Het Kenniscentrum heeft als opdracht om op eigen initiatief of op verzoek van regeringen of parlementen:

  • adviezen te verstrekken over alle kwesties in verband met de verwerking van persoonsgegevens (ook in het kader van het opstellen van ontwerpen van normatieve teksten); en
  • aanbevelingen te doen over sociale, economische en technologische ontwikkelingen die van invloed kunnen zijn op de verwerking van persoonsgegevens.

Het Kenniscentrum bestaat naast de directeur uit zes externe leden die op basis van hun bijzondere expertise door de Kamer zijn benoemd.


Prioriteiten stellen ondanks de hinder veroorzaakt door de gezondheidscrisis

De prioritaire taak van het Kenniscentrum bestaat erin voorafgaandelijk en verplicht advies uit te brengen over alle wet- en regelgeving van algemene strekking die de verwerking van persoonsgegevens tot stand brengt, aanpast of ten uitvoer legt. De wet legt het Kenniscentrum termijnen op voor het uitvaardigen en publiceren van deze adviezen.

Het halen van deze deadlines is een uitdaging voor het Kenniscentrum vanwege verschillende elementen zoals :

  • het aantal gelijktijdige adviezen dat moet worden verstrekt;
  • de noodzakelijke voorbereiding van de meeste verzoeken om advies (uitwisseling van vragen en antwoorden met de auteurs van de tekst) ;
  • de complexiteit en verscheidenheid van de onderwerpen;
  • de beperkte middelen van de dienst (als gevolg van de noodzakelijke interne herstructurering voor de oprichting van de gegevensbeschermingsautoriteit en de nieuwe taken die na de inwerkingtreding van de AVG op zich moeten worden genomen) ;
  • dringende adviesaanvragen waarvoor de reikwijdte van het onderzoek van het Kenniscentrum niet verschilt van die van adviesaanvragen die binnen het normale tijdsbestek worden aangevraagd ;
  • en ten slotte, de omslachtige interne procedure voor de goedkeuring van adviezen als gevolg van het collegiale karakter van het Kenniscentrum (vaststelling van vergaderingen op vaste tijdstippen voor mondelinge besprekingen, inschakeling van zogenaamde "externe” leden, anticiperen op de genoemde vergaderingen voor de toezending van ontwerpen, ...).

Om te voldoen aan de normatieve behoeften die het beheer van de pandemie met zich meebrengt en de problemen die dat op het terrein veroorzaakt, heeft het Kenniscentrum in 2020 al zijn deskundigheid ten dienste gesteld van de bewaking van de kwaliteit van de wetgeving op dit gebied. Bij vele gelegenheden heeft zij deze spoedopdracht binnen de 15 dagen en in sommige gevallen zelfs eerder moeten voltooien. Advies 42/2020 van 25 mei 2020 betreft bijvoorbeeld een aanvraag die op 15 mei werd ontvangen. Er zijn inderdaad talrijke normen opgesteld hetzij om de verspreiding van het virus te beperken (via het opleggen van maatregelen zoals "contact tracing” of het toezicht op de naleving van de quarantaineverplichting), hetzij om door de crisis getroffen burgers of organisaties bij te staan (via leningen, premies of vrijstellingen), hetzij om de werking aan te passen van bepaalde overheidsdiensten die in normale tijden nauw contact tussen individuen vereisen (onder meer door de invoering van videoconferenties)- zie Hoofdstuk COVID-19, de privacy uitdaging van het jaar.

Om zijn opdrachten zo goed mogelijk te kunnen vervullen, werden de verzoeken om spoedbehandeling zorgvuldig gefilterd op basis van maatregelen die objectief gezien een dergelijke spoedbehandeling vereisten, gelet op de redenen die de adviesaanvrager aanbracht. De maatregelen die tijdens een pandemie zijn genomen, maar er niet rechtstreeks verband mee hielden en/of geen spoedeisend karakter hadden, zijn niet aan deze uitzonderlijke procedure onderworpen, omdat dit onvermijdelijk leidt tot een ontregeling van het werk binnen de dienst en een risico van een lager niveau van gegevensbescherming als gevolg van een mogelijk oppervlakkiger analyse, maar ook tot een duidelijke overbelasting van het werk van het personeel van de GBA. Daarnaast heeft het Kenniscentrum actief bijgedragen aan de werkzaamheden van de EDPB en de horizontale werkzaamheden van het GBA, namelijk de publicatie van algemene informatie op haar website.

 

Behoud van de kwaliteit van de dienstverlening in een moeilijke HR-context

De GBA heeft, in tegenstelling tot de meeste gegevensbeschermingsautoriteiten in andere landen van de Europese Unie, geen personeelsuitbreiding gekregen die in verhouding staat tot de uitdagingen die voortvloeien uit de nieuwe toevertrouwde opdrachten die na de inwerkingtreding van de AVG moeten worden uitgevoerd. Het aantal personeelsleden is ongewijzigd gebleven, terwijl ze een aantal extra taken heeft gekregen, waaronder bemiddeling, inspectie, sancties, beheer van verzoeken om advies over verwerkingen met een hoog restrisico, dossiers in verband met gegevenslekken en internationale samenwerking.

Dit gezegd zijnde, is het Kenniscentrum er in 2020 toch in geslaagd zijn opdrachten te vervullen, met name de wetgever zo goed mogelijk te adviseren bij zijn werkzaamheden om normen voor de verwerking van persoonsgegevens op te stellen en, in voorkomend geval, licht te werpen op het parlementaire debat ter zake.

Om te kunnen blijven zorgen voor een correcte controle op de kwaliteit van de wetgeving, en dus voor een correcte gegevensbescherming in België, kan het Kenniscentrum  alleen maar vaststellen dat het over meer personele middelen moet kunnen beschikken.

Het Kenniscentrum verstrekt hoofdzakelijk advies en aanbevelingen, draagt bij tot de werkzaamheden van het EDPB (Europees Comité voor gegevensbescherming), schrijft inhoud voor de website van de GBA en staat de Eerstelijnsdienst bij in complexe gevallen. Voorts zijn er talrijke vragen van de pers en verzoeken om deel te nemen aan opleidings- of bewustmakingsinitiatieven (seminars, colloquia, enz.) in verband met een grotere bewustwording van gegevensbeschermingsvraagstukken, die nog zijn versterkt in de context van de gezondheidscrisis (met name door de verwerking van gegevens in verband met tests, opsporing en vaccinatie). Ook verzoeken om dringende behandeling van adviezen (zie vorig punt) verhogen de werklast.

Deze behoefte is des te belangrijker omdat, gezien het beperkte aantal personeelsleden dat voor de taken van het Kenniscentrum is toegewezen, elke gewone en klassieke personeelsbeweging, zoals langdurig moederschapsverlof, externe opleiding of ziekte, een grote invloed heeft op de werkzaamheden van de dienst.  De vereiste deskundigheid voor het werk in het Kenniscentrum maakt het moeilijk om te werken met tijdelijke werknemers of om werknemers met kortlopende contracten in dienst te nemen die moeilijk aan te werven zijn en veel tijd kosten om op te leiden voor de specifieke taken van het Kenniscentrum. Ten slotte was de dotatieverhoging van de GBA slechts tijdelijk, waardoor slechts één werknemer voor de dienst kon worden aangeworven, en wel op basis van een kortlopend contract.Indien de ontwerpen en voorstellen van wet- en regelgeving van de Vlaamse Gemeenschap tot omkadering van de verwerking van persoonsgegevens opnieuw voor advies aan het Kenniscentrum worden voorgelegd - hetgeen vereist is, zoals de GBA in herinnering heeft gebracht gelet op de verplichting als bepaald in artikel 36.4 van de AVG en het standpunt van de Raad van State terzake - loopt het Kenniscentrum het risico dat het de naleving van de termijnen niet meer kan verzekeren en dat het ongewenste keuzes zal moeten maken.

 

Drie algemene aanbevelingen

Ondanks deze moeilijkheden is het Kenniscentrum erin geslaagd drie aanbevelingen uit te brengen, naast de specifieke aanbevelingen in samenhang met de adviezen die het uitbrengt over ontwerpen van wet- en regelgeving:

  1. Aanbeveling betreffende de verwerking van persoonsgegevens voor directmarketingdoeleinden (aanbeveling nr. 1 van 17 januari 2020): Vanwege de belangrijke evolutie van de methoden en technologieën die door directmarketingprofessionals worden gebruikt en het groot aantal klachten en vragen hierover aan de Gegevensbeschermingsautoriteit, heeft het Kenniscentrum een nieuwe aanbeveling uitgebracht over de verwerking van persoonsgegevens in het kader van directmarketingcampagnes Het is de bedoeling hiermee de regels te verduidelijken voor alle spelers in dit complexe ecosysteem. Dankzij de bijdragen van de marktspelers (individueel of vertegenwoordigd door hun federatie) kon het Kenniscentrum de inhoud van deze aanbeveling afbakenen en de regels  illustreren aan de hand van situaties in de praktijk en talrijke voorbeelden. De publicatie van dit document in 2020 werd zeer positief onthaald en werd gevolgd door een reeks presentaties aan de sector en de publicatie op de GBA-website van "standaardantwoorden"  op de meest gestelde vragen.
  2. Aanbeveling over de draagwijdte van de verplichting om een protocol te sluiten om de mededelingen van persoonsgegevens door de federale publieke sector de formaliseren (aanbeveling nr. 2 van 31 januari 2020). Dit instrument voor overheidsactoren heeft hoofdzakelijk ten doel duidelijkheid te verschaffen over i) de voorwaarden waaronder een overheidsinstantie een protocol moet sluiten om de verstrekking van persoonsgegevens aan een derde te formaliseren, ii) de inhoud van het protocol waarmee een verstrekking van gegevens door de federale overheidssector wordt geformaliseerd, iii) de procedurele vereisten van artikel 20 van de WVG voor het sluiten van een protocol, iv) het tijdelijke toepassingsgebied van artikel 20 van de WVG en v) de procedure die moet worden gevolgd wanneer de oorspronkelijke verwerkingsverantwoordelijke en de ontvangende verwerkingsverantwoordelijke niet tot een overeenkomst komen.
  3. Aanbeveling inzake technieken om gegevens op te schonen en gegevensdragers te vernietigen (aanbeveling nr. 3 van 11 december 2020). Het is bestemd voor de opschoning en vernietiging van gegevensdragers (diskettes, USB-sticks, PC's, enz.). Dit document heeft tot doel de verwerkingsverantwoordelijken in staat te stellen de ongeoorloofde bekendmaking van de gegevens op deze dragers beter te voorkomen, met name wanneer zij worden verkocht, geschonken of verwijderd, en aldus de vertrouwelijkheid van deze gegevens doeltreffender te waarborgen. Deze  zeer volledige aanbeveling behandelt de juridische, technische en organisatorische aspecten van het opschonen van gegevens.