Het AVG-decreet voorziet in de verplichting tot het opmaken van een protocol voor elke elektronische mededeling van persoonsgegevens door een Vlaamse instantie naar een andere Vlaamse instantie of naar een externe overheid.

Het principe is dat tussen de betrokken verwerkingsverantwoordelijken een protocol wordt gesloten over een elektronische mededeling van persoonsgegevens waarin een aantal zaken worden vastgelegd zodat duidelijk wordt dat aan de principes van de AVG wordt voldaan.

Vanaf wanneer geldt de protocolverplichting?
De verplichting tot het sluiten van een protocol geldt vanaf 26 juni 2018 (de datum van publicatie van het AVG-decreet in het Belgisch Staatsblad). Op dat moment werd de machtigingsverplichting opgeheven.

Wat is een mededeling?
Uit de memorie van toelichting van het e-govdecreet blijkt dat een mededeling het verstrekken is door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, en die op systematische wijze wordt georganiseerd.

Het gaat om een “latere verwerking”: gebruik van gegevens die oorspronkelijk ingezameld werden voor andere doeleinden door een andere verantwoordelijke. In hoofde van de instantie die de gegevens doorgeeft, is er sprake van een “verdere verwerking”.

Het begrip mededeling verwijst naar een georganiseerde gegevensuitwisseling vanuit elektronische databanken of toepassingen. De nadruk ligt op het gegevensverkeer. Occasioneel gegevensverkeer (bv een occasioneel e-mailbericht dat persoonsgegevens bevat) is uitgesloten. Een eenmalige overdracht van een omvangrijke verzameling persoonsgegevens wordt wel als systematisch beschouwd.

Het gaat om een elektronische mededeling (art. 8 e-govdecreet(opent in nieuw venster)) dus niet als op papier, wel e-mail (tenzij occasioneel).

Een protocol conform artikel 8 van het Vlaamse e-govdecreet(opent in nieuw venster) is volgens §2 van dat artikel niet verplicht als het federale Informatieveiligheidscomité bevoegd is om een beraadslaging te verlenen.

Een protocol is niet verplicht in het geval van uitwisseling van persoonsgegevens binnen eenzelfde instantie, bijvoorbeeld twee afdelingen binnen een departement of binnen een agentschap. Dit betekent concreet dat zowel de oorspronkelijke verzameling als de verdere verwerking door een andere dienst deel uitmaken van de taken van de instantie. De verwerkingsverantwoordelijke beslist in voornoemde gevallen over de gevraagde mededeling.

Ook dan moet er, net zoals bij het opstellen van een protocol, telkens rekening worden gehouden met een aantal criteria. Dit zijn de criteria die elke verwerkingsverantwoordelijke moet toepassen bij het organiseren van de toegang tot de eigen persoonsgegevens. In die mate moeten deze criteria dan ook worden beoordeeld door de verwerkingsverantwoordelijke zelf die daartoe een beroep doet op het advies van de functionaris voor gegevensbescherming (Data Protection Officer (DPO)).

Voor de dienst aan wie de gegevens worden meegedeeld, moeten de gegevens noodzakelijk zijn voor haar taken. Ook hier mag de toegang (of uitwisseling) enkel betrekking hebben op de persoonsgegevens die absoluut noodzakelijk zijn voor de verwerkingen in hoofde van de ontvangende dienst.

Ook dient de mededeling op een beveiligde manier te gebeuren die kan worden aangetoond. Zo moet de interne toegang worden beveiligd, zodat van deze actie geen misbruik kan worden gemaakt om toegang te krijgen tot gegevens waar men niet toe gerechtigd is. In die mate dient gebruik te worden gemaakt van een gebruikers- en toegangsbeheer, aangevuld met een logging van de toegangen (en raadplegingen of uitwisselingen).
Indien de functionaris voor gegevensbescherming oordeelt dat de verwerking, gelet op onder meer de aard, de omvang, de context en de doeleinden van de mededeling, waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen wiens gegevens zouden worden meegedeeld, kan voorafgaand aan de mededeling het advies van de Vlaamse toezichtcommissie worden ingewonnen.

Het spreekt echter voor zich dat men het opstellen van een protocol niet mag omzeilen door een nog ruimere verspreiding dan tussen overheden, bv. door een voor iedereen toegankelijke publicatie op een website (waar de andere overheid de data zou kunnen ophalen).

Een protocol moet volgens het e-govdecreet(opent in nieuw venster) volgende rubrieken bevatten (zie verder voor de beoordeling):

1. de identificatie van de verwerkingsverantwoordelijken;
2. de doeleinden waarvoor de persoonsgegevens worden medegedeeld;
3. de categorieën en omvang van de medegedeelde persoonsgegevens conform het proportionaliteitsbeginsel;
4. de categorieën van ontvangers en derden die mogelijks de gegevens eveneens verkrijgen;
5. de wettelijke basis van zowel de mededeling als de inzameling van de gegevens;
6. de beveiligingsmaatregelen van de mededeling, rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen;
7. de periodiciteit van de mededeling;
8. de duur van de mededeling;
9. de sancties in geval van niet-naleving van het protocol;
10. de beschrijving van de precieze doeleinden waarvoor de gegevens oorspronkelijk werden ingezameld door de instantie die beheerder is van de gevraagde gegevens;
11. ingeval van latere verwerking van de ingezamelde gegevens, vermelding van de verenigbaarheidsanalyse van de doeleinden van deze verwerking met het doeleinde waarvoor de gegevens aanvankelijk zijn verzameld overeenkomstig artikel 6, lid 4, van de algemene verordening gegevensbescherming;
12. afspraken omtrent de garantie van de kwaliteit van de gegevens en in voorkomend geval de eerbiediging van het wettelijk kader dat de toegang tot de authentieke gegevensbron regelt;
13. specifieke maatregelen die de gegevensmededeling omkaderen zoals de keuze van het formaat van de mededeling, de logging van de toegangen zodat men kan controleren wie wanneer toegang had tot welke gegevens en waarom en de invoering van een verwijzingsrepertorium in het geval van een automatische mededeling van de wijzigingen aan de gegevens.