dossier 2021-122.pdf

Uitspraak beroepsinstantie OVB/2021/122

Vlaamse overheid Beroepsinstantie inzake openbaarheid van bestuur en hergebruik van overheidsinformatie Afdeling openbaarheid van bestuur Havenlaan 88, bus 20 1000 BRUSSEL T : 02 553 57 25 Mail: openbaarheid@vlaanderen.be Dossiernummer: OVB/2021/122

DE BEROEPSINSTANTIE - Afdeling openbaarheid van bestuur Bevoegdheid beroepsinstantie Bestuursdecreet van 7 december 2018, titel II, hoofdstuk 3, afdeling 6.

Besluit van de Vlaamse Regering van 19 juli 2007 tot oprichting van de beroepsinstantie inzake openbaarheid van bestuur en hergebruik van overheidsinformatie.

Voorafgaande procedure Op 11 januari 2021 diende xxx (verder: verzoeker) een verzoek in bij de Intergemeentelijke Vereniging voor Afvalbeheer in Gent en Omstreken (verder: IVAGO) om een afschrift te verkrijgen van: 1.

De Data Processing Agreements tussen IVAGO en derde partijen die in opdracht van IVAGO persoonlijke gegevens verwerken.

2. De Gegevensbeschermingseffect beoordeling voor elke in punt 1 opgenomen derde partij.

3. Indien deze niet onder punt 1 of 2 valt : Graag de GBE van toepassing op de diftar ophaling.

Op 26 februari 2021 weigerde IVAGO om afschrift te verlenen van de gevraagde documenten. Diezelfde dag verzocht verzoeker IVAGO om haar beslissing te heroverwegen, teneinde een beroepsprocedure bij de beroepsinstantie te voorkomen. Op 12 maart 2021 bezorgde IVAGO verzoeker een sjabloon van verwerkersovereenkomst maar weigerde voor het overige de gevraagde informatie vrij te geven.

Op 12 maart 2021 diende verzoeker beroep in bij de beroepsinstantie tegen de voormelde weigeringsbeslissing. Dit beroep werd geregistreerd op 15 maart 2021.

Op 14 april 2021 werd de beslissingstermijn van de beroepsinstantie, in toepassing van artikel II.50, §1, tweede lid van het Bestuursdecreet, verlengd van dertig kalenderdagen naar vijfenveertig kalenderdagen.

Ontvankelijkheid van het beroep

www.vlaanderen.be

Het oorspronkelijke verzoek tot openbaarmaking dateert van 11 januari 2021.

De in beroep aangevochten beslissing van IVAGO van 12 maart 2021 maakt geen melding van de beroepstermijn en -modaliteiten, zoals voorgeschreven in artikel II.43, §1, derde lid van het Bestuursdecreet zodat de beroepstermijn pas aanvangt vier maanden na kennisgeving van de beslissing.

Het ingediende beroep van 12 maart 2021 is ingesteld binnen de decretaal voorgeschreven termijn, conform artikel II.48, §1, derde lid van het Bestuursdecreet en is bijgevolg ontvankelijk.

Gegrondheid van het beroep Overeenkomstig artikel II.31, eerste lid Bestuursdecreet heeft het recht op passieve openbaarheid betrekking op bestuursdocumenten. Op grond van deze bepaling is elke instantie in principe verplicht aan eenieder die erom verzoekt inzage te geven in, uitleg te verschaffen over of een afschrift te bezorgen van de gewenste bestuursdocumenten.

De openbaarmaking kan slechts geweigerd worden mits toepassing wordt gemaakt van één of meerdere uitzonderingen, zoals gestipuleerd in de artikelen II.33 tot en met II.39 van voormeld decreet.

1.

Bestreden beslissing

In haar oorspronkelijke beslissing van 26 februari 2021 weigerde IVAGO een afschrift te verlenen van de gevraagde documenten omwille van de volgende overwegingen: Onderdeel 1: “De data processing agreements (of verwerkersovereenkomsten) tussen IVAGO en derde partijen kunnen we helaas niet aan u bezorgen vanwege de mogelijk gevoelige en bedrijfskritische inhoud van deze documenten. Deze documenten bevatten namelijk de afspraken tussen IVAGO en derde partijen, alsook mogelijke informatie met betrekking tot de beveiliging van de systemen e.d. Dit kan en moet niet gedeeld worden vanwege het belang van IVAGO om haar veiligheid te bewaken, en in bepaalde gevallen om de gemaakte afspraken met derde partijen omtrent de vertrouwelijkheid van deze informatie na te komen. Wel kunnen we u een overzicht bezorgen van derde partijen waarmee IVAGO samenwerkt. Let op, deze lijst kan onderhevig zijn aan aanpassing:” Onderdeel 2: “Gegevensbeschermingseffectbeoordelingen (kortweg 'GEB's') worden niet opgesteld op

leveranciersniveau, maar op het niveau van een verwerkingsactiviteit (zoals beschreven in art. 35 AVG).

Het doel van zulke beoordeling is dan ook niet het beoordelen van leveranciers an sich, maar wel het beoordelen van de verschillende aspecten van de GDPR (m.n. naleving van de principes) binnen een verwerkingsactiviteit, waarbij leveranciers betrokken kunnen zijn en vermeld kunnen worden. Daar dit niet bestaat, kunnen wij u dit ook niet bezorgen.”

Onderdeel 3: “Dit is, in tegenstelling tot voorgaande vraag, wel een GEB op niveau van verwerkingsactiviteiten. Echter kunnen wij u dit ook niet bezorgen. Ook hier geldt dat we dit document niet zouden kunnen delen vanwege de gedetailleerde inhoud van zulk document omtrent de exacte beveiliging van onze DIFTAR-systemen en het belang van IVAGO om de veiligheid van desbetreffende systemen te bewaken.”

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 2 van 10

Verzoeker liet IVAGO op 26 februari 2021 weten niet akkoord te gaan met die beslissing en verzocht IVAGO om ze in heroverweging te nemen:

“U beroept zich op "mogelijk gevoelige en bedrijfskritische inhoud" en "mogelijke informatie met betrekking tot de beveiliging van de systemen" zonder dit verder in detail te motiveren. Het gebrek aan motivering is ook logisch gezien u telkens het woord "mogelijk" gebruikt waardoor vaststaat dat u niet nagegaan bent welke delen van de documenten effectief dergelijke informatie bevatten. U kan dus niet weigeren het volledige document te onttrekken aan de openbaarheid gezien de mogelijkheid voorzien in het decreet tot "gedeeltelijke openbaring".

Een verwerkingsovereenkomst bevat per definitie afspraken rond het delen van data en de rechten/plichten van elke deelnemer in de dataverwerking. Gezien IVAGO reeds een privacy policy op haar website geplaatst heeft en daarbij aantoont WELKE gegevens door IVAGO (en dus door haar onderaannemers verwerkt worden) is de opsomming ervan in de gegevensverwerking overeenkomst geen vertrouwelijke informatie. https://www.ivago.be/nl/particulier/privacy-policy Tevens stel ik vast dat voor wat betreft het delen van persoonsgegevens met bepaalde instanties (zoals Woning gent) het ondertekend protocol op de website geplaatst werd. Verder verwijs ik graag naar de beslissing van de beroepsinstantie openbaarheid bestuur dd 6 december 2018. (OVB/2018/273) Meer bepaald de volgende passages: Overwegende dat ook zonder het openbaar maken van deze meldingen, hackers of andere malafide personen natuurlijk ook inbraakpogingen kunnen doen op het netwerk of op een andere manier vertrouwelijke informatie kunnen proberen verkrijgen, en dat de stad niet aantoont in hoeverre de openbaarmaking van deze resultaten tot welk extra risico leidt; dat de beroepsinstantie na afweging meent dat hier voor het merendeel van de weggelaten informatie het belang van de openbaarheid primeert; dat enkel voor wat betreft de weggelaten informatie in de tweede paragraaf, derde bolletje, en in de derde paragraaf, eerste bolletje, laatste zin, de beroepsinstantie van oordeel is dat deze dermate specifiek is dat ze inderdaad tot een groter risico met betrekking de daar weergegeven zwakke plekken, zou kunnen leiden, en de mogelijke schade voor de financiële of economische belangen hier prevaleert boven het belang van de openbaarheid; Gezien IVAGO gevoelige persoonsgegevens verwerkt is het in het algemeen belang dat kan nagegaan worden of dit op een zorgvuldige manier uitgevoerd wordt. Indien het louter beschikken over dit document voldoende is om de systemen binnen te dringen kan men spreken van onvoldoende beveiligde systemen en is het in het ALGEMEEN belang dat dit opgelost wordt. Op zijn minst zouden mitigerende maatregelen genomen moeten worden waardoor de in de documenten vermelde zwakheden niet vanop afstand uit te buiten vallen zoals voorzien in de "best practices" gebruikt binnen de IT industrie.

Wie meent dat hij/zij zijn beveiliging op orde heeft en GDPR (privacy) ernstig neemt zou (met enige trots) de nodige bewijzen daarvan bezorgen aan privacy gevoelige burgers. Openbaarheid van bestuur is immers nog steeds een grondwettelijk recht en dient ernstig genomen te worden. Slechts in zeer specifieke omstandigheden weegt het algemeen belang niet op tegen de eventuele bedrijfsbelangen en/of veiligheidsaspecten.”

IVAGO bevestigde vervolgens op 12 maart 2021 haar oorspronkelijke beslissing:

“Geoordeeld werd dat, aanvullend bij de eerdere informatie die jou werd overgemaakt omtrent de derde partijen waarmee IVAGO samenwerkt, het document in bijlage kan worden ter beschikking gesteld zonder dat eventuele bedrijfsbelangen en/of veiligheidsaspecten in het gedrang komen.

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 3 van 10

Voor wat betreft de weggelaten of niet verder gespecifieerde informatie, wordt geoordeeld dat deze dermate specifiek is dat de vrijgave ervan een reëel risico inhoudt met betrekking tot de beveiliging van de systemen en dit prevaleert boven het belang van de openbaarheid.”

2. Inhoud van het beroepschrift Verzoeker gaat niet akkoord met de weigeringsbeslissing van IVAGO. In zijn beroepschrift van 12 maart 2021 stelt hij:

“Na het verzoek tot heroverweging werd me enkel een "werkdocument/generieke template" bezorgd welke niet aantoont wat er concreet/feitelijk overeengekomen/op papier gezet is tussen enerzijds Ivago en anderzijds de verwerker. Bijkomend heb ik ook (ondanks dat dit niet vereist is onder het decreet WOB) aangetoond aan Ivago dat mijn belang eruit bestaat na te gaan in hoeverre er correct omgegaan wordt met gevoelige gegevens.

Als publieke dienstverlener bezit Ivago over de persoonsgegevens (inclusief rijksregisternummer, samenstelling gezin, etc) van alle inwoners in haar werkgebied. Een zeer omvangrijke en gevoelige databank waarvan de burger mag verwachten dat deze adequaat beveiligd is. Mijn verzoekt valt dan ook te kaderen in een breder onderzoek naar hoe er onder afvalverwerkende intercommunales omgegaan wordt met deze omvangrijke databanken. Ik verwijs daarvoor naar eerdere beroepen die ik hierover lopen had.

Mijn aanvraag is dermate specifiek (Een verwerkersovereenkomst is wettelijk verplicht en dus een document wat eenvoudig en snel op te zoeken zou moeten zijn) en eenvoudig opgesteld dat er naar mijn bescheiden mening geen sprake is van een onredelijk verzoek. Indien er in het document zeer specifieke bedrijfsgeheimen zouden staan (wat me gezien de inhoud van een verwerkersovereenkomst zeer onwaarschijnlijk lijkt gezien deze betrekking heeft op persoonsgegevens) dan heb ik er geen bezwaar tegen als deze gecensureerd worden. Het is geenszins mijn bedoeling (ik bezit geen bedrijf noch heb ik belang in bedrijven actief in die sector) een concurrerende dienst op te starten of in concurrentie te treden met de aanbieders van deze diensten. Mijn insteek is simpelweg een gezonde privacy belangstelling.

Bijkomend verwijs ik ook naar een eerdere beslissing van uw diensten ( OVB/2018/273 ) waar geoordeeld werd dat het in het algemeen belang is dat de burgers correct geïnformeerd worden over de mogelijke veiligheidsrisico's aanwezig bij de overheid die hun gegevens onder beheer heeft. Concreet had ik dus graag van Ivago de volgende documenten ontvangen: de diverse DPA's en GBE's waarover Ivago beschikt. Indien de beroepsinstantie van mening is dat dit te omvangrijk is ben ik akkoord met dit te beperken tot de activiteiten met het meeste risico zijnde deze waarbij IOT toepassingen betrokken zijn (specifiek gaat het dan om toegangscontrole op recylageparken aan de hand van EID en DIFTAR ophaling via containers met ingebouwde RFID chip). IOT toepassingen in het bijzonder zijn zeer kwetsbaar voor hacking.

IOT hacking : https://tweakers.net/nieuws/141221/beveiligingsbedrijf-veel-iot-apparaten-zijn-kwetsbaar-voor-dnsrebinding.html https://tweakers.net/reviews/7234/5/malware-in-je-slimme-huis-tot-slot.html https://tweakers.net/nieuws/154368/tu-delft-gaat-besmette-iot-apparaten-en-botnets-in-kaart-brengenvoor-overheid.html https://tweakers.net/nieuws/147442/hackers-krijgen-controle-over-tienduizenden-slimme-apparatengoogle.html

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 4 van 10

https://tweakers.net/nieuws/130987/snelgroeiend-botnet-richt-zich-op-kwetsbare-internet-of-thingsapparaten.html https://tweakers.net/nieuws/168648/onderzoekers-vinden-19-kwetsbaarheden-in-tcp-ip-library-van-veeliot-apparaten.html https://tweakers.net/nieuws/132795/maker-brickerbot-malware-claimt-10-miljoen-iot-apparaten-tehebben-geinfecteerd.html Datalekken :

https://tweakers.net/tag/Datalek/nieuws/ Alleen al deze maand waren er 6 omvangrijke datalekken in de BENELUX. Hieruit valt te concluderen dat het aantal datalekken toeneemt. Vaker en vaker is er ook sprake van crimineel opzet en/of afpersing van de betrokken organisaties. Koppel dit aan een omvangrijke databank van burgers met bijhorende persoonsgebonden informatie en je hebt een zeer interessant doelwit voor hackers.

In de media zijn recent meerdere cases verschenen waarbij men ofwel de gegevens verkoopt op het darknet OFWEL via encryptie van de gegevens probeert de organisatie in kwestie tot betaling te dwingen. Het spreekt voor zich dat onder het principe van de "goede huisvader" de overheid ALLE mogelijk maatregelen moet nemen om te voorkomen dat private gegevens in handen van criminelen vallen. Indien de overheid dat niet doet moet het mogelijk zijn om onder "Openbaarheid van Bestuur" dit aan te tonen en een maatschappelijk debat te starten.

Via de DPA's en GBE's valt in principe weinig technische informatie te halen rond kwetsbaarheden maar wel informatie rond aansprakelijkheid. Hoe is de aansprakelijkheid verdeeld tussen enerzijds IVAGO en anderzijds de verwerker. Zijn hier afspraken gemaakt zodat Ivago bv een ongebruikelijk risico loopt (en waardoor dus de burger opdraait voor eventuele schade en niet de dienstverlener ?) Op basis van bovenstaande kan dan een afweging gemaakt worden of er verdere documenten nodig zijn rond specifieke zaken vermeld in de DPA/GBE's.

Als laatste had ik graag opgemerkt dat naar mijn ervaring er zeer snel naar de uitzondering rond "commerciële belangen" en "veiligheidsbelangen" gegrepen wordt. Zelfs na aandringen door de burger. In een robuuste administratie waar privacy en GDPR ernstig genomen worden zowel door het management als door de achterliggende administratie en men dus de IT systemen correct opgezet heeft volgende de regels van de kunst, zou het op een enkele uitzondering na (een recente wijziging in de regelgeving of kwetsbaarheid waar men nog geen tijd gehad heeft om deze aan te passen / op te lossen) geen probleem mogen zijn om dergelijke informatie te openbaren. Zeker in een domein waar de boetes voor private bedrijven zeer hoog zijn (GDPR) mag men verwachten dat de overheid het voorbeeld geeft en zorgt voor adequate beveiliging en waarborgen betreffende de persoonsgegevens van de burger.

3. Toelichting door IVAGO De beroepsinstantie heeft, om met kennis van zaken over het ingestelde beroep te kunnen oordelen, IVAGO op 15 maart 2021 om wat toelichting verzocht betreffende dit beroep.

Op 23 maart 2021 bezorgde IVAGO de beroepsinstantie twee voorbeelden van verwerkersovereenkomsten, waaromtrent haar deskundigen in deze materie adviseren dat het niet aangewezen is degelijke overeenkomsten openbaar te maken omwille van een reëel risico met betrekking tot de beveiliging van de systemen. Verder deelde IVAGO de beroepsinstantie mee dat verzoeker aandringt op de openbaarmaking van overeenkomsten met IOT systemen waar met eID gewerkt wordt, zoals recyclageparksystemen, diftar chips etc.

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 5 van 10

1. Recyclagepark: IVAGO werkt niet met eID 2. Diftar chips: wordt aan IVAGO aangeboden door ECOV nv, de private partner binnen het intergemeentelijk samenwerkingsverband, achterliggend containers en chips via SULO, diftar systeem via Ad Ultima en SUEZ (hosting). Conclusie van de DPO van Cranium was dat IVAGO geen verwerkingsovereenkomst dient af te sluiten.

Volgend op een bijkomende vraag om toelichting van de beroepsinstantie bezorgde IVAGO de beroepsinstantie op 1 april 2021 de volgende uiteenzetting: Onderdeel 1: “IVAGO ondersteunt ten volle de bezorgdheid die de verzoekende heeft met betrekking tot de

veiligheid van persoonsgegevens. IVAGO heeft daarvoor reeds tientallen jaren maatregelen genomen om deze veiligheid maximaal te waarborgen.

In het kader van de invoegetreding van de AVG wetgeving in 2018 heeft IVAGO verdere stappen genomen.

Een eerste belangrijk element is de openbaring van welke gegevens IVAGO over haar burgers en klanten bij houdt, dit is transparant gecommuniceerd op de IVAGO website. Daarnaast werden voor de activiteiten waar persoonsgegevens worden gebruikt verwerkersovereenkomsten aangemaakt met de betrokken verwerkers of zijn deze in opmaak. Ook bij nieuwe contracten die worden afgesloten wordt dit opgenomen.

Het feit dat er dus overeenkomsten zijn, is de garantie voor de ‘aansprakelijkheid’ die door verzoekende wordt vermeld. Onze focus ligt dus in het maximaal borgen van de veiligheid. Dit is voor ons ook de achtergrond voor het weigeren van het vrijgeven van de individuele verwerkersovereenkomsten en dit om 2 redenen: 1) Door deze vrij te geven wordt duidelijk welke gegevens door welke verwerker worden verwerkt. Zo krijgt een mogelijke partij met kwade bedoelingen rechtstreeks een beeld op de IT architectuur van IVAGO én kan ze gerichter aanvallen opzetten door de onderliggende partijen apart te gaan aanvallen. Dit ondanks het feit dat per verwerker er maatregelen zijn genomen naar veiligheid. Wij zien dit dus als een noodzakelijke veiligheidsmaatregel, vanuit het voorzichtigheidsprincipe. Je kan het vergelijken met de fysieke omgeving van een openbaar bestuur: het is alsof we publiek maken welke documenten in welke lokalen van een gemeentehuis zitten opgeslagen.

2) In bepaalde overeenkomsten wordt er ook dieper ingegaan op de maatregelen die genomen worden door de verwerker inzake beveiliging. Soms is dit eerder algemeen, bij sommige worden toch wel technische gegevens mee gegeven. Deze wensen wij niet openbaar te maken en maken onderdeel uit van de vertrouwelijke relatie tussen IVAGO en de verwerker. Deze worden zelfs niet breed gepubliceerd binnen IVAGO en de verwerker. Opnieuw ter analogie, het is alsof een openbaar bestuur in detail zou aangeven welke beveiliging men heeft voorzien aan het gemeentehuis en aan elk lokaal (type sloten, wie heeft de sleutel, beschrijving alarmsysteem, enz).

In bijlage zijn gevoegd de verwerkingsovereenkomsten die IVAGO afsloot/opstelde t.a.v. derde partijen. In de eerdere communicatie, ook naar de verzoekende partij werden de leveranciers opgesomd waarmee we samenwerken. Deze verwerken niet allemaal persoonsgegevens van burgers. Bij sommige is de verwerkersovereenkomst nog in onderhandeling. In de overeenkomsten is indien nodig een markering aangebracht.

Ter kanttekening: verzoekende verwijst naar het risico van IOT toepassingen, zoals het gebruik van de E-ID op de recyclageparken. IVAGO gebruikt geen E-ID op de recyclageparken, maar een RFID lezer die enkel werkt op zeer korte afstand. Ook de lezers op de voertuigen werken enkel op zeer korte afstand en zijn dus zeer moeilijk te ‘hacken’. Ze zijn dus niet vergelijkbaar met de door verzoeker aangebrachte voorbeelden om de bezorgdheid tot veiligheidsissues te ondersteunen.”

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 6 van 10

Onderdeel 2: “Gegevensbeschermingseffectbeoordelingen (kortweg 'GEB's') worden niet opgesteld op

leveranciersniveau, maar op het niveau van een verwerkingsactiviteit (zoals beschreven in art. 35 AVG). Het doel van zulke beoordeling is dan ook niet het beoordelen van leveranciers an sich, maar wel het beoordelen van de verschillende aspecten van de GDPR (m.n. naleving van de principes) binnen een verwerkingsactiviteit, waarbij leveranciers betrokken kunnen zijn en vermeld kunnen worden. Daar dit niet bestaat, kunnen wij dit ook niet bezorgen.”

Onderdeel 3: “Diftar wordt aan IVAGO aangeboden door ECOV nv, de private partner binnen het

intergemeentelijk samenwerkingsverband, achterliggend containers en chips via SULO, diftar systeem via Ad Ultima en SUEZ (hosting). Geconcludeerd werd na advies ingewonnen door de DPO van IVAGO, dat IVAGO geen verwerkingsovereenkomst dient af te sluiten gezien het systeem beheerd wordt door de partner binnen IVAGO. Concreet bieden volgende bedrijven volgende diensten i.h.k.v. de diftarophaling: ECOV nv, vennoot in IVAGO, staat in voor het volledige systeem. Hierbij worden volgende onderaannemers gebruikt: -

De chip om in de rolcontainer te steken wordt geleverd door Sulo.

Op het voertuig zit leesapparatuur om deze chip uit te lezen, doordat deze binnen enkele centimeters passeert van de lezer bij het ledigen van de rolcontainer. De gegevens worden via GPRS doorgestuurd naar een FTP-server. Dit wordt allemaal geleverd door Sulo.

De data van de ledigingen wordt opgeladen in Diftar vanuit de FTP-server. In Diftar zitten ook de klanten en de tarieven en heeft de klant een saldo. De kost van de lediging wordt afgetrokken van het saldo. Deze server wordt beheerd door Suez, het systeem wordt onderhouden door 9 Altitudes (recente hernoemde Ad Ultima).”

Aangezien verzoeker in zijn oorspronkelijk verzoekschrift, voor wat betreft onderdeel 1, heel duidelijk vroeg naar de verwerkersovereenkomsten tussen IVAGO en derde partijen die in opdracht van IVAGO persoonlijke gegevens verwerken, vroeg de beroepsinstantie IVAGO op 1 april 2021 om te verduidelijken welke van de bezorgde overeenkomsten effectief betrekking hebben op leveranciers die persoonsgegevens verwerken en om desgevallend nog de ontbrekende overeenkomsten te bezorgen. De beroepsinstantie vroeg ook na om te verduidelijken welke van de overeenkomsten volledig op punt staan en hieromtrent een verdere toelichting te geven wanneer dit niet het geval zou zijn.

4. Beoordeling door de beroepsinstantie Onderdeel 1: De Data Processing Agreements tussen IVAGO en derde partijen die in opdracht van IVAGO persoonlijke gegevens verwerken.

De beroepsinstantie stelt vast dat niet alle leveranciers uit de lijst die IVAGO op 26 februari 2021 aan verzoeker overmaakte, in opdracht van IVAGO persoonsgegevens verwerken. Aldus hebben niet al die dienstverleners met IVAGO een verwerkersovereenkomst gesloten. Verder is het zo dat verschillende van de verwerkersovereenkomsten momenteel in opmaak of herwerking zijn en/of nog dienen te worden ondertekend. Het gaat daarbij onder meer om nieuwe leveranciers waarbij de dienstverlening nog van start moet gaan.

A. Onafgewerkte verwerkersovereenkomsten De beroepsinstantie is van oordeel dat een overeenkomst pas tot stand komt en definitief als “af” kan worden beschouwd van zodra ze door beide partijen is ondertekend. In die zin zijn verwerkersovereenkomsten die in opmaak of herwerking zijn en/of nog dienen te worden ondertekend,

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 7 van 10

nog niet tot stand gekomen en zijn ze nog niet afgewerkt. Artikel II.33, 2° Bestuursdecreet bepaalt dat, tenzij het belang van de openbaarheid primeert, een aanvraag tot openbaarheid mag afgewezen worden als de aanvraag betrekking heeft op bestuursdocumenten die niet af of onvolledig zijn.

De memorie van toelichting bij artikel II.33, 2° van het Bestuursdecreet stelt het volgende: “Het ogenblik waarop een document als "af" kan beschouwd worden, verschilt van document tot document. Zo moet een onderscheid gemaakt worden tussen documenten die worden gemaakt in het kader van een besluitvormingsprocedure en andere documenten. Documenten ter voorbereiding van een besluitvormingsprocedure zijn pas af indien ze een definitieve status hebben verkregen, dit wil zeggen indien ze ondertekend zijn door de persoon die in het kader van deze procedure bevoegd is. Dit betekent geenszins dat er een eindbeslissing in de procedure zou moeten genomen zijn. Ook tussentijdse rapporten, adviezen en nota's zijn openbaar, nog voor de eindbeslissing is gevallen, voor zover ze definitief af zijn, dit wil zeggen ondertekend door de bevoegde persoon, zelfs al zijn deze documenten vatbaar voor wijziging of herziening ten gevolge van nieuwe factoren en elementen. Andere documenten, die niet kaderen in een besluitvormingsprocedure worden door de opsteller(s) zelf van het document gekwalificeerd als zijnde af of niet af. Zo zal een document dat wordt opgesteld door een groep personen, slechts af zijn wanneer de groep besluit dat het document af is, dit wil zeggen dat er niets meer aan het document dient veranderd te worden, wat niet uitsluit dat wijzigingen achteraf mogelijk zijn ten gevolge van nieuwe omstandigheden.”

(Parl.St. Vl.Parl. 2017-18, nr. 1656/1, 56-57).

In casu betreffen de opgevraagde bestuursdocumenten verwerkersovereenkomsten waarin beide partijen aan de hand van onderhandelingen en binnen het wettelijke kader van de AVG, afspraken vastleggen over de verwerking van persoonsgegevens. Aangezien verschillende overeenkomsten op dit ogenblik nog niet ondertekend zijn of zelfs nog in opmaak zijn, zijn deze dan ook nog zeer precair.

De beroepsinstantie is van oordeel dat de openbaarmaking van verwerkersovereenkomsten die nog niet af zijn op grond van artikel II.33, 2° van het Bestuursdecreet moet worden afgewezen. Om deze reden wordt het beroepsonderdeel voor wat betreft de verwerkersovereenkomsten met een onafgewerkte staus als ongegrond beschouwd.

B. Afgewerkte verwerkersovereenkomsten Een aantal van de verwerkersovereenkomsten dient in toepassing van artikel II.33 2° van het Bestuursdecreet anderzijds wel als af te worden beschouwd. Die overeenkomsten staan op punt en werden door beide partijen ondertekend.

De beroepsinstantie heeft deze overeenkomsten kunnen inkijken en komt tot de vaststelling dat zij vaak heel algemeen blijven en vooral een herhaling zijn van de verplichtingen uit de AVG. Volgens IVAGO bevatten de overeenkomsten veiligheidsgevoelige informatie, maar de beroepsinstantie ziet niet in hoe dit het geval zou zijn. In bepaalde overeenkomsten worden enkele vrij algemene veiligheidsvoorschriften opgesomd die minstens door de verwerker (kunnen) worden toegepast. Nergens is er echter echt concrete informatie aanwezig die misbruikt zou kunnen worden om bv. in te breken in de IT-systemen of die het stelen van gevoelige informatie zou kunnen vergemakkelijken. Het blijft bij algemeenheden die de verwerker dan zelf invult. Ook wat betreft de aard van de persoonsgegevens die door de verwerker in kwestie zal worden verwerkt, kan de beroepsinstantie vaststellen dat hier meestal enkel maar heel algemeen geformuleerde definities worden weergegeven, waaruit niet concreet kan worden opgemaakt om welke gegevens het precies gaat. Het vrijgeven van die informatie houdt volgens de beroepsinstantie dan ook weinig of geen veiligheidsrisico in.

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 8 van 10

Aangezien er voor het overige geen andere uitzonderingsgronden van toepassing zijn, oordeelt de beroepsinstantie dat het beroepsonderdeel als gegrond dient te worden beschouwd voor wat betreft de afgewerkte en gesloten verwerkersovereenkomsten: • • •

De verwerkersovereenkomst tussen IVAGO en Mirto vzw De verwerkersovereenkomst tussen IVAGO en Aquamella De verwerkersovereenkomst tussen IVAGO en Doccle

De beroepsinstantie dient wel nog verder in te gaan op twee bemerkingen die IVAGO formuleerde bij het beroepschrift. IVAGO wijst er enerzijds op dat er in verschillende verwerkersovereenkomsten persoonsgegevens voorkomen, meer concreet de namen van de ondertekenaars van de contracten. De beroepsinstantie merkt op dat het hier gaat om namen van personen die omwille van hun functie (de algemeen directeur van IVAGO, de zaakvoerders van de betreffende leveranciers,…) al openbaar zijn en eenvoudig op het internet terug te vinden zijn. De openbaarmaking van die gegevens vormt aldus geen inbreuk tegen de bescherming van de persoonlijke levenssfeer.

Daarnaast stelt IVAGO dat één verwerkersovereenkomst een vertrouwelijkheidsclausule bevat. Het gaat hier echter om een overeenkomst die nog niet als af kan worden beschouwd en bijgevolg niet in aanmerking komt voor openbarmaking. Ten overvloede merkt de beroepsinstantie wel op dat privaatrechtelijke vertrouwelijkheidsovereenkomsten niet boven het grondwettelijk en decretaal geregeld recht op openbaarheid kunnen worden gesteld en men zich dus ook niet aan de openbaarheid kan onttrekken door geheimhoudings- of vertrouwelijkheidsclausules op te nemen in afgesloten overeenkomsten.

Onderdeel 2: De Gegevensbeschermingseffect beoordeling voor elke in punt 1 opgenomen derde partij.

IVAGO deelde aan de beroepsinstantie mee dat er geen gegevensbeschermingseffectbeoordelingen werden opgesteld. De beroepsinstantie is van oordeel dat IVAGO aldus duidelijk heeft gemaakt dat deze door verzoeker geviseerde documenten als dusdanig onbestaande zijn, zodat er ook geen afschrift van kan verstrekt worden.

Nu een openbaarheidsverzoek enkel maar betrekking kan hebben op bestaande informatie die in het bezit is van een overheidsinstantie, zoals omschreven in artikel I.4, 3° van het Bestuursdecreet, dient het beroep, in zoverre het betrekking heeft op dit onderdeel, als ongegrond te worden beschouwd.

Onderdeel 3: Indien deze niet onder punt 1 of 2 valt: Graag de GBE van toepassing op de diftar ophaling.

IVAGO deelde aan de beroepsinstantie mee dat er in verband met de diftar ophaling geen verwerkersovereenkomst dient te worden afgesloten, aangezien het systeem beheerd wordt door de partner binnen IVAGO (ECOV nv). Bijgevolg is er ook geen gegevensbeschermingseffectbeoordeling voorhanden. De beroepsinstantie is van oordeel dat IVAGO aldus duidelijk heeft gemaakt dat dit door verzoeker geviseerde document onbestaande is, zodat er ook geen afschrift van kan verstrekt worden.

Nu een openbaarheidsverzoek enkel maar betrekking kan hebben op bestaande informatie die in het bezit is van een overheidsinstantie, zoals omschreven in artikel I.4, 3° van het Bestuursdecreet, dient het beroep, in zoverre het betrekking heeft op dit onderdeel, als ongegrond te worden beschouwd.

Na beraadslaging,

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 9 van 10

BESLUIT: Het beroepschrift van xxx d.d. 12 maart 2021 tegen de weigeringsbeslissing vanwege IVAGO wordt als ontvankelijk en gedeeltelijk ongegrond en gedeeltelijk gegrond beschouwd.

Bijgevolg dienen de volgende documenten openbaar te worden gemaakt, door er een afschrift van te bezorgen: • • •

De verwerkersovereenkomst tussen IVAGO en Mirto vzw De verwerkersovereenkomst tussen IVAGO en Aquamella De verwerkersovereenkomst tussen IVAGO en Doccle

Geen toestemming tot hergebruik van bestuursdocumenten In zoverre dit beroep gegrond werd verklaard, geldt dat deze inwilliging van de aanvraag tot openbaarmaking GEEN toestemming inhoudt om de gevraagde bestuursdocumenten te hergebruiken, als vermeld in titel II, hoofdstuk 4 van het Bestuursdecreet van 7 december 2018 (zie artikel II.44, §3, van het Bestuursdecreet).

Brussel, 20 april 2021 Voor de beroepsinstantie, afdeling openbaarheid van bestuur, Bruno ASSCHERICKX Voorzitter

https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2021/122

pagina 10 van 10