die persoonsgegevens door Sciensano aan derden bepaald in artikel 10, » bevat en in zoverre daarbij instemming wordt verleend met artikel 10, § 3, tweede zin, van hetzelfde samenwerkingsakkoord.

IV. Wat betreft de informatie die door de contactcentra aan de behandelende artsen wordt verstrekt (vierde onderdeel) B.41. In het vierde onderdeel van het enige middel klagen de verzoekende partijen aan dat artikel 3, § 1, 2°, B, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 erin voorziet dat de behandelende artsen worden geïnformeerd over de medische toestand van de personen van categorie II en III zonder de toestemming van de betrokken personen.

B.42. De behandelende artsen van de personen van categorie I, II en III zijn personen categorie V in de zin van artikel 1, § 1, 17°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3. Hoewel die categorie van personen oorspronkelijk werd beoogd in artikel 3, § 1, 2°, B, van het ontwerp van samenwerkingsakkoord, komt zij niet meer voor in artikel 3, § 1, 2°, B, van het uiteindelijk aangenomen samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, dat bepaalt : « De verwerking van de persoonsgegevens in de Gegevensbank I beoogt de volgende verwerkingsdoeleinden : [...] B. de terbeschikkingstelling door de Gegevensbank I aan het bevoegde contactcentrum van de in artikel 7, § 4, bepaalde categorieën van persoonsgegevens, middels uitwisseling aan de Gegevensbank III, voor het contacteren van de Personen Categorieën VI, via elke mogelijke manier van communicatie, waaronder telefonisch, per e-mail of via bezoek aan de collectiviteit, om hen te informeren over de (vermoedelijke) besmetting van (i) de Personen Categorie II voor zover de coronavirus COVID-19-test uitwijst dat ze geïnfecteerd waren, en (ii) Personen Categorie III ».

De « Personen Categorie VI » zijn, overeenkomstig artikel 1, § 1, 18°, van hetzelfde samenwerkingsakkoord, « de referentiearts - of bij gebrek aan een referentiearts bij de desbetreffende collectiviteit - de administratief verantwoordelijke van collectiviteiten waarmee de Personen Categorieën I, II en III gedurende een periode van veertien dagen vóór en veertien dagen na de eerste symptomen van de besmetting met het coronavirus COVID-19, waarbij een bepaalde appreciatiemarge op grond van wetenschappelijke inzichten in rekening kan worden genomen, in contact is geweest ».

B.43. In zoverre het op een verkeerd uitgangspunt berust, is het vierde onderdeel van het enige middel niet gegrond.

V. Wat betreft het doeleinde van wetenschappelijk onderzoek (vijfde onderdeel) B.44. In het vijfde onderdeel van het enige middel doen de verzoekende partijen gelden dat artikel 3, § 1, 4°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 het beginsel van doelbinding en het beginsel van minimale gegevensverwerking schendt in zoverre het doeleinde van wetenschappelijk onderzoek verkeerd wordt beschouwd als een primair doel van de verwerking, en niet als een verder doel.

B.45. Het in artikel 5, lid 1, punt b), van de AVG bedoelde beginsel van doelbinding heeft twee bestanddelen. Het vereist, enerzijds, dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en, anderzijds, dat die gegevens « niet verder op een met die doeleinden onverenigbare wijze worden verwerkt ». Dezelfde bepaling voorziet erin dat « de verdere verwerking met het oog op [...] wetenschappelijk [...] onderzoek [...] overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden [wordt] beschouwd ».

B.46. Artikel 3, § 1, 4°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bepaalt : « De verwerking van de persoonsgegevens in de Gegevensbank I beoogt de volgende verwerkingsdoeleinden : [...] 4° de terbeschikkingstelling van gepseudonimiseerde persoonsgegevens vallend onder de categorieën van persoonsgegevens zoals uiteengezet onder artikel 6 van Personen Categorieën I tot en met V conform hetgeen bepaald in artikel 10 aan de reeds bestaande Gegevensbank II om de in dit lid vermelde gepseudonimiseerde gegevens ter beschikking te stellen na anonimisering, of minstens pseudonimisering voor het geval dat anonimisering niet zou toelaten aan de onderzoeksinstellingen hun wetenschappelijke of statistische studie te voeren, aan onderzoeksinstellingen, met inbegrip van Sciensano, ingevolge de daartoe voorziene procedure teneinde de onderzoeksinstellingen in staat te stellen wetenschappelijke of statistische studies uit te voeren inzake de strijd tegen de verspreiding van het coronavirus COVID-19 en/of om na pseudonimisering het beleid op dit gebied te ondersteunen in overeenstemming met titel 4 van de wet van 30 juli 2018Relevante gevonden documenten type wet prom. 30/07/2018 pub. 05/09/2018 numac 2018040581 bron federale overheidsdienst justitie, federale overheidsdienst binnenlandse zaken en ministerie van landsverdediging 30 JULI 2018 - Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens type wet prom. 30/07/2018 pub. 30/03/2021 numac 2021030655 bron federale overheidsdienst binnenlandse zaken Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. - Officieuze coördinatie in het Duits sluiten betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens ». B.47.1. Zoals in B.14.2 is vermeld, vormt wetenschappelijk onderzoek het derde doeleinde van de verwerking van de in Gegevensbank I verzamelde persoonsgegevens. Uit die bepaling en uit de bepalingen van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 blijkt dat de gegevens uit Gegevensbank I echter niet rechtstreeks voor wetenschappelijk onderzoek worden gebruikt. Zij worden pas in een tweede fase daartoe verwerkt nadat zij in gepseudonimiseerde vorm in Gegevensbank II werden opgeslagen.

De verwerking van persoonsgegevens met het oog op wetenschappelijk onderzoek die krachtens het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 wordt verricht, vormt bijgevolg een « verdere verwerking » van gegevens in de zin van artikel 5, lid 1, punt b), van de AVG. Overeenkomstig dezelfde bepaling wordt die verdere verwerking vermoed verenigbaar te zijn met de oorspronkelijke verwerkingsdoeleinden die, te dezen, het doeleinde van manuele contactopsporing en het doeleinde van preventie zijn.

B.47.2. In tegenstelling tot hetgeen de verzoekende partijen aanvoeren, brengt de omstandigheid dat de in het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bedoelde verwerking van persoonsgegevens met het oog op wetenschappelijk onderzoek een verdere verwerking van gegevens is, niet met zich mee dat die verwerking op de toestemming van de betrokkene moet zijn gebaseerd.

Zoals in overweging nr. 50 van de AVG wordt vermeld, is er, in geval van een verdere verwerking die verenigbaar is met de oorspronkelijke doeleinden, « geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan ».

Daaruit vloeit voort dat de rechtmatigheidsgronden waarop de verzameling van persoonsgegevens in Gegevensbank I voor de oorspronkelijke doeleinden van manuele contactopsporing en van preventie is gebaseerd, ook als rechtmatigheidsgronden dienen voor de verdere verwerking van die gegevens, na pseudonimisering, met het oog op wetenschappelijk onderzoek. In casu kunnen die rechtmatigheidsgronden zowel de vitale belangen van de betrokkene of van een andere natuurlijke persoon (artikel 6, lid 1, punt d)) als de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (artikel 6, lid 1, punt e)), de preventieve geneeskunde (artikel 9, lid 2, punt h)) en de redenen van algemeen belang op het gebied van de volksgezondheid (artikel 9, lid 2, punt i)) zijn.

B.47.3. Wat betreft de grief van de verzoekende partijen volgens welke de in het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bedoelde verwerking van persoonsgegevens met het oog op wetenschappelijk onderzoek leidt tot het verzamelen van persoonsgegevens die niet noodzakelijk zijn om het doeleinde van manuele contactopsporing na te streven, wordt verwezen naar het onderzoek van het tweede onderdeel van het enige middel.

B.48. Het vijfde onderdeel van het enige middel is niet gegrond.

VI. Wat betreft de koppelingen tussen Gegevensbank I en Gegevensbank V en het begrip « risicocontacten » (zesde en zevende onderdeel) B.49. In het zesde en zevende onderdeel van het enige middel doen de verzoekende partijen gelden dat artikel 14 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens schendt in zoverre het niet erin voorziet dat de in Gegevensbank I vervatte gegevens enkel bestemd zijn voor de manuele contactopsporing, met uitsluiting van de digitale contactopsporing, en in zoverre het begrip « risicocontact » niet erin wordt gedefinieerd.

B.50. Zoals in B.1.2 en B.13.3 is vermeld, worden bij artikel 14 van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, dat hoofdstuk VIII ervan vormt, de regels met betrekking tot de digitale contactopsporingsapplicaties vastgesteld. Artikel 14, § 3, 2°, voorziet in de oprichting van Gegevensbank V, die in artikel 1, § 1, 10°, wordt gedefinieerd als « de centrale loglijst van de digitale contactopsporingsapplicatie die toelaat om [de] werking van de digitale contactopsporingsapplicatie zoals beschreven in artikel 14 op een gecontroleerde manier te laten verlopen en die bij Sciensano afzonderlijk van Gegevensbank I en II wordt gehouden ».

B.51.1. De verzoekende partijen voeren eerst aan dat de koppelingen tussen Gegevensbank I en Gegevensbank V onvoldoende duidelijk zijn en dat Gegevensbank I ook het doel van digitale contactopsporing zou beogen.

B.51.2. Uit het voormelde artikel 1, § 1, 10°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 en uit de algemene toelichting erbij vloeit voort dat Gegevensbank I afzonderlijk wordt gehouden van Gegevensbank V en dat Sciensano waakt over de naleving van die scheiding. In de algemene toelichting bij het samenwerkingsakkoord wordt vermeld : « De vraagaanduiding of er al dan niet gebruik wordt gemaakt van een digitale contactopsporingsapplicatie betreft louter geaggregeerde data (zijnde het bevestigend of ontkennend antwoord op die vraag) die nooit wordt teruggekoppeld naar de digitale contactopsporingsapplicatie zelf. Indien de digitale contactopsporingsapplicatie wordt gebruikt door de indexpersonen en de personen waarmee deze indexpersonen in contact zijn geweest, zijn deze personen reeds verwittigd met betrekking tot een potentiële besmetting. Eveneens kan door het opnemen van deze gegevens de werking van de digitale contactopsporingsapplicatie worden geverifieerd » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 89-90). « De mobiele applicatie van de digitale contactopsporingsapplicatie registreert de contacten tussen gebruikers zonder dat de identiteit achterhaald kan worden. Gegevensbank V laat een gebruiker toe om een vastgestelde besmetting alsook het vermoedelijke tijdstip van deze besmetting op vrijwillige basis en op gecontroleerde wijze door te geven, zodat andere gebruikers verwittigd kunnen worden wanneer die in contact zouden zijn geweest met de besmette gebruiker in de periode dat hij/zij besmettelijk was, zonder dat [...] hierbij de identiteit van de besmette gebruiker of de andere gebruiker waarmee hij/zij in contact was kan achterhaald worden » (ibid., pp. 114-115). « Dit samenwerkingsakkoord voorziet dat Sciensano de verwerkingsverantwoordelijke is van Gegevensbank V. Sciensano moet er op toezien dat de nodige technische en organisatorische maatregelen genomen zijn om deze gegevensbank te beschermen, en dat de gegevens van deze gegevensbank niet gekruist worden met andere databanken.

Gelet op de bijzondere ervaring bij Sciensano inzake de gegevensbescherming bij de omgang met gezondheidsgegevens voor wetenschappelijk onderzoek en het implementeren van dergelijke methoden van beveiliging en pseudonimisering van gegevens, lijkt Sciensano de meest aangewezen verantwoordelijke voor deze verwerking te zijn » (ibid., pp. 116-117).

Uit de opmerkingen van de verwerende overheden kan daarenboven worden afgeleid dat de verwijzing, in artikel 2, § 1, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, naar artikel 1, § 2, ervan verkeerd is en dat zij moet worden gelezen als een verwijzing naar artikel 1, § 2, 1° en 3°.

Zoals in B.13.5 is vermeld, staat Gegevensbank I derhalve los van Gegevensbank V. B.51.3. Het zesde onderdeel van het enige middel is niet gegrond.

B.52.1. De verzoekende partijen voeren vervolgens aan dat het begrip « risicocontact » niet wordt gedefinieerd in artikel 14 van het samenwerkingsakkoord.

B.52.2. Het begrip « risicocontact » wordt gedefinieerd in artikel 1, 10°, van het uitvoerend samenwerkingsakkoord van 13 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten4 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie, betreffende de digitale contactopsporingsapplicatie(s) (hierna : het samenwerkingsakkoord van 13 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten4), overeenkomstig artikel 92bis, § 1, derde lid, van de bijzondere wet van 8 augustus 1980Relevante gevonden documenten type wet prom. 08/08/1980 pub. 11/12/2007 numac 2007000980 bron federale overheidsdienst binnenlandse zaken Bijzondere wet tot hervorming der instellingen. - Officieuze coördinatie in het Duits sluiten tot hervorming der instellingen, aangenomen ter uitvoering van artikel 14, § 9, 2°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3.

Artikel 14, § 9, 2°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bepaalt : « Het zijn de gefedereerde entiteiten die beslissen welke mobiele applicatie(s) binnen het kader van de contactopsporing van de overheden ter beschikking van gebruikers worden gesteld, en de conformiteit met regelgeving controleren. De procedures daaromtrent, alsook de verdere werking van de digitale contactopsporingsapplicatie en de in dat kader nuttige gegevensverwerkingen worden geregeld bij een uitvoerend samenwerkingsakkoord als bedoeld bij artikel 92bis, § 1, derde lid, van de bijzondere wet van 8 augustus 1980Relevante gevonden documenten type wet prom. 08/08/1980 pub. 11/12/2007 numac 2007000980 bron federale overheidsdienst binnenlandse zaken Bijzondere wet tot hervorming der instellingen. - Officieuze coördinatie in het Duits sluiten tot hervorming der instellingen, zonder dat kan worden afbreuk gedaan aan de bepalingen van dit artikel. Dit uitvoerend samenwerkingsakkoord bevat ten minste : [...] 2° een duidelijke beschrijving van de verwerkingen die voortvloeien uit het gebruik van de digitale contactopsporingsapplicatie en een duidelijke definitie van belangrijke concepten zoals risicocontact [...] ».

Artikel 1, 10°, van het uitvoerend samenwerkingsakkoord van 13 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten4 bepaalt : « Voor de toepassing van dit akkoord wordt verstaan onder : [...] 10° risicocontact : een contact gedurende minstens vijftien minuten binnen een afstand van minder dan twee meter met een besmet persoon; dat contact wordt vastgesteld wanneer op een smartphone een niet-gepersonaliseerd tijdelijk serienummer wordt gevonden dat overeenkomt met een niet-gepersonaliseerd serienummer dat werd uitgezonden door de smartphone van een besmette gebruiker ».

B.52.3. Het zevende onderdeel van het enige middel is niet gegrond.

VII. Wat betreft het begrip « fysiek bezoek » (achtste onderdeel) B.53. In het achtste onderdeel van het enige middel doen de verzoekende partijen gelden dat artikel 3, § 1, 2°, A, en § 2, 2°, A, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 niet voldoet aan het beginsel van doelbinding in zoverre het begrip « fysiek bezoek » niet erin wordt gedefinieerd.

B.54.1. Artikel 3, § 1, 2°, A, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bepaalt : « De verwerking van de persoonsgegevens in de Gegevensbank I beoogt de volgende verwerkingsdoeleinden : [...] 2° A.de terbeschikkingstelling door de Gegevensbank I, aan het bevoegde contactcentrum van de in artikel 7, § 3, bepaalde categorieën van persoonsgegevens, middels uitwisseling aan de Gegevensbank III, voor het contacteren van de Personen Categorie IV, via elke mogelijke manier van communicatie, waaronder telefonisch, per e-mail of via fysiek bezoek, om hen hygiëne- en preventierichtlijnen te verstrekken, quarantaine voor te stellen of uit te nodigen om te worden getest op het coronavirus COVID-19, alsmede de verdere opvolging hiervan ».

Artikel 3, § 2, 2°, A, bepaalt : « De door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra mogen, voor zover zij bevoegd zijn en conform artikel 10, § 1 : [...] 2° A.de in artikel 7, § 3, bepaalde categorieën van persoonsgegevens verwerken om de Personen Categorie IV te contacteren, via elk[e] mogelijke manier van communicatie, waaronder telefonisch, per e-mail of via fysiek bezoek, om hen hygiëne- en preventierichtlijnen te verstrekken, quarantaine voor te stellen of uit te nodigen om te worden getest op het coronavirus COVID-19, alsmede de verdere opvolging hiervan ».

B.54.2. Zoals in B.14.2 is vermeld, voorzien die bepalingen erin dat de contactcentra, via een gegevensuitwisseling tussen Gegevensbank I en Gegevensbank III, de categorieën van persoonsgegevens ontvangen met betrekking tot de personen met wie de positief geteste personen en de vermoedelijk besmette personen contact hebben gehad gedurende een periode van veertien dagen vóór en veertien dagen na de eerste tekenen van besmetting (personen categorie IV) om hun hygiëne- en preventierichtlijnen te verstrekken, quarantaine voor te stellen of uit te nodigen om te worden getest. In die bepalingen wordt gepreciseerd dat die contactname kan geschieden « via elke mogelijke manier van communicatie, waaronder telefonisch, per e-mail of via fysiek bezoek ».

Artikel 3, § 1, 1°, en § 2, 1°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 staat de contactcentra daarenboven toe met name via fysiek bezoek in contact te treden met positief geteste personen categorie II en met vermoedelijk besmette personen (personen categorie III) om hun eventueel aanbevelingen te doen maar vooral om hun te vragen informatie te verstrekken over de personen met wie zij contact hebben gehad.

Volgens artikel 1, § 1, 4°, van hetzelfde samenwerkingsakkoord is het contactcentrum de « door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide instantie die de betrokkene contacteert via elke mogelijke manier van communicatie, waaronder telefonisch, per e-mail of fysiek bezoek binnen het kader van de doeleinden zoals bepaald in artikel 3, § 2[,] en die vervolgens de verzamelde gegevens deelt met de Gegevensbank I ». Volgens artikel 1, § 1, 20°, ervan zijn veldonderzoekers « medewerkers van de contactcentra die fysieke bezoeken kunnen afleggen in het kader van het contactonderzoek ».

B.54.3. In haar voormelde advies nr. 64/2020 van 20 juli 2020 heeft de Gegevensbeschermingsautoriteit opgemerkt : « 19. In de eerste plaats merkt de Autoriteit op dat het ontwerp veel gedetailleerder is dan de andere normatieve ontwerpen waarover zij reeds een standpunt heeft ingenomen. De Autoriteit merkt namelijk op dat in het ontwerp wordt getracht om met grote nauwkeurigheid duidelijkheid te verschaffen over de nagestreefde doeleinden, over de gegevens die zullen worden verzameld en gebruikt, en over de gegevensstromen die zullen worden opgezet. 20. Bepaalde elementen moeten echter nog worden verduidelijkt om ervoor te zorgen dat het samenwerkingsakkoord een voldoende voorspelbaar kader biedt voor de gegevensverwerkingen die erin worden vastgesteld.Dit is met name het geval bij de ' fysieke bezoeken ' die kunnen plaatsvinden in het kader van het ' manuele ' contactonderzoek van (vermoedelijk) besmette personen en hun contacten. 21. Het ontwerp stelt voor om de bevoegde ' contactcentra ' toe te laten om ' fysieke bezoeken ' af te leggen bij personen van categorie II die op COVID-19 zijn getest en besmet zijn bevonden, aan personen van categorie III [d.w.z. personen die vermoedelijk besmet zijn] en aan personen van categorie IV [d.w.z. personen die contact hebben gehad met (vermoedelijk) besmette personen]. 22. Op dit moment biedt het ontwerp geen specifieke omkadering voor deze ' fysieke bezoeken ', die niettemin een aanzienlijke inmenging vormen in het recht op eerbiediging van het privéleven van de betrokkenen.Om te voldoen aan de vereiste van voorspelbaarheid die wordt gesteld voor elke regelgeving die een inmenging in het recht op eerbiediging van het privéleven mogelijk maakt, moet het ontwerp de voorwaarden en omstandigheden bepalen waarbij een fysiek bezoek kan plaatsvinden. Het ontwerp moet met name het volgende bepalen : - de plaatsen waar deze bezoeken kunnen plaatsvinden (thuis, op het werk,...) - de tijdstippen waarop ze kunnen plaatsvinden - de omstandigheden waarin zij kunnen plaatsvinden, met inbegrip van de vraag of de contactcentra eerst moeten proberen met de betrokkenen contact op te nemen met minder ingrijpende middelen - het bindende karakter van dergelijke bezoeken. Met andere woorden, zijn de personen verplicht om de deur te openen voor personen die bij hen thuis langskomen (en zo ja, zijn er sancties voorzien ?) of hebben ze de keuze om te weigeren de deur te openen als ze geen informatie willen geven aan de contactcentra ? - het verloop van deze bezoeken en de gegevens, met inbegrip van de persoonsgegevens, die tijdens deze bezoeken worden verzameld (soort gegevens, betrokkenen, enz.). 23. Indien het antwoord op deze vragen in andere wetgeving, met name regionale of communautaire wetgeving, te vinden is, moet expliciet en nauwkeurig worden verwezen naar de bepalingen betreffende dergelijke ' fysieke bezoeken '.Hoewel in het positief recht geen bepaling bestaat die dergelijke ' fysieke bezoeken ' omkadert, dient te worden voorzien in een dergelijke omkadering om de betrokkenen in staat te stellen de voorwaarden en omstandigheden waarbij dergelijke bezoeken kunnen plaatsvinden te kennen. 24. De Autoriteit is van mening dat dergelijke fysieke bezoeken alleen kunnen gebeuren om de bezochte persoon dezelfde informatie te verstrekken als die welke wordt verstrekt aan de personen met wie telefonisch contact wordt opgenomen en dat dergelijke bezoeken geen aanleiding kunnen geven tot het controleren van de naleving van eerder verstrekte aanbevelingen » (Parl.St., Kamer, 2019-2020, DOC 55-1490/002, pp. 43-44).

B.55.1. Het fysiek bezoek door veldonderzoekers maakt een inmenging in het recht op eerbiediging van de woning en van het privéleven uit.

B.55.2. Uit de in B.54 vermelde bepalingen en uit de algemene toelichting bij het samenwerkingsakkoord blijkt dat het fysiek bezoek, dat elke vorm van dwang uitsluit, een subsidiair middel is waarover de veldonderzoekers beschikken om de (vermoedelijk) besmette personen en hun contacten te contacteren teneinde hun hygiëne- en preventierichtlijnen te verstrekken, quarantaine voor te stellen of uit te nodigen om te worden getest, wanneer telefonisch of elektronisch contact onmogelijk is. De nadere regels voor het uitvoeren van deze bezoeken worden daarenboven bepaald door de regelgevingen van de gefedereerde entiteiten : « Het contactcentrum neemt niet enkel contact op met de personen van wie de arts een ernstig vermoeden van besmetting heeft of met de personen waarbij de coronavirus COVID-19-test uitwees dat ze besmet zijn, met name de indexpersonen, maar tevens met de personen met wie zij in nauw contact zijn gekomen. Het door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentrum ontvangt deze gegevens uit de Gegevensbank I bij Sciensano. Gaat het om contacten met personen in een collectiviteit met een kwetsbare populatie, dan contacteert het contactcentrum de referentiearts, of bij gebreke hieraan, de administratief verantwoordelijke van die collectiviteit voor verdere opvolging van de situatie. Gaat het om contacten met individuele personen, dan contacteert het contactcentrum die individuele personen telefonisch, geeft ze vervolgens op basis van de informatie die zij verschaffen de gepaste aanbevelingen (thuis blijven, thuis werken, zich laten testen,...) en bevestigt deze aanbevelingen elektronisch. Deze elektronische zending betreft enkel een bevestiging van de aanbevelingen die mondeling werden gegeven.

Eveneens is het mogelijk dat veldonderzoekers fysieke bezoeken afleggen bij de betrokkenen, wanneer telefonisch of elektronisch contact onmogelijk is » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, pp. 91-92). « De specifieke regels met betrekking tot de uitvoering van de opsporing (zoals [...] de organisatie van huisbezoeken [...]), vallen [...] buiten de werkingssfeer van het samenwerkingsakkoord en worden geregeld door de toepasselijke regelgeving van de gefedereerde entiteiten » (ibid., p. 64).

B.55.3. Het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 heeft enkel tot doel een regelgevend kader te scheppen voor de gezamenlijke gegevensverwerking door Sciensano, de contactcentra, de gezondheidsinspecties en de mobiele teams in het kader van de opsporing van personen die (vermoedelijk) besmet zijn met COVID-19, en hun contacten. In het licht van die doelstelling maken de in het samenwerkingsakkoord en de algemene toelichting opgenomen preciseringen omtrent het subsidiaire karakter van het fysieke bezoek ten opzichte van het contact via telefoon en per e-mail en de identieke beoogde finaliteit van die verschillende vormen van contactonderzoek, de omstandigheden waarin een dergelijk bezoek door veldonderzoekers kan plaatsvinden voldoende voorzienbaar. Voor zover de gemeenschappen, in het kader van hun bevoegdheid inzake preventieve gezondheidszorg, hebben nagelaten de nadere regels van de uitvoering van de fysieke bezoeken aan te nemen, vloeit die nalatigheid niet voort uit de bestreden akten.

B.55.4. Rekening houdend met hetgeen is vermeld in B.55.2, is het achtste onderdeel van het enige middel niet gegrond.

VIII. Wat betreft de geheimhoudingsplicht van de medewerkers van de contactcentra (negende onderdeel) B.56. In het negende onderdeel van het enige middel voeren de verzoekende partijen aan dat het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 in strijd is met artikel 9, lid 2, punt i), van de AVG in zoverre het niet erin voorziet dat de medewerkers van de contactcentra aan het beroepsgeheim zijn onderworpen.

B.57. Zoals in B.10.2 is vermeld, bepaalt artikel 9, lid 2, punt i), van de AVG dat, in geval van verwerking van gevoelige gegevens die wordt toegestaan om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid, het Unierecht of het lidstatelijk recht voorziet in passende en specifieke maatregelen ter bescherming van de rechten en vrijheden van de betrokkene, « met name van het beroepsgeheim ».

B.58. In haar voormelde advies nr. 64/2020 van 20 juli 2020 heeft de Gegevensbeschermingsautoriteit opgemerkt : « 25. De in het ontwerp beoogde gegevensverwerking heeft gedeeltelijk betrekking op gezondheidsgegevens, waarvan de verwerking in principe verboden is (artikel 9.1. van de AVG). Dit verbod is echter niet van toepassing wanneer - zoals in dit geval - ' de verwerking noodzakelijk [is] om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim ' (artikel 9.2.i) van de AVG). 26. Met betrekking tot deze geheimhoudingsplicht wijst de Autoriteit erop dat artikel 9.3°) van de WVP bepaalt dat de verwerkingsverantwoordelijke voor de gezondheidsgegevens ervoor moet zorgen dat door hem aangewezen personen die toegang hebben tot de persoonsgegevens over gezondheid ' door een wettelijke of statutaire verplichting, of door een gelijkwaardige contractuele bepaling, ertoe gehouden zijn het vertrouwelijke karakter van de betrokken gegevens in acht te nemen '. Tenzij de Autoriteit zich vergist, schept het ontwerp echter geen specifieke geheimhoudingsplicht voor de personen (met inbegrip van degenen die in de contactcentra werken) die toegang zullen hebben tot gezondheidsgegevens. Zoals reeds vermeld in haar advies nr. 36/2020 is de Autoriteit van mening dat, om de vertrouwelijkheid [te vrijwaren] van de identiteit en de gezondheidstoestand van de identificeerbare personen wier persoonsgegevens in de verschillende door het ontwerp ingevoerde gegevensbanken zullen worden opgenomen, het passend is om in het ontwerp van samenwerkingsakkoord een specifieke bepaling op te nemen die de personen die toegang hebben tot deze gegevens aan het beroepsgeheim onderwerpt » (Parl. St., Kamer, 2019-2020, DOC 55-1490/002, p. 45).

B.59. Volgens de algemene toelichting bij het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 maakt het onderwerpen van de medewerkers van de contactcentra aan het beroepsgeheim deel uit van de regels met betrekking tot de uitvoering van de manuele contactopsporing die buiten de werkingssfeer van het samenwerkingsakkoord vallen en waarin wordt voorzien bij de regelgevingen van de gefedereerde entiteiten : « De specifieke regels met betrekking tot de uitvoering van de opsporing (zoals [...] het onderwerpen van de medewerkers van de contactcentra aan het beroepsgeheim), vallen [...] buiten de werkingssfeer van het samenwerkingsakkoord en worden geregeld door de toepasselijke regelgeving van de gefedereerde entiteiten » (Parl. St., Kamer, 2019-2020, DOC 55-1490/001, p. 64).

B.60. Zoals de verwerende overheden uiteenzetten, zijn de medewerkers van het contactcentrum dat is georganiseerd bij het « Agence wallonne de la santé, de la protection sociale, du handicap et des familles » (Waals Agentschap voor gezondheid, sociale bescherming, handicap en gezinnen), onderworpen aan het beroepsgeheim krachtens artikel 5 van het besluit van de Waalse Regering van bijzondere machten nr. 35 van 5 mei 2020 « houdende organisatie van de ' contact tracing ' in het kader van de bestrijding van de COVID-19-epidemie ». De medewerkers van het centrale contactcentrum dat is opgericht door de door de Vlaamse Regering aangewezen structuur, zijn onderworpen aan het beroepsgeheim krachtens artikel 3 van het decreet van de Vlaamse Gemeenschap van 29 mei 2020 « tot organisatie van het centrale contactonderzoek door een samenwerkingsverband van externe partners, het lokale contactonderzoek door lokale besturen of zorgraden en tot organisatie van de COVID-19-teams in het kader van COVID-19 ». De medewerkers van het door de Regering van de Duitstalige Gemeenschap opgerichte contactcentrum zijn onderworpen aan het beroepsgeheim krachtens artikel 10.18, § 2, van het decreet van de Duitstalige Gemeenschap van 1 juni 2004 « betreffende de gezondheidspromotie en inzake medische preventie », zoals ingevoerd bij artikel 18 van het decreet van 20 juli 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten2 « betreffende het contactonderzoek in het kader van de bestrijding van de gezondheidscrisis die door het coronavirus (COVID-19) is ontstaan ».

Artikel 4, § 2, van het besluit van bijzondere machten van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie nr. 2020/006 van 18 juni 2020 « tot het organiseren van het gezondheidskundig contactonderzoek in het kader van de strijd tegen de COVID-19-pandemie » verbiedt de leden van het contactcenter dat wordt georganiseerd bij de diensten van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie, om de persoonsgegevens waartoe zij toegang hebben, te verspreiden of voor een ander doel te gebruiken. Krachtens artikel 13 van hetzelfde besluit is een overtreding van dat verbod strafbaar met de strafrechtelijke sancties die zijn bedoeld in artikel 15 van de ordonnantie van de Gemeenschappelijke Gemeenschapscommissie van 19 juli 2007 « betreffende het preventieve gezondheidsbeleid ».

Daaruit vloeit voort dat alle medewerkers van de contactcentra zijn onderworpen aan een wettelijke geheimhoudingsplicht waarvan de schending strafrechtelijk wordt bestraft.

B.61. In de interpretatie volgens welke de medewerkers van de in artikel 1, § 1, 4°, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 bedoelde contactcentra, met inbegrip van de in artikel 1, § 1, 20°, ervan bedoelde veldonderzoekers, verplicht zijn om de persoonsgegevens geheim te houden waarvan zij kennis krijgen bij de uitoefening van hun opdracht overeenkomstig de in B.60 vermelde regelgevingen, schendt het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens niet.

B.62. Onder voorbehoud van de in B.61 vermelde interpretatie is het negende onderdeel van het enige middel niet gegrond.

Wat betreft het verzoek om een prejudiciële vraag aan het Hof van Justitie van de Europese Unie te stellen B.63. De verzoekende partijen suggereren om aan het Hof van Justitie een prejudiciële vraag over de uitlegging van het Unierecht te stellen.

Het onderzoek van de aangevoerde grieven heeft geen twijfel doen rijzen over de uitlegging van de te dezen van toepassing zijnde bepalingen van het Unierecht, zodat er geen aanleiding bestaat om het voormelde verzoek in te willigen.

Wat betreft het verzoek tot handhaving van de gevolgen B.64. De verwerende overheden verzoeken om de gevolgen van de bestreden akten te handhaven in geval van vernietiging.

B.65.1. Wanneer een beroep tot vernietiging, gericht tegen een wetskrachtige norm, gegrond is, heeft het Hof, krachtens artikel 8, eerste lid, van de bijzondere wet van 6 januari 1989Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten op het Grondwettelijk Hof (hierna : de bijzondere wet), enkel de bevoegdheid om de betrokken akte geheel of gedeeltelijk te vernietigen.

Wanneer het, zoals te dezen het geval is, een wetskrachtige norm vernietigt omdat de wetgever op ongrondwettige wijze heeft nagelaten om wetgevend op te treden, kan het Hof, krachtens artikel 8, derde lid, van de bijzondere wet, de gevolgen van een vernietigde bepaling voorlopig handhaven tot de wetgever een einde heeft gesteld aan de vastgestelde ongrondwettigheid, en voor de termijn die het bepaalt.

B.65.2. Uit de rechtspraak van het Hof van Justitie blijkt dat de beginselen van de voorrang en van de volle werking van het recht van de Europese Unie zich verzetten tegen een voorlopige handhaving van nationale maatregelen die in strijd zijn met het rechtstreeks toepasselijke recht van de Unie (HvJ, grote kamer, 8 september 2010, C-409/06, Winner Wetten GmbH). Op grond van deze rechtspraak vermag het Grondwettelijk Hof dus geen gevolg te verlenen aan een verzoek tot handhaving van de gevolgen van een vernietigde wetgevende akte, doordat afbreuk zou worden gedaan aan de volle werking van het Unierecht.

Wanneer het Hof, ten aanzien van de onderzochte middelen, vaststelt dat een geheel van wettelijke maatregelen in overeenstemming is met de Grondwet, in samenhang gelezen met de AVG, met uitzondering van lacunes die bestaan in de - met de AVG strijdige - ontstentenis van de vaststelling van een maximumtermijn voor het bewaren van de in een gegevensbank opgeslagen persoonsgegevens en van de aanwijzing van bepaalde entiteiten als gezamenlijke verwerkingsverantwoordelijken, verzekert het Hof echter de bescherming van de volle werking van het Unierecht door aan de wetgever een korte termijn op te leggen waarbinnen hij een einde dient te stellen aan de vastgestelde ongrondwettigheid.

B.65.3. Teneinde de rechtszekerheid te vrijwaren van de op basis van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 verrichte verwerking van persoonsgegevens, dienen de gevolgen van de bestreden akten te worden gehandhaafd, in zoverre zij instemming verlenen : - met de artikelen 2, § 3, en 15, § 1 en § 3, tweede zin, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, tot wanneer de betrokken wetgevers hun goedkeuring verlenen aan een aanvullend samenwerkingsakkoord waarbij voor de in Gegevensbank IV opgeslagen persoonsgegevens wordt voorzien in een maximale bewaringstermijn, en uiterlijk tot en met 31 maart 2023; - met artikel 2, § 4, van hetzelfde samenwerkingsakkoord, tot wanneer de betrokken wetgevers hun goedkeuring verlenen aan een aanvullend samenwerkingsakkoord dat bepaalt dat de bevoegde gefedereerde entiteiten of hun agentschappen onder wier gezag de contactcentra, de mobiele teams en de gezondheidsinspectiediensten werken, gezamenlijke verwerkingsverantwoordelijken van Gegevensbank I zijn, en uiterlijk tot en met 31 maart 2023.

B.65.4. Voor het overige bestaat er geen aanleiding om dat verzoek in te willigen, rekening houdend met de beperkte draagwijdte van de uitgesproken vernietiging.

Om die redenen, het Hof 1) vernietigt het decreet van het Waalse Gewest van 30 september 2020, artikel 1 van het decreet van de Duitstalige Gemeenschap van 12 oktober 2020, artikel 2 van de wet van 9 oktober 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten0, de ordonnantie van de Gemeenschappelijke Gemeenschapscommissie van 1 oktober 2020 en het decreet van de Vlaamse Gemeenschap van 2 oktober 2020 « houdende instemming met het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3 tussen de Federale Staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie, betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano », in zoverre daarbij instemming wordt verleend : - met de artikelen 2, § 3, en 15, § 1 en § 3, tweede zin, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, in zoverre die bepalingen niet voorzien in een maximale bewaringstermijn van de persoonsgegevens die zijn opgeslagen in Gegevensbank IV; - met artikel 2, § 4, van hetzelfde samenwerkingsakkoord, in zoverre die bepaling niet erin voorziet dat de bevoegde gefedereerde entiteiten of hun agentschappen onder wier gezag de contactcentra, de mobiele teams en de gezondheidsinspectiediensten werken, gezamenlijke verwerkingsverantwoordelijken van Gegevensbank I zijn; - met hetzelfde samenwerkingsakkoord, in zoverre artikel 11, § 1, ervan de woorden « zowel » en « als de verdere mededeling van die persoonsgegevens door Sciensano aan derden bepaald in artikel 10, » bevat; - met artikel 10, § 3, tweede zin, van hetzelfde samenwerkingsakkoord; 2) onder voorbehoud van de in B.30.4 en B.61 vermelde interpretaties en rekening houdend met hetgeen is vermeld in B.55.2, verwerpt de beroepen voor het overige; 3) handhaaft de gevolgen van de vernietigde akten, in zoverre daarmee instemming wordt verleend : - met de artikelen 2, § 3, en 15, § 1 en § 3, tweede zin, van het samenwerkingsakkoord van 25 augustus 2020Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten3, tot wanneer de betrokken wetgevers hun goedkeuring verlenen aan een aanvullend samenwerkingsakkoord waarbij voor de in Gegevensbank IV opgeslagen persoonsgegevens wordt voorzien in een maximale bewaringstermijn, en uiterlijk tot en met 31 maart 2023; - met artikel 2, § 4, van hetzelfde samenwerkingsakkoord, tot wanneer de betrokken wetgevers hun goedkeuring verlenen aan een aanvullend samenwerkingsakkoord dat bepaalt dat de bevoegde gefedereerde entiteiten of hun agentschappen onder wier gezag de contactcentra, de mobiele teams en de gezondheidsinspectiediensten werken, gezamenlijke verwerkingsverantwoordelijke, van Gegevensbank I zijn, en uiterlijk tot en met 31 maart 2023.

Aldus gewezen in het Frans, het Nederlands en het Duits, overeenkomstig artikel 65 van de bijzondere wet van 6 januari 1989Relevante gevonden documenten type wet prom. 06/01/1989 pub. 18/02/2008 numac 2008000108 bron federale overheidsdienst binnenlandse zaken Bijzondere wet op het Arbitragehof sluiten, op 22 september 2022.

De griffier, De voorzitter, P.-Y. Dutilleux P. Nihoul