OVER DE VERWERKING VAN PERSOONSGEGEVENS IN DE BELEIDSVELDEN VSB, ERKENNING GEZONDHEIDSZORGBEROEPEN EN PREVENTIEVE GEZONDHEIDSZORG
Advies van de Vlaamse Raad voor Welzijn, Volksgezondheid en Gezin, Wetstraat 34-36, 1040 Brussel W www.vlaamseraadwvg.be – T +32 2 209 01 11 – E info@vlaamseraadwvg.be
Adviesvraag
het voorontwerp van decreet tot regeling van de verwerking van persoonsgegevens in de beleidsvelden Vlaamse sociale bescherming, erkenning van gezondheidszorgberoepen en preventieve gezondheidszorg
Adviesvrager
Wouter Beke - Vlaams minister van Welzijn, Volksgezondheid, Gezin en Armoedebestrijding
Ontvangst adviesvraag
7 april 2022
Decretale opdracht
adviesfunctie
Goedkeuring
Intersectorale kamer op 28 april 2022
Contactpersoon
Barbara Krekels
bkrekels@serv.be
Inhoud Advies
4
Situering
4
1.
Algemene beschouwing
4
2.
Bemerkingen bij de vier onderdelen van het voorontwerp van
3.
decreet
5
Besluit
7
Advies Situering De Vlaamse Raad voor Welzijn, Volksgezondheid en Gezin (hierna: de raad) werd op 7 april 2022 door de Vlaamse minister van Welzijn, Volksgezondheid, Gezin en Armoedebestrijding, de heer Wouter Beke, om advies gevraagd over het voorontwerp van decreet tot regeling van de verwerking van persoonsgegevens in de beleidsvelden Vlaamse sociale bescherming, erkenning van gezondheidszorgberoepen en preventieve gezondheidszorg. De adviestermijn bedraagt 30 dagen. Deze adviesvraag is in de Vlaamse Raad WVG behandeld door de Intersectorale Kamer, die het advies bij consensus goedkeurde op 28 april 2022. Voorliggend voorontwerp van decreet regelt enerzijds de toegang voor het agentschap voor Vlaamse sociale bescherming en de zorgkassen tot het centraal register collectieve schuldenregelingen, vermeld in artikel 1675/20 van het Gerechtelijk Wetboek, en voegt anderzijds een regelgevende basis in voor de verwerking van de persoonsgegevens van alle medewerkers van de zorgvoorziening en alle zelfstandigen, met de zorgvoorziening verbonden door een ondernemingscontract, die worden ingeschakeld in de werking van de zorgvoorziening. Verder heeft het tot doel de verwerking van persoonsgegevens in het kader van de bevoegdheid over de erkenning van gezondheidszorgberoepen van een decretale basis te voorzien. Ten slotte biedt het een decretale basis voor een meer uitgebreide meldingsplicht in het kader van infectieziekten en regelt het de gegevensverwerking die daarmee gepaard gaat.
1. Algemene beschouwing Dit voorontwerp van decreet beoogt een aantal aanpassingen in de regelgeving die betrekking hebben op de verwerking van persoonsgegevens in de beleidsvelden Vlaamse sociale bescherming, erkenning van gezondheidszorgberoepen en preventieve gezondheidszorg. De COVID-pandemie heeft immers heel wat pijnpunten blootgelegd waarbij de Vlaamse Gemeenschap - en haar Agentschappen in het beleidsdomein WVG - niet altijd over de nodige gegevens beschikten om de Vlaamse bevoegdheden doortastend uit te oefenen. De raad begrijpt dat deze vaststellingen de aanleiding zijn voor de Vlaamse Regering om vandaag een aantal correcties in de regelgeving voor te stellen. De raad steunt het streven naar een meer performante beleidsaansturing. Dat neemt niet weg dat de raad in dit advies een aantal fundamentele bedenkingen formuleert bij de wijze waarop bepaalde van de doeleinden worden uitgewerkt in het voorontwerp van decreet. In het kader van een performante beleidsaansturing is er immers ook blijvende aandacht noodzakelijk voor de impact van maatregelen op initiatiefnemers in zorg en ondersteuning en op 4
burgers, in het bijzonder betreffende administratieve lasten en privacy. De genomen maatregelen moeten steeds proportioneel zijn en hun finaliteit moet precies zijn. De raad meent dat in het voorontwerp van decreet meer garanties moeten worden opgenomen om de proportionaliteit van de gegevensverwerking te bewaken. De raad vraagt ook om in het voorontwerp van decreet een uitdrukkelijke toepassing van het “only once” principe in te schrijven met een verwijzing naar het maximaal gebruik van authentieke bronnen. Het valt de raad immers op dat motivatie voor de uitbreiding van de doeleinden van het verwerken van persoonsgegevens vooral wordt beschreven in de nota aan de Vlaamse Regering en in de memorie van toelichting. Het voorontwerp van decreet zelf blijft erg beknopt. De finaliteit en proportionaliteit van de verwerking van de persoonsgegevens valt daardoor in de huidige versie van het voorontwerp van decreet moeilijk te beoordelen. De specificatie van de persoonsgegevens per doeleinde wordt immers gedelegeerd aan de Vlaamse Regering. Daarover zal de Vlaamse Raad WVG dan niet meer kunnen adviseren. De raad zal hierna zijn opmerkingen per onderdeel van het voorontwerp van decreet verder preciseren en verduidelijken.
2. Bemerkingen bij de vier onderdelen van het voorontwerp van decreet Een regelgevende basis voor de toegang van het agentschap voor Vlaamse sociale bescherming en de zorgkassen tot het centraal register collectieve schuldenregelingen (artikel 2) De raad ondersteunt de voorgestelde maatregel. Hij komt tegemoet aan het principe dat de overheid geen documenten meer opvraagt bij de burger, indien deze al beschikbaar zijn bij een andere overheidsdienst, en aan het principe van automatische rechtentoekenning. •
Wat de dossiertaks betreft, herhaalt de raad zijn principiële standpunt dat er in het kader van de VSB een mogelijkheid tot beroep moet bestaan zonder dat er een dossiertaks aan wordt gekoppeld. Dit bouwt immers voor de meest kwetsbaren een aanzienlijke drempel in voor het verkrijgen van rechten binnen de VSB (advies van 9 december 2020 over het voorontwerp van decreet tot wijziging van regelgeving in het kader van de Vlaamse sociale bescherming, pagina 8).
•
De raad vraagt om ook een degelijke informatieverstrekking naar de betrokken personen te verzekeren. Het is in dit geval immers belangrijk dat de betrokkenen schriftelijk op de hoogte gesteld worden van het feit dat zij verzekerd zijn, ook zonder de betaling van de premie.
5
Een decretale basis voor een meer uitgebreide meldingsplicht in het kader van infectieziekten en de gegevensverwerking die daarmee gepaard gaat (artikels 3 tot 6) •
De raad begrijpt dat een uitbreiding van de inhoud van de meldingsplicht van infectieziekten nodig is - de melding is niet langer naamloos - om geïnfecteerde personen te kunnen contacteren met het oog op het stellen van bijkomende vragen en het nemen van de noodzakelijke maatregelen om de infectie in te dijken. De verwerking gebeurt onder toezicht van agentschap Zorg en Gezondheid als verwerkingsverantwoordelijke. Het is hier essentieel dat de privacy van de gemelde personen voldoende wordt gewaarborgd. De raad spreekt zich hierover niet verder uit en vertrouwt op het advies van de Vlaamse Toezichtscommissie voor de verwerking van persoonsgegevens.
•
In artikel 4 worden heel wat gegevens opgesomd die in een melding kunnen worden opgenomen. De raad vraagt om hier een uitdrukkelijke toepassing van het “only once” principe in te schrijven met een verwijzing naar het maximaal gebruik van authentieke bronnen. •
Artikel 4 bevat een erg vrijblijvende verwoording. “Artikel 45§2 De melding, vermeld in paragraaf 1, kan al de volgende gegevens bevatten.” Daarna worden gegevens opgevraagd die afgeleid kunnen worden uit het identificatienummer van de sociale zekerheid. Ook gegevens als het beroep en de werkplaats zijn reeds bekend. De raad vraagt zich daarbij bovendien af in welke mate deze gegevens relevant zijn in het kader van infectiebestrijding.
•
De raad meent ook dat een aantal klinische gegevens van identificeerbare patiënten worden verzameld zonder dat de uitdrukkelijke noodzaak hiervoor wordt aangetoond. Zulke gegevens werden in de pandemie niet of geaggregeerd verwerkt pas na de nodige depersonalisatie door het eHealthplatform. We vinden een dergelijke proportionaliteit hier niet terug.
Een regelgevende basis voor de verwerking van de persoonsgegevens van alle medewerkers van de zorgvoorziening en alle zelfstandigen, met de zorgvoorziening verbonden door een ondernemingscontract, die worden ingeschakeld in de werking van de zorgvoorziening (artikel 8) •
De raad vraagt om de term zorgvoorzieningen te definiëren. Over welke voorzieningen gaat het precies en welke voorzieningen vallen erbuiten?
•
De raad vindt het een goede zaak dat ook het niet gefinancierde personeel als categorie wordt opgenomen.
•
Omdat de registratielast en regeldruk in de betrokken sectoren nu al beklemmend hoog zijn, kan het ‘only once’ principe niet genoeg benadrukt worden en moet het voor de raad expliciet en in het decreet zelf worden opgenomen. •
Ongeacht de doeleinden van het opvragen van persoonsgegevens, moeten deze steeds met de minst mogelijke administratieve last worden bekomen. In de memorie van toelichting wordt met betrekking tot artikel 8 gesteld dat ‘het principe behouden 6
blijft dat alleen in zoverre gegevens niet verkregen kunnen worden uit authentieke gegevensbronnen ze worden opgevraagd bij de zorgvoorzieningen in kwestie zelf. De huidige formulering in artikel 8 “Als dat noodzakelijk is, vraagt het agentschap de gegevens, vermeld in het eerste lid, aan de zorgvoorzieningen in kwestie.” laat te veel ruimte voor interpretatie. Wat is noodzakelijk? De raad meent dat de gegevens reeds bekend zijn bij de overheid via de erkenningsbevoegdheid, de opleidingsbevoegdheid en de DIMONA aangifte bij de sociale zekerheid. •
De raad heeft daarnaast ook fundamentele bezwaren tegen de huidige formulering van de doeleinden van de gegevensverzameling in artikel 8. •
In de memorie van toelichting leest de raad een intentie om – nog meer dan vandaag al het geval is - de “granulaire” controle uit te oefenen op de besteding van de overheidsfinanciering door de zorgvoorzieningen. De raad is er van overtuigd dat een striktere controle van de financiering op microniveau het voor de zorgvoorzieningen juist moeilijker zal maken om in crisistijden de zorgcontinuïteit te garanderen.
•
Vooral het vierde lid in Artikel 8 “de overheidsfinanciering op een onderbouwde basis gericht te kunnen inzetten”, is erg bureaucratisch geformuleerd, niet gericht en duwt de registratielast voor reeds bekende gegevens opnieuw bij de zorgorganisatie en de zorgverleners. Bovendien gaat het hier om gegevens die geen deel uitmaken van het kernproces of de uitkomsten ervan. De raad merkt op dat dit ingaat tegen de initiatieven die genomen worden rond doelgerichte regelgeving, persoonsvolgende financiering en kwaliteit van zorg.
•
De raad vraagt tenslotte dat er minstens enkele principes worden opgenomen in het decreet zelf over de aard van de persoonsgegevens (identificatie-, opleidings- en tewerkstellingsgegevens), de bewaartermijnen en de doeleinden waarvoor ze mogen gebruikt worden, zodat hierover advisering mogelijk wordt.
3. Besluit Het voorontwerp van decreet moet voor de raad nog verder verduidelijkt en bijgestuurd worden. De noodzaak en het doel van de gegevensverzameling zijn niet voor alle onderdelen voldoende beargumenteerd. Ook dreigen sommige bepalingen de registratielast voor zorgvoorzieningen te verhogen daar waar de overheid zelf reeds over deze gegevens beschikt. De raad verwacht dat de Vlaamse overheid haar informatiesystemen en samenwerkingsverbanden met andere overheden zo uitbouwt dat ze in staat is om performant zelf de gegevens rond personeel op te vragen.
7
De raad vraagt de decreetschrijver om het voorontwerp van decreet in de lijn te brengen van de projecten van de Vlaamse Regering over regeldruk en digitalisering1. De doelstelling om de regeldruk te verlagen staat immers ingeschreven in het regeerakkoord.
1
https://www.vlaanderen.be/digitaal-vlaanderen
8