20 OKTOBER 2023. - Besluit van de Vlaamse Regering tot uitvoering van het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten tot oprichting van het platform Vitalink

Rechtsgronden Dit besluit is gebaseerd op: - het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten tot oprichting van het platform Vitalink, artikel 3, 6, derde lid, artikel 7, tweede lid, artikel 9, § 2, artikel 10, 11, 12, artikel 14, tweede en vierde lid, artikel 16, 17, § 1 en § 3, en artikel 18, tweede lid.

Vormvereisten De volgende vormvereisten zijn vervuld: - De Inspectie van Financiën heeft advies gegeven op 26 oktober 2022. - De Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens heeft advies nr. 2022/112 gegeven op 22 december 2022. - De Gegevensbeschermingsautoriteit heeft advies nr. 88/2023 gegeven op 17 mei 2023. - De Raad van State heeft advies nr. 72.963/3 gegeven op 23 februari 2023, met toepassing van artikel 84, § 1, eerste lid, 2°, van de wetten op de Raad Van State, gecoördineerd op 12 januari 1973. - De Raad van State heeft advies nr. 73.895/3 gegeven op 20 juli 2023, met toepassing van artikel 84, § 1, eerste lid, 2°, van de wetten op de Raad Van State, gecoördineerd op 12 januari 1973.

Motivering Dit besluit is gebaseerd op het volgende motief: - Het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten tot oprichting van het platform Vitalink voorziet in verschillende delegaties aan de Vlaamse Regering om de werking van het platform Vitalink verder uit te werken. Dit besluit werkt de uitvoeringsbepalingen uit en laat het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten in werking treden zodat een volledige regelgevende basis gecreëerd wordt voor het platform Vitalink.

Initiatiefnemer Dit besluit wordt voorgesteld door de Vlaamse minister van Welzijn, Volksgezondheid en Gezin.

Na beraadslaging, DE VLAAMSE REGERING BESLUIT: HOOFDSTUK 1. - Definities

Artikel 1.In dit besluit wordt verstaan onder: 1° departement: het Departement Zorg, opgericht bij het besluit van de Vlaamse Regering van 12 mei 2023 over het Departement Zorg;2° betrokkene: een geïdentificeerde of identificeerbare natuurlijke persoon als vermeld in artikel 4, 1), van de algemene verordening gegevensbescherming;3° decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten: het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten tot oprichting van het platform Vitalink;4° geïnformeerde toestemming: de instemming van een betrokkene die geïnformeerd is over de draagwijdte en de gevolgen van zijn instemming, waarbij hij instemming geeft met het geheel van elektronische uitwisselingen van zijn gezondheidsgegevens. HOOFDSTUK 2. - Bevoegde instantie

Art. 2.De Vlaamse Regering wijst het departement aan om de opdrachten, vermeld in artikel 3, 10, 11, 16, eerste lid, en artikel 17, § 1 en § 3, van het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten, uit te voeren. HOOFDSTUK 3. - Voorwaarden voor gegevensuitwisseling

Art. 3.§ 1. Als actoren in de zorg onderling gegevens willen uitwisselen of opvragen in Vitalink, controleert het departement voor de uitwisseling of de mededeling van de gegevens al de volgende elementen: 1° de identiteit en de hoedanigheid van de gebruiker via een vertrouwde derde partij;2° de geïnformeerde toestemming voor gegevensdeling van de betrokkene. Het departement kan voor de uitwisseling of de mededeling van gegevens een of meer van de volgende zaken controleren als dat toepasselijk en opportuun is: 1° de vertrouwensrelatie tussen de betrokkene en de gebruiker;2° de toegangsrechten van de gebruiker tot de gegevens;3° het bestaan van een toetreding tot de cirkel van vertrouwen als de gebruiker een voorziening is. In het tweede lid, 1°, wordt verstaan onder vertrouwensrelatie: de therapeutische relatie en de zorgrelatie.

In het derde lid wordt verstaan onder therapeutische relatie: de relatie tussen een bepaalde patiënt en één of meerdere zorgverleners, die betrokken zijn bij de diagnostische, preventieve of zorgverlenende handelingen ten opzichte van de patiënt.

In het derde lid wordt verstaan onder zorgrelatie: de relatie tussen een bepaalde patiënt en één of meerdere hulpverleners, voorzieningen en informele zorgverleners, die betrokken zijn bij preventieve of zorgverlenende handelingen ten opzichte van de patiënt.

In het tweede lid, 3°, wordt verstaan onder cirkel van vertrouwen: een organisatie die van het beheerscomité het vertrouwen krijgt omdat ze zelf op een aantal vlakken informatieveiligheidsmaatregelen organiseert en de correcte naleving ervan bewaakt, zodat andere organisaties en burgers kunnen vertrouwen dat deze informatieveiligheidsmaatregelen worden nageleefd en dat de gegevensdeling gebeurt conform de regelgeving over de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens.

In het zesde lid wordt verstaan onder het beheerscomité: het beheerscomité bedoeld in artikel 7 van het samenwerkingsakkoord van 20 november 2017Relevante gevonden documenten type samenwerkingsakkoord prom. 20/11/2017 pub. 16/03/2018 numac 2018010776 bron federale overheidsdienst volksgezondheid, veiligheid van de voedselketen en leefmilieu Samenwerkingsakkoord tussen de federale, gewestelijke en gemeenschapsoverheden voor het coördineren van de gegevensverwerking in het gezondheidsbeleid en de bijstand aan personen sluiten tussen de federale, gewestelijke en gemeenschapsoverheden voor het coördineren van de gegevensverwerking in het gezondheidsbeleid en de bijstand aan personen. § 2. Als het een verwerking betreft die uitgaat van een andere gegevensbron, van gegevens die al ter beschikking zijn van die gegevensbron, controleert het departement voor de uitwisseling of de mededeling van de gegevens alleen welke organisatie als verantwoordelijke van die gegevensbron optreedt.

In het eerste lid wordt verstaan onder gegevensbron: een gegevensbank.

In het geval, vermeld in het eerste lid, kan het departement een of meer van de volgende zaken controleren als dat toepasselijk en opportuun is: 1° de geïnformeerde toestemming voor gegevensdeling van de betrokkene;2° de toegangsrechten van de gebruiker tot de gegevens;3° de postcode van de hoofdverblijfplaats van de betrokkene. Het departement is gehouden om zich tot het Rijksregister van de natuurlijke personen te richten om de controle op het gegeven bedoeld in het derde lid, 3° uit te voeren. § 3. Als een hub die als gebruiker wordt herkend door Vitalink, gegevens opvraagt uit Vitalink, voert het departement de controles, vermeld in paragraaf 1 en 2, niet uit en wordt de hub in kwestie belast, om de controles, vermeld in paragraaf 1 en 2, uit te voeren.

Wanneer de controle wordt uitgevoerd op de geïnformeerde toestemming zoals bedoeld in paragraaf 1, eerste lid, 2° en paragraaf 2, derde lid, 1°, dan gebeurt deze op grond van de delegatie aan de hub die middels een overeenkomst met het departement is geregeld.

In het eerste lid wordt verstaan onder hub: een systeem ingesteld bij een zorginstelling of een andere entiteit die gezondheidsgegevens verwerkt, dat de uitwisseling van documenten en gegevens op organisatorische en technische wijze toelaat tussen netwerken en actoren in de zorg die aangesloten zijn bij dat systeem. § 4. Als gegevens worden uitgewisseld of opgevraagd in Vitalink door de administratie, andere overheden of onderzoekinstellingen voor de doeleinden, vermeld in artikel 4, tweede lid, 5° en 6° of artikel 5, eerste lid, 5° en 6° van het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten, met een pseudonimisering als vermeld in artikel 4, 5), van de algemene verordening gegevensbescherming, kan de opvrager niet overgaan tot het koppelen aan of het heridentificeren van de betrokkenen met welke middelen dan ook.

Art. 4.In afwijking van artikel 3, § 1, eerste lid, 2°, wordt de geïnformeerde toestemming niet door het departement gecontroleerd als de gebruiker de betrokkene zelf is voor de opgevraagde gegevens.

Art. 5.De controle, vermeld in artikel 3, § 1, tweede lid, 2°, en § 2, derde lid, 2°, wordt niet door het departement uitgevoerd als binnen het kader dat wordt uitgewerkt door het bestuursorgaan, vermeld in artikel 17 van het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten, wordt bepaald dat de controles, vermeld in artikel 3, § 1, eerste lid, 2°, en tweede lid, 1°, respectievelijk de controle, vermeld in artikel 3, § 2, derde lid, 1°, volstaan voor de toegang tot de gegevens.

De minister kan, na advies van het bestuursorgaan, nadere voorwaarden bepalen voor de controle, vermeld in het eerste lid.

Art. 6.In geval van een noodsituatie of in geval van technische overmacht wordt er geen controle als vermeld in artikel 3, § 1, eerste lid, 2°, en tweede lid, 1°, of een controle als vermeld in artikel 3, § 2, derde lid, 1°, uitgevoerd. In dat geval worden alleen de identiteit en de hoedanigheid van de gebruiker geverifieerd en wordt in de loggegevens geregistreerd dat de gebruiker het bestaan van een noodsituatie of technische overmacht heeft ingeroepen.

In het eerste lid wordt verstaan onder noodsituatie: een situatie waarbij meteen zorg moet worden aangeboden om de vitale belangen van de betrokkene te beschermen.

In het eerste lid wordt verstaan onder technische overmacht: een situatie waarbij de gebruiker van Vitalink technische moeilijkheden of beperkingen ervaart in het gebruik van softwarediensten en/of van hardware die nodig zijn om de gegevens uit Vitalink op te vragen of uit te wisselen, buiten de wil van het departement om. HOOFDSTUK 4. - Verwerking van persoonsgegevens en doeleinden van de verwerking

Art. 7.De volgende gegevens zijn gegevens over de gezondheid van de zorggebruiker als vermeld in artikel 6, tweede lid, 2°, van het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten: 1° de gegevens over de lichamelijke gezondheid;2° de gegevens over de psychische gezondheid;3° de gegevens over risicosituaties en risicogedragingen;4° de genetische gegevens in het kader van bevolkingsonderzoek en erfelijkheidsonderzoek;5° de gegevens over de remediëring.

Art. 8.De verwerking van de persoonsgegevens gebeurt voor de doeleinden bepaald in artikel 4 en 5 van het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten. HOOFDSTUK 5. - Bewaartermijnen

Art. 9.In afwijking van het artikel 9, § 1, tweede lid, van decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten gelden de volgende bepalingen: 1° operationele gegevens, namelijk alle gegevens over de operatie en de werking van Vitalink, met inbegrip van maar niet beperkt tot de gegevens over statistieken van Vitalink, worden maximaal zes maanden bewaard;2° technische loggegevens, namelijk alle automatisch geregistreerde gegevens over de technische gebeurtenissen of handelingen binnen Vitalink, met inbegrip van maar niet beperkt tot de gegevens over systeemfouten en andere technische problemen, worden maximaal zes maanden bewaard.In afwijking daarvan worden de audit- en securitylogging maximaal vijf jaar bewaard.

Het departement bepaalt een bewaringsbeleid voor de verwerkte gegevens in overeenstemming met alle geldende wetgeving. HOOFDSTUK 6. - Technische en organisatorische maatregelen

Art. 10.Het departement neemt passende maatregelen om de persoonsgegevens te beschermen die via Vitalink worden uitgewisseld, opgevraagd of op een andere manier worden verwerkt. Vitalink voldoet aan de minimumnormen voor informatieveiligheid en privacy van de Kruispuntbank voor Sociale Zekerheid of zorgt voor technische en organisatorische maatregelen die een gelijkwaardig beschermingsniveau waarborgen. HOOFDSTUK 7. - Gegevensbescherming door ontwerp en standaardinstellingen

Art. 11.Het departement neemt de volgende maatregelen in overeenstemming met de principes van gegevensbescherming door ontwerp en standaardinstellingen: 1° bij de ontwikkeling van nieuwe functionaliteiten of het aanbieden van nieuwe diensten voor Vitalink wordt de functionaris voor gegevensbescherming van het departement altijd in het eerste stadium betrokken om advies te verlenen over de gegevensbeschermingsaspecten;2° bij de ontwikkeling van nieuwe functionaliteiten of het aanbieden van nieuwe diensten voor Vitalink wordt altijd een gegevensbeschermingseffectbeoordeling opgemaakt en wordt het nodige advies daarover bij de functionaris voor gegevensbescherming ingewonnen, zodat het risico voor de gegevensbescherming adequaat kan worden beoordeeld;3° het departement laat alleen ontwikkelaars toe tot Vitalink als die ontwikkelaars voldoende garanties bieden op het vlak van technische en organisatorische maatregelen voor de bescherming van gegevens door het ontwerp;4° het departement past conform artikel 3 tot en met 6 gepaste controles toe zodat de gegevens niet zomaar beschikbaar zijn;5° het departement ontwikkelt Vitalink zodat de rechten van de betrokkenen altijd op een gepaste manier kunnen worden uitgeoefend binnen de wettelijke termijn op technisch en op organisatorisch vlak. De verwerking van gegevens vindt plaats binnen het kader dat door het bestuursorgaan, vermeld in artikel 17 van het decreet van 8 juli 2022Relevante gevonden documenten type decreet prom. 08/07/2022 pub. 16/09/2022 numac 2022015597 bron vlaamse overheid Decreet tot oprichting van het platform Vitalink sluiten, wordt uitgewerkt.

De minister kan, na advies van het bestuursorgaan, nadere voorwaarden voor de verwerking van gegevens, vermeld in het tweede lid, bepalen. HOOFDSTUK 8. - Toegang tot de omgeving van Vitalink

Art. 12.Het departement legt de voorwaarden voor toegang tot de technische omgeving van Vitalink vast in een schriftelijke overeenkomst met de technische ontwikkelaars die Vitalink willen integreren met hun applicatie. De voormelde voorwaarden hebben betrekking op informatieveiligheid, interoperabiliteit, confidentialiteit en integriteit.

Bij schending van de voorwaarden, vermeld in het eerste lid, neemt het departement gepaste maatregelen, met inbegrip van maar niet beperkt tot het opschorten van de toegang. HOOFDSTUK 9. - Slotbepaling

Art. 13.De Vlaamse minister, bevoegd voor de gezondheids- en woonzorg, is belast met de uitvoering van dit besluit.

Brussel, 20 oktober 2023.

De minister-president van de Vlaamse Regering, J. JAMBON De Vlaamse minister van Welzijn, Volksgezondheid en Gezin, H. CREVITS