FEDERALE OVERHEIDSDIENST BELEID EN ONDERSTEUNING

18 DECEMBER 2023. - Omzendbrief nr. 714. - Verwerking van persoonsgegevens. - Herinnering aan het juridische kader en aanbevelingen

Aan de federale overheidsdiensten en de diensten die ervan afhangen, het Ministerie van Defensie en de rechtspersonen van publiek recht die behoren tot het federaal administratief openbaar ambt zoals bepaald in artikel 1 van de wet van 22 juli 1993 houdende bepaalde maatregelen inzake ambtenarenzaken.

Geachte collega's, Geachte mevrouw, Geachte heer, Deze omzendbrief beoogt het algemene juridische kader inzake bescherming van persoonsgegevens in herinnering te brengen en de bijzondere gevallen van publicatie van bestuurshandelingen met individuele strekking en van verwerking van gegevens over gezondheid te onderzoeken. 1. Algemeen juridisch kader De Algemene Verordening Gegevensbescherming (hierna "AVG"), in werking getreden op 25 mei 2018, stelt regels vast voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. De AVG definieert persoonsgegevens als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.

Voorbeelden hiervan zijn: een rijksregisternummer, een naam, een foto, een socialezekerheidsnummer, een nummerplaat, een postadres, een e-mailadres, een telefoonnummer, lokalisatiegegevens, een online identificator (bijvoorbeeld IP-adres), een spraakopname of elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit.

De verwerking van persoonsgegevens is gedefinieerd als een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

De verwerkingsverantwoordelijke is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking vaststelt.

De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de volgende beginselen: 1° Rechtmatigheid, eerlijkheid en transparantie: persoonsgegevens moeten worden verwerkt op een wijze die rechtmatig, eerlijk en transparant is ten aanzien van de betrokkene;2° Doelbinding: persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt;3° Minimale gegevensverwerking: persoonsgegevens moeten toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt;4° Juistheid: persoonsgegevens moeten juist zijn en zo nodig worden geactualiseerd;5° Beperking van de bewaring: persoonsgegevens moeten worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt;6° Integriteit en vertrouwelijkheid: persoonsgegevens moeten door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat ze onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.2. Bijzonder geval van publicatie van bestuurshandelingen met individuele strekking a.Concrete toepassing De bestuurshandelingen met individuele strekking, zoals benoemings- en bevorderingsbesluiten, besluiten voor aanstelling in een managementfunctie, mobiliteits-, ontslag- en pensioneringsbesluiten enz. bevatten een reeks persoonsgegevens in de zin van de AVG. De publicatie van dergelijke besluiten wordt beschouwd als een verwerking van persoonsgegevens.

Het is de tewerkstellende federale dienst die het doel van en de middelen voor deze verwerking vaststelt: hij is derhalve de verwerkingsverantwoordelijke van de persoonsgegevens.

Derhalve gelden de beginselen van de AVG voor de tewerkstellende federale dienst, waaronder met name het beginsel van minimale gegevensverwerking. Dat houdt in dat de tewerkstellende federale dienst de publicatie van persoonsgegevens moet beperken tot het strikt noodzakelijke. b. Aanbevelingen Benoemings- en bevorderingsbesluiten, besluiten voor aanstelling in een managementfunctie, mobiliteits-, ontslag- en pensioneringsbesluiten enz.moeten in uittreksels worden gepubliceerd, zonder dat er overbodige persoonsgegevens in voorkomen, zoals het rijksregisternummer, de redenen voor het ontslag (tuchtmaatregel, verzoek van het personeelslid, enz.), het postadres, het socialezekerheidsnummer enz. van de betrokkene.

De volgende persoonsgegevens kunnen echter worden opgenomen in de uittreksels van de besluiten met individuele strekking: de voornaam, de naam, het niveau, de klasse of de graad, de overheidsdienst, de functietitel en de taalrol. c. Uittrekselmodellen van benoemings-, mobiliteits-, bevorderings- en ontslagbesluiten De federale diensten die bestuurshandelingen met individuele strekking publiceren, kunnen de onderstaande uittrekselmodellen gebruiken, die in overeenstemming zijn met de AVG. Voor een benoemingsbesluit: Bij koninklijk besluit van [dd maand jjjj] wordt [Voornaam NAAM] benoemd tot rijksambtenaar in de klasse A[x] bij de [benaming overheidsdienst] in een betrekking van het Nederlandse/Franse taalkader, met ingang van [dd maand jjjj].

Voor een mobiliteitsbesluit: Bij koninklijk besluit van [dd maand jjjj] wordt [Voornaam NAAM], rijksambtenaar in de klasse A[x] bij de [benaming overheidsdienst], via federale mobiliteit overgeplaatst in een betrekking van de klasse A[x], met de titel van [titel] bij de [benaming overheidsdienst] in een betrekking van het Nederlandse/Franse taalkader, met ingang van [dd maand jjjj].

Voor een besluit voor bevordering door overgang naar een hoger niveau: Bij koninklijk besluit van [dd maand jjjj] wordt [Voornaam NAAM], bevorderd door overgang naar het hogere niveau in de klasse A1, met de titel van [titel], bij [benaming overheidsdienst], in een betrekking van het Nederlandse/Franse taalkader, met ingang van [dd maand jjjj].

Voor een ontslagbesluit: Bij koninklijk besluit van [dd maand jjjj] wordt [Voornaam NAAM], rijksambtenaar bij [benaming overheidsdienst] in de klasse A[x] met de titel van [titel], ontslag uit zijn/haar ambt verleend met ingang van [dd maand jjjj]. 3. Bijzonder geval van verwerking van gegevens over gezondheid a.Specifiek juridisch kader De personeelsleden van de federale diensten verwerken mogelijk gegevens over gezondheid. Deze gegevens zijn persoonsgegevens omdat ze elementen bevatten die eigen zijn aan de fysieke, fysiologische, genetische of psychische identiteit van de betrokkene.

De verwerking van gegevens over gezondheid is in principe verboden door artikel 9 van de AVG. Er zijn evenwel afwijkingen voorzien, met name wanneer "de verwerking noodzakelijk is met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt".

De AVG staat de lidstaten toe om bijkomende voorwaarden te handhaven of te invoeren met betrekking tot genetische, biometrische gegevens of gegevens over gezondheid.

België heeft van deze mogelijkheid gebruikgemaakt door artikel 9 van de wet van 30 juli 2018Relevante gevonden documenten type wet prom. 30/07/2018 pub. 05/09/2018 numac 2018040581 bron federale overheidsdienst justitie, federale overheidsdienst binnenlandse zaken en ministerie van landsverdediging 30 JULI 2018 - Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens sluiten betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens aan te nemen, dat bepaalt dat de verwerkingsverantwoordelijke de volgende maatregelen neemt tijdens de verwerking van gegevens over gezondheid: 1° de categorieën van personen die toegang hebben tot persoonsgegevens worden aangewezen door de verwerkingsverantwoordelijke of, in voorkomend geval, door de verwerker, met een nauwkeurige omschrijving van hun functie met betrekking tot de verwerking van de bedoelde gegevens.2° de lijst van de aldus aangewezen categorieën van personen wordt ter beschikking gehouden van de bevoegde toezichthoudende autoriteit door de verwerkingsverantwoordelijke of, in voorkomend geval, door de verwerker.3° hij zorgt ervoor dat de aangewezen personen door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling ertoe gehouden zijn het vertrouwelijke karakter van de bedoelde gegevens in acht te nemen. Ter herinnering: artikel 458 van het Strafwetboek bepaalt het volgende: "Geneesheren, heelkundigen, officieren van gezondheid, apothekers, vroedvrouwen en alle andere personen die uit hoofde van hun staat of beroep kennis dragen van geheimen die hun zijn toevertrouwd, en deze bekendmaken buiten het geval dat zij geroepen worden om in rechte (of voor een parlementaire onderzoekscommissie) getuigenis af te leggen en buiten het geval dat de wet, het decreet of de ordonnantie hen verplicht of toelaat die geheimen bekend te maken, worden gestraft met gevangenisstraf van een jaar tot drie jaar en een geldboete van honderd euro tot duizend euro of met een van die straffen alleen.".

Tot slot herinnert omzendbrief nr. 706 betreffende de hernieuwde aandacht voor het deontologisch kader voor federale ambtenaren aan de noodzakelijke vertrouwelijkheidsplicht voor de federale ambtenaren, ongeacht ze stagiair, contractueel of statutair zijn. b. Voorbeeld inzake arbeidsongevallen Een humanresourcesmanager die de aangifte van een arbeidsongeval en het bijbehorende medisch attest ontvangt, verwerkt persoonsgegevens over gezondheid. De verwerking van dergelijke gegevens is noodzakelijk voor de uitoefening van de rechten van de betrokkene op het vlak van het arbeidsrecht, de sociale zekerheid en de sociale bescherming.

Bovendien staan de wetgeving en de reglementering inzake arbeidsongevallen deze verwerking toe en verschaffen ze een kader hiervoor.

Deze verwerking van gegevens over gezondheid is dus in overeenstemming met de AVG voor zover ze eveneens in acht neemt: 1° de drie bijkomende maatregelen voorzien in artikel 9 van de voormelde wet van 30 juli 2018Relevante gevonden documenten type wet prom. 30/07/2018 pub. 05/09/2018 numac 2018040581 bron federale overheidsdienst justitie, federale overheidsdienst binnenlandse zaken en ministerie van landsverdediging 30 JULI 2018 - Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens sluiten; 2° alle beginselen van de AVG (rechtmatigheid, eerlijkheid, transparantie, doelbinding, minimale gegevensverwerking enz.).

De Minister van Ambtenarenzaken, P. DE SUTTER