Beslissing ten gronde nr. 45/2022

1/16 Geschillenkamer Beslissing ten gronde 45/2022 van 30 maart 2022 Dossiernummer : DOS-2021-04068 Betreft : Melding betreffende de vervaltermijnen van de SIDIS SUITE databank De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Romain Robert en Dirk Van Der Kelen, leden. Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De verweerder: de Federale Overheidsdienst Justitie, met maatschappelijke zetel te Waterloolaan 115, 1000 Brussel, en ingeschreven in de Kruispuntbank Ondernemingen met ondernemingsnummer Mr. 0308.357.753, vertegenwoordigd door raadsman Emmanuel JACUBOWITZ, kantoorhoudende te 1160 Brussel, Tedescolaan 7, hierna “de verweerder”. Beslissing ten gronde 45/2022 - 2/16 I. Feiten en procedure 1. Op 21 mei 2021 ontvangt de Gegevensbeschermingsautoriteit vanwege het Controleorgaan op de politionele informatie (hierna “COC”) de volgende melding: “Het Controleorgaan heeft reeds in meerdere dossiers betreffende een aanvraag tot onrechtstreekse toegang van een burger in de politionele gegevensbanken vastgesteld dat de vervaltermijnen van de SIDIS databank (databank van het gevangeniswezen), uit hoofde van artikel 9 van de Wet van 5 mei 2019 houdende diverse bepalingen inzake informatisering van Justitie, modernisering van het statuut van rechters in ondernemingszaken en inzake de notariële aktebankwet, (ruimschoots) overschreden werden. Een en ander maakt dat, wanneer bijvoorbeeld registraties in de politionele gegevensbanken werden of worden gewist, de politieambtenaar toch nog de registraties in SIDIS kan zien en dus opnieuw het (politioneel) verleden van betrokkene (minstens gedeeltelijk) kan reconstrueren. Dat is uiteraard niet de bedoeling. Het Controleorgaan houdt eraan dit mee te delen aan de voor de SIDIS databank bevoegde DPA, zijnde de GBA en dit in het licht van het belang van de goede informatiehuishouding in de veiligheidsketen in het algemeen en binnen de politiediensten of justitiële diensten in het bijzonder en voor elk nuttig gevolg in het kader van het bestaande samenwerkingsprotocol tussen onze organisaties.” 2. Op 26 mei 2021 beslist de Inspectiedienst om op grond van artikel 58, lid 1 AVG en artikel 63,3° WOG het dossier uit eigen beweging aanhangig te maken gelet op het feit dat er ernstige aanwijzingen vast te stellen zijn van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens. 3. Op 17 augustus 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de Inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel. 91, §1 en §2 WOG). Het verslag bevat vaststellingen met betrekking tot de bovenvermelde melding van het COC en besluit dat er een inbreuk kan worden vastgesteld op de artikelen 5, lid 1,

1. e)en lid 2 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1 AVG (Opslagbeperking en de passende technische en organisatorische maatregelen om opslagbeperking en verwerking overeenkomstig de AVG te waarborgen) Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de bovenvermelde melding. De Inspectiedienst stelt, in hoofdlijnen, vast dat: 1. er een inbreuk kan worden vastgesteld op artikel 30, lid 1, lid 3 en lid 4 AVG (Verplichtingen met betrekking tot het verwerkingsregister); 2. er een inbreuk kan worden vastgesteld op artikel 38, lid 1, lid 2 en lid 6 en artikel 39 AVG (Positie van de functionaris voor gegevensbescherming) Beslissing ten gronde 45/2022 - 3/16 4. Op 23 augustus 2021 beslist de Geschillenkamer op grond van artikel 95, §1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 5. Op 23 augustus 2021 wordt de verweerder per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd vastgelegd op 18 oktober 2021. 6. Op 24 augustus 2021 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak. 7. Op 15 oktober 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de melding. De verweerder betwist de vaststellingen van de Inspectiedienst hieromtrent niet, maar benadrukt dat zij de nodige remediërende maatregelen voorziet om de verwerking zo snel mogelijk in overeenstemming te brengen met artikel 9 van de wet van 5 mei 2019 houdende diverse bepalingen inzake informatisering van Justitie, modernisering van het statuut van rechters in ondernemingszaken en inzake de notariële aktebank (hierna “wet van 5 mei 2019”)1. Deze conclusie bevat eveneens de reactie van de verweerder omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de melding. 8. Op 15 februari 2022 wordt de verweerder ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 16 maart 2022. 9. Op 16 maart 2022 wordt de verweerder gehoord door de Geschillenkamer en krijgt zij aldus de gelegenheid om haar argumenten naar voor te brengen. Vervolgens wordt de zaak door de Geschillenkamer in beraad genomen. 10. Op 17 maart 2022 wordt het proces-verbaal van de hoorzitting aan de verweerder voorgelegd in overeenstemming met artikel 54 van het reglement van interne orde van de GBA. De verweerder krijgt hierbij de gelegenheid om zijn eventuele opmerkingen daaromtrent te laten toevoegen als bijlage bij het proces-verbaal, zonder dat dit een heropening van de debatten inhoudt. 11. Op 23 maart 2022 bezorgt de verweerder aan de Geschillenkamer de schriftelijke antwoorden op de vragen gesteld tijdens de hoorzitting. II. Motivering 12. De Geschillenkamer beoordeelt hierna elk van de vaststellingen opgenomen in het verslag van de Inspectiedienst in het licht van de daaromtrent door de verweerder aangevoerde middelen. 1 Wet van 5 mei 2019 houdende diverse bepalingen inzake informatisering van Justitie, modernisering van het statuut van rechters in ondernemingszaken en inzake de notariële aktebank, BS 19 juni 2019. Beslissing ten gronde 45/2022 - 4/16
2. a)Beginsel van opslagbeperking en verantwoordingsplicht (artikel 5, lid 1
3. e)en lid 2 AVG) en het beginsel van de passende technische en organisatorische maatregelen om de verwerking overeenkomstig de AVG te waarborgen (artikel 24, lid 1 AVG en artikel 25, lid 1 AVG) 13. De Geschillenkamer herinnert eraan dat elke verwerkingsverantwoordelijke het principe van opslagbeperking, zoals bepaald in artikel 5, lid 1,
4. e)van de AVG moet naleven en dat moet kunnen aantonen. Dat vloeit voort uit de verantwoordingsplicht in artikel 5, lid 2 van de AVG juncto artikel 24, lid 1 van de AVG zoals bevestigd door de Geschillenkamer 2. Zoals reeds hierboven uiteengezet betreft deze zaak het feit dat gegevens van strafrechtelijke aard van betrokkenen in de SIDIS SUITE databank geregistreerd blijven, ondanks de wettelijke verplichting om deze gegevens slechts tot uiterlijk tien jaar na de invrijheidsstelling van de betrokkene raadpleegbaar te houden. 14. Het eerste element dat het voorwerp van onderzoek van de Inspectiedienst vormt, betreft de beoordeling van de mate waarin de verweerder de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan het beginsel van opslagbeperking. 15. De Inspectiedienst stelt vast dat het huidige ICT-systeem niet aangepast is om het beginsel van opslagbeperking te organiseren waardoor zij een inbreuk van de artikelen 5, lid 1,
5. e)en lid 2, AVG, artikel 24, lid 1 en artikel 25 lid 2 AVG vaststelt. 16. De Inspectiedienst laat de volgende overwegingen daartoe gelden: • Het voormelde document van het COC toont aan dat de voormelde vervaltermijnen niet werden nageleefd voor verschillende betrokkenen; • De verweerder heeft tijdens het onderzoek gemeld dat : i. er beslist werd om SIDIS Suite te vervangen voor een nieuwe AVG-conforme toepassing; ii. er “na kennisname van de vragen van de GBA” nood was aan een “directe en mitigerende maatregel”; iii. er aanpassingen nodig zijn “om het beginsel van opslagbeperking te garanderen”. 17. De verweerder voert aan in haar conclusies dat: • zij de door de Inspectiedienst vastgestelde feiten en conclusie op pagina 9 van het inspectieverslag niet betwist, met name dat de maximumtermijnen opgelegd door artikel 9 van de wet van 5 mei 2019, niet werden nageleefd voor de persoonsgegevens van de betrokkenen. • zij de nodige remediërende maatregelen heeft voorzien om de verwerking zo snel mogelijk in overeenstemming met artikel 9 van de wet van 5 mei 2019 te brengen. De verweerder geeft aan 2 Beslissing ten gronde 34/2020 van 23 juni 2020 beschikbaar https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. via de webpagina Beslissing ten gronde 45/2022 - 5/16 in haar conclusies ‘eerstdaags’ in te tekenen op de hiertoe aangevraagde offerte. De verweerder maakt hiertoe de aanvraag van de offerte over. • besloten werd om vanuit regelgevend oogpunt en als organisatorische maatregel een regelgevend traject op te starten om concrete uitvoering te geven aan artikel 9 van de wet van 5 mei 2019 waarbij de voorgenomen technische maatregelen ook waar nodig juridisch worden verankerd per koninklijk besluit. • de beginselen gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen werden besproken in het bijzijn van de functionaris van de gegevensbescherming in het kader van het project dat moet leiden tot de vervanging van de huidige database SIDIS SUITE. • op korte termijn organisatorische maatregelen gepland werden om een procedure uit te werken om alle nieuwe business cases en projecten via een procedure op privacy compliance te laten screenen. De verweerder stelt in haar conclusies dat er in het personeelsplan bijkomende VTE’s voorzien werden voor de dienst Informatiebeheer en Gegevensbescherming. 18. Op basis van het inspectieverslag en de stukken die werden overgemaakt door de verweerder stelt de Geschillenkamer vast dat de verweerder vaak verouderde informatiesystemen, zoals SIDIS SUITE, dient te beheren. De software van SIDIS SUITE, oorspronkelijk bedoeld voor bepaalde politiekorpsen in de VS, werd in het kader van een overheidsopdracht van de FOD Justitie in 2012 omgebouwd voor de Belgische strafinrichtingen. Sinds 2014 werd deze software meermaals aangepast naargelang de behoeften van de partners die toegang nodig hebben tot die informatie die noodzakelijk is voor de uitvoering van hun kerntaken, rekening houdend met hun specificiteit. De verweerder geeft aan in haar conclusie dat het contract met het ontwikkelende consortium van SIDIS SUITE afgelopen is en dat intussen werd beslist een nieuwe overheidsopdracht (“NewAppEpi”) te lanceren om de verouderde software SIDIS SUITE volledig te vervangen. Hierdoor werden geen investeringen meer gedaan in SIDIS SUITE, gelet op de beperkte middelen (zowel qua personeel als budgettair) waarover de verweerder beschikt. 19. De verweerder informeert de Inspectiedienst dat als directe en mitigerende maatregel als gevolg van onderhavige procedure besloten werd om niet de ontwikkeling van de nieuwe NewAppEpi af te wachten. Er zal in de plaats daarvan uitvoering gegeven worden aan de door de functionaris voor gegevensbescherming in het verleden voorgestelde richtlijnen waarin wordt aangedrongen op het zoveel mogelijk beperken van het rechtstreeks bevragen van een authentieke bron. Daarnaast stelt de verweerder dat zij zal nagaan hoe en in welke mate SIDIS SUITE moet aangepast worden om het beginsel van opslagbeperking te garanderen en welke de financiële haalbaarheid is om de bestaande software in die zin aan te passen. 20. De Geschillenkamer leidt uit bovenstaande af dat de verweerder de mogelijkheid had om haar informatiesysteem al vroeger aan te passen maar deze niet heeft benut. De verweerder heeft aldus Beslissing ten gronde 45/2022 - 6/16 nagelaten om gebruik te maken van maatregelen die hem in staat had kunnen stellen om te voldoen aan de verplichtingen bepaald in artikel 9 van de wet van 5 mei 2019. 21. Tijdens de hoorzitting dd. 16 maart 2022 licht de verweerder toe welke stappen reeds genomen werden sinds het overmaken van zijn conclusies. De verweerder legt stukken over waaruit blijkt dat een offerte uitgeschreven werd voor een change request hetgeen tot doel heeft om concreet en onmiddellijk de werkelijke termijnen van beschikbaarheid en raadpleegbaarheid in overeenstemming te brengen met de wettelijke bewaartermijnen. Deze change request wordt door de verweerder noodzakelijk geacht in afwachting van de komst van NewAppEpi om de wettelijke termijnen van beschikbaarheid en raadpleegbaarheid te respecteren. De oplevering van de change request is ten vroegste haalbaar in oktober 2022. De verweerder verklaart deze timing door de complexiteit van de ingreep en de investering die hiermee gepaard gaat. 22. Eveneens tijdens de hoorzitting licht de verweerder de stand van zaken inzake de ontwikkeling van NewAppEpi en de voorafgaande DPIA toe. De aanbestedingsprocedure voor de ontwikkeling van NewAppEpi is op heden in de fase van de selectie van de kandidaten. Einde januari 2022 hebben de kandidaten hun voorstel kunnen indienen en in de loop van maart 2022 kunnen zij hun eerste demo’s indienen. In de overheidsopdracht wordt de nodige aandacht besteed aan de bescherming van persoonsgegevens. De overheidsopdracht gunt drie loten: de eerste twee gaan expliciet in op een aantal aspecten van gegevensbescherming en informatieveiligheid, of aspecten die er een directe impact op hebben. Het derde lot is volledig gewijd aan gegevensbescherming en informatieveiligheid, waarbij een volledige privacy compliance wordt gegarandeerd, die dus uitgebreider is dan de wettelijke bewaringstermijnen. Bovendien voorziet de overheidsopdracht expliciet in het opstellen van een DPIA waaraan de kandidaat actief zal meewerken. 23. Voorts licht de verweerder toe dat op niveau van DGEPI een team “NewAppEpi’ wordt opgericht dat concreet met de applicatieontwikkelaar aan de slag zal gaan. De verweerder voorziet ook de oprichting van een task force die als missie heeft ervoor te zorgen dat de ontwikkeling van de NewAppEpi en het juridische kader waarop de nieuwe applicatie is gesteund op elkaar zijn afgestemd om tot een doorgedreven digitalisatie te komen. Deze werkgroepen worden op dit ogenblik opgericht. 24. Zoals aangegeven in haar conclusie, bevestigt de verweerder tijdens de hoorzitting dat besloten werd om parallel aan de ontwikkeling van de nieuwe applicatie, meteen een regelgevend traject hieraan te koppelen waarbij concrete uitvoering wordt gegeven aan voormeld artikel 9 van de wet van 5 mei 2019 zodat de technische oplossing ook in een KB juridisch wordt verankerd. Het ontwerp van KB zal op het gepaste tijdstip via de geijkte weg door de verweerder ter advies worden voorgelegd aan de GBA. 25. Tot slot zet de verweerder tijdens de hoorzitting de organisatorische maatregelen uiteen die zijn ingepland om een procedure uit te werken om alle nieuwe business cases en projecten op privacy compliance te screenen waarbij de functionaris voor gegevensbescherming en de dienst Informatiebeheer en Gegevensbescherming actief worden betrokken. De verweerder voorziet Beslissing ten gronde 45/2022 - 7/16 inspanningen om voorafgaandelijk, op niveau van de lokale program manager officers te sensibiliseren en waar nodig te ondersteunen wanneer zij met een initiatief aanvangen. Een andere organisatorische maatregel die genomen werd door de verweerder is de oprichting van de Program Board Meeting (Digitale Transformatie Officer) die het geheel aan werkstromen ondersteunt en toeziet op privacy compliance. Op verzoek van de functionaris voor gegevensbescherming wordt er een aspectgroep gegevensbescherming opgestart. De missie en samenstelling ervan zijn in voorbereiding zodat deze vanaf het tweede kwartaal 2022 kan opstarten. In het kader van het voorgaande werd in het personeelsplan de nood aan bijkomende VTE’s voor de dienst Informatiebeheer en Gegevensbescherming uitgedrukt. 26. De verweerder voert in zijn conclusies en tijdens de hoorzitting aan dat er slechts beperkte middelen beschikbaar zijn om deze aanpassingen in het informatiesysteem uit te voeren. 27. De Geschillenkamer is van oordeel dat het behoort tot het normale verwachtingspatroon van een betrokkene wiens gegevens van strafrechtelijke aard worden verwerkt door de overheid dat de verplichtingen ingevolge de AVG en andere wettelijke bepalingen nageleefd worden. Aangaande het argument van de verweerder dat dergelijke aanpassing veel tijd en investeringen vergt, merkt de Geschillenkamer op dat dit doorgaans eigen is aan elke fundamentele wijziging van informaticasystemen, hetwelk des te meer geldt voor het geval waarin het gaat om oude systemen zoals in voorliggend geval. De noodzaak om tijd te besteden aan en investeringen te doen in aangepaste informaticasystemen teneinde de rechten van de betrokkenen te garanderen, is niet beperkt tot toekomstige software, maar is nodig in het belang van elke betrokkene wiens persoonsgegevens van strafrechtelijke aard via SIDIS SUITE te consulteren zijn. Het uitgangspunt dient immers te zijn dat de verweerder, net zoals elke andere verwerkingsverantwoordelijke, alles in het werk stelt om persoonsgegevens op een correcte manier te verwerken in overeenstemming met de toepasselijke regelgeving en geen afwachtende houding aanneemt en dus niet slechts na tussenkomst van de Gegevensbeschermingsautoriteit actie onderneemt om die aanpassing te bewerkstelligen.3 28. De Geschillenkamer verwijst hieromtrent ook naar het arrest van het Marktenhof dd. 9 oktober 2019 waarin zij bepaalt dat het feit dat het aanpassen van een computerprogramma een aantal maanden werk zou vergen en/of financiële meerkosten voor de (bank)instelling zou uitmaken, niet toelaat aan [X] om de rechten van de betrokkene te miskennen.4 Naar analogie kan dan ook gesteld worden dat deze redenering ook in casu van toepassing is op de beginselen van de gegevensbescherming zoals bepaald in artikel 5 van de AVG wanneer deze moeten worden toegepast door een overheid die op grote schaal persoonsgegevens van strafrechtelijke aard verwerkt. 3 Zie ook 2021.pdf) 4 Beslissing 141/2021 (https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-141- Zie Arrest Marktenhof dd. 9 oktober 2019, p. 15 (https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-tengronde-nr.-66-2021.pdf ). Beslissing ten gronde 45/2022 - 8/16 29. De Geschillenkamer wijst er eveneens op dat de verweerder vanwege zijn hoedanigheid als overheidsdienst verantwoordelijk voor justitie een voorbeeldfunctie heeft op het vlak van de naleving van de wetgeving inzake de bescherming van persoonsgegevens. Daarbij speelt ook dat deze dienst een grote hoeveelheid persoonsgegevens verwerkt. Overeenkomstig het beginsel “lead by example” dient deze er bijgevolg te allen tijde over te waken dat zij handelt conform de genoemde wetgeving en in het bijzonder de hierboven genoemde essentiële bepalingen van de AVG betreffende de uitoefening van de rechten door betrokkenen. Het mag van een correct werkende overheidsdienst verwacht worden dat deze over een computerprogramma beschikt dat beantwoordt aan de huidige normen, waarin een correct werkende archiveringsfunctie inbegrepen is. 30. De Geschillenkamer houdt rekening met de verklaringen van de verweerder om tegen uiterlijk oktober 2022 de voornoemde change request te hebben doorgevoerd in SIDIS SUITE, maar merkt op dat alle vooropgestelde maatregelen van de verweerder zich nog in de opstartfase situeren of nog opgestart moeten worden. Toch herinnert de Geschillenkamer eraan dat de voormelde bewaartermijnen voortvloeien uit de wet van 5 mei 2019, die nu reeds bijna drie jaar geleden in werking getreden is. Ook herinnert de Geschillenkamer eraan dat de AVG reeds in mei 2016 in werking trad en op 25 mei 2018 van toepassing werd. 31. Bovendien werden verschillende van de hierboven vermelde corrigerende maatregelen pas opgestart na enkele meldingen van het COC en een onderzoek door de Inspectiedienst. Bijgevolg is de Geschillenkamer van oordeel dat de onmogelijkheid om tot op heden te voldoen aan de verplichting om de gegevens in de databank slechts raadpleegbaar te houden tot uiterlijk tien jaar na de invrijheidstelling van de persoon in het kader van wiens detentie de gegevens worden verwerkt een inbreuk uitmaakt op artikel 5, lid 1
6. e)en lid 2 AVG en artikel 24, lid 1 AVG en artikel 25, lid 1 AVG.
7. b)Register van verwerkingsactiviteiten (artikel 30 AVG, lid 1, a), b), c), f), g), lid 3 en lid 4). 32. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd. Artikel 30, lid 1,
8. a)tot en met
9. g)AVG bepaalt dat, met betrekking tot de in de hoedanigheid van verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie beschikbaar moet zijn:
10. a)de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming;
11. b)de verwerkingsdoeleinden;
12. c)een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;
13. d)de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties; Beslissing ten gronde 45/2022 - 9/16
14. e)indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea AVG, bedoelde doorgiften, de documenten inzake de passende waarborgen;
15. f)indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist;
16. g)indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1 AVG. 33. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, is het van essentieel belang dat de verwerkingsverantwoordelijke (en de verwerkers) een overzicht hebben van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de verwerkingsverantwoordelijke te helpen bij de naleving van de AVG voor de verschillende gegevensverwerkingen die zij uitvoert omdat het register de belangrijkste kenmerken ervan zichtbaar maakt. De Geschillenkamer is van oordeel dat dit verwerkingsregister een essentieel instrument is in het kader van de reeds vermelde verantwoordingsplicht (artikel 5, lid 2, en artikel 24 AVG) en dat dit register ten grondslag ligt aan alle verplichtingen die de AVG aan de verwerkingsverantwoordelijke oplegt. Het is dan ook van belang dat deze volledig en juist is. 34. Het verwerkingsregister moet in schriftelijke vorm, waaronder in elektronische vorm, worden opgesteld (artikel 30, lid 5 AVG). 35. Raadpleging van het register moet de Gegevensbeschermingsautoriteit in staat stellen kennis te nemen van de verrichte verwerkingen en van de gegevens betreffende die verwerkingen. Overeenkomstig artikel 30, lid 4, van de AVG stelt de verwerkingsverantwoordelijke het verwerkingsregister ter beschikking aan de toezichthoudende overheid op diens verzoek. 36. De Inspectiedienst doet aangaande het register van verwerkingsactiviteiten van de verweerder volgende vaststellingen, zoals hierna samengevat: • Niet alle verwerkingsactiviteiten staan vermeld in de documentatie van de verweerder, waardoor die onvolledig is (cf. artikel 30, lid 1 AVG). • De naam van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming zijn niet correct weergegeven (cf. artikel 30, lid 1,
17. a)van de AVG). • Er ontbreekt een vermelding van de verwerkingsdoeleinden (cf. artikel 30, lid 1,
18. b)van de AVG). De korte vermeldingen van betrokkenen zoals “Burgers”, “Slachtoffers”, “Gedetineerden” en “Geïnterneerden” zijn vaag en bijgevolg niet concreet. • Er ontbreekt een beschrijving van de categorieën van betrokkenen (cf. artikel 30, lid 1,
19. c)van de AVG). De korte vermeldingen van betrokkenen zoals “Burgers”, “Slachtoffers”, “Gedetineerden” en “Geïnterneerden” zijn vaag en bijgevolg niet concreet. Beslissing ten gronde 45/2022 - 10/16 • Er ontbreekt een vermelding van de bewaartermijnen (cf. artikel 30, lid 1,
20. f)van de AVG). • Er ontbreekt een algemene beschrijving van technische en organisatorische beveiligingsmaatregelen (cf. artikel 30, lid 1,
21. g)van de AVG). Nochtans wordt er op pagina 7 van dit verslag verwezen naar door het directiecomité van de verweerder gevalideerde “Kernprincipes Informatieveiligheid en Gegevensbescherming (bijlage 1)” en “Minimale Normen Informatieveiligheid en Gegevensbescherming (bijlage 2)”. 37. De verweerder laat met betrekking tot de vaststellingen van de Inspectiedienst het volgende gelden: • De verweerder betwist de door de Inspectiedienst vastgestelde feiten en conclusie dat het verwerkingsregister op het ogenblik van de inspectie niet aan de wettelijke vereisten voldeed, niet. • De verweerder werpt op dat zij sinds 2020 het verwerkingsregister heeft aangepast en continue blijft aanpassen. De voormelde ontbrekende categorieën zijn volgens de verweerder wel in detail uitgewerkt. De verweerder maakt ter staving hiervan een template over aan de Geschillenkamer. • Tot slot geeft de verweerder aan dat er in het personeelsplan in bijkomende VTE’s voorzien wordt voor de dienst Informatiebeheer en Gegevensbescherming die de diensten op het terrein mee zullen begeleiden en sensibiliseren. 38. Tijdens de hoorzitting dd. 16 maart 2022 licht de verweerder toe welke stappen reeds genomen werden en welke stappen nog genomen zullen worden on het verwerkingsregister in overeenstemming te brengen met de voorschriften vastgelegd in artikel 30 AVG. Zo werd aan alle diensten van de verweerder gevraagd om expliciet de verwerking van persoonsgegevens te documenteren om op die manier nauwkeurig de fiches van het verwerkingsregister te laten invullen. Dit met de bedoeling om onder andere na te gaan of er voldoende wettelijke basis is voor de verwerkingen. 39. De Geschillenkamer oordeelt dat het verwerkingsregister dat werd overgemaakt door de verweerder onvolledig en deels onjuist is, zoals vastgesteld in het Inspectieverslag. In dit kader merkt de Geschillenkamer op dat, hoewel de verweerder weliswaar momenteel stappen onderneemt om deze inbreuken recht te zetten, er te weinig inspanningen geleverd zijn om het verwerkingsregister op punt te stellen zoals bepaald in artikel 30 AVG. Ook hieromtrent wijst de Geschillenkamer er nogmaals op dat de AVG intussen al vier jaar toepasselijk is en al zes jaar geleden in werking is getreden. Aldus oordeelt de Geschillenkamer dat er sprake is van een inbreuk op artikel 30, lid 1, a),
22. b)c), f),
23. g)AVG. 40. Daarnaast stelt het Inspectieverslag dat bijkomend ook het derde en vierde lid van artikel 30 AVG niet nageleefd werden, met name de verplichting om het verwerkingsregister in schriftelijke vorm op te Beslissing ten gronde 45/2022 - 11/16 stellen en de verplichting om dit verwerkingsregister desgevraagd ter beschikking te stellen van de Inspectiedienst. 41. In haar e-mail dd. 13 juli 2021 maakt de verweerder verschillende elektronische documenten over die samen (deels) het verwerkingsregister vormen. Daarbij stelt de verweerder dat zij, omwille van beperkte capaciteit inzake personeel de voorrang heeft verleend aan de documentatie en het verwerkingsregister van de verwerkingsactiviteiten met de hoogste risico’s, rekening houdende met de gevoeligheid van de verwerkte persoonsgegevens. In dezelfde mail geeft de verweerder aan dat op verzoek van de Inspectiedienst ook de fiches van de andere verwerkingsactiviteiten in hun toenmalige staat zouden worden overgemaakt. De Geschillenkamer kan niet uit verdere briefwisseling afleiden dat de Inspectiedienst deze bijkomende fiches zou opgevraagd hebben. 42. De Geschillenkamer is van oordeel dat de verweerder tijdig het verwerkingsregister, zij het deels onjuist en onvolledig, heeft overgemaakt in elektronische vorm per mail op het eerste verzoek van de Inspectiedienst. De bijkomende fiches werden niet verder opgevraagd door de Inspectiedienst. Bijgevolg oordeelt de Geschillenkamer dat er geen inbreuk is op artikel 30, lid 3 en 4 AVG.
24. c)Functionaris voor gegevensbescherming (artikel 38 lid 1, lid 2 en lid 6 AVG en 39, lid 1 AVG) 43. Het verslag van de Inspectiedienst stelt vast dat de verweerder de vereisten inzage de positie van de functionaris voor gegevensbescherming onder artikel 38 lid 1, lid 2 en lid 6 AVG en de taken van de functionaris voor gegevensbescherming onder artikel 39, lid 1 AVG niet heeft nageleefd. 44. De Inspectiedienst doet aangaande de functionaris voor gegevensbescherming volgende vaststellingen, zoals hierna samengevat: a. De verweerder heeft geen informatie of adviezen van de functionaris voor gegevensbescherming voorgelegd over de technische en organisatorische maatregelen om in het kader van SIDIS SUITE het beginsel van opslagbeperking te waarborgen. b. Niet alle entiteiten van de verweerder geven prioriteit aan vragen van de functionaris voor gegevensbescherming om toegang te krijgen tot alle noodzakelijke informatie. c. De capaciteit van de diensten van de verweerder is ontoereikend om aan de vereisten inzake de functionaris voor gegevensbescherming te voldoen. d. De verweerder geeft aan: “om belangenconflicten te vermijden werd de toenmalige cumul van (interim) DPO met functie van Strategisch Directeur stopgezet”. 45. De AVG erkent dat de functionaris voor gegevensbescherming een sleutelfiguur is voor wat betreft de bescherming van persoonsgegevens wiens aanwijzing, positie en taken aan regels onderworpen zijn. Deze regels helpen de verwerkingsverantwoordelijke om te voldoen aan haar verplichtingen onder de AVG, maar helpen ook de functionaris voor gegevensbescherming om zijn taken naar behoren uit te oefenen. Beslissing ten gronde 45/2022 - 12/16 46. Artikel 38, lid 1 AVG schrijft voor dat de verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 47. In het verweer aangaande de positie van de functionaris voor gegevensbescherming onder artikel 38, lid 1 AVG beklemtoont de verweerder dat zij de functionaris voor gegevensbescherming zoveel mogelijk betrekt in procedures. De functionaris voor gegevensbescherming was eerder actief als Veiligheidsadviseur en verzocht al in 2015 om een risicoanalyse ten gronde met betrekking tot SIDIS SUITE uit te voeren. Hoewel er geen formele adviezen aangaande SIDIS SUITE door de functionaris voor gegevensbescherming sinds zijn aanstelling werden voorgelegd, stelt de verweerder wel dat er wordt ingezet op informeel overleg tussen hem, de dienst Informatiebeheer en Gegevensbescherming en de respectieve entiteiten. De functionaris voor gegevensbescherming heeft daarbij ook voorstellen tot richtlijnen overgemaakt inzake de meer generieke problematiek van toegangsbeheer.5 Tot slot geeft de verweerder ook aan dat zij de functionaris voor gegevensbescherming betrekt in haar programmatische aanpak inzake de ‘digitale transformatie van justitie’ waarbij, zo stelt de verweerder, een Enterprise Architecture wordt nagestreefd met generieke componenten die voor het geheel van de informatiesystemen van de verweerder bruikbaar zijn en zullen voldoen aan de vooropgestelde beschermingsmaatregelen. De Inspectiedienst benadrukt hieromtrent dat de verweerder niet verduidelijkt door middel van documenten hoe deze transformatie van Justitie er concreet uitziet of zal uitzien. 48. De verweerder onderstreept dat de functionaris voor gegevensbescherming op eigen initiatief een aantal officiële adviezen heeft uitgebracht inzake dienstenintegratie en toegangsbeheer. 6 Uit deze adviezen blijkt onder andere dat de functionaris voor gegevensbescherming gewezen heeft op de problematiek van de bewaringstermijnen, nog voor het COC de verwerkingsverantwoordelijke hiervan op de hoogte gebracht had. 49. Tijdens de hoorzitting verduidelijkt de verweerder of en hoe de betrokkenheid van de functionaris voor gegevensbescherming wordt geformaliseerd bij de transformatie van Justitie. Er wordt een afzonderlijke aspectgroep gegevensbescherming opgestart op initiatief van de DPO. De DPO neemt ook deel aan de Program Board Meeting en is lid van enkele projectgroepen. 50. Gelet op bovenstaande, stelt de Geschillenkamer met betrekking tot artikel 38, lid 1 AVG vast dat de functionaris voor gegevensbescherming niet voldoende betrokken werd bij de zaken omtrent gegevensbescherming. Uit de stukken van de verweerder blijkt dat de functionaris voor gegevensbescherming geen formele adviezen aangaande SIDIS SUITE heeft voorgelegd. Er werd wel 5 Het betreft richtlijnen omtrent 1) Gebruikersbeheer en logische toegangscontrole,