De Belgische Staatsveiligheid en de militaire inlichtingendienst ADIV moeten zich bij de verwerking van persoonsgegevens in het kader van hun activiteiten aan specifieke privacyregels houden. De GDPR-verordening is op hen immers niet van toepassing, noch de Europese Privacyrichtlijn politie-justitie.
De verwerking van persoonsgegevens door onze inlichtingen – en veiligheidsdiensten werd geregeld door de Privacywet van 8 december 1992. Nu die wet wordt opgeheven, is een nieuw kader nodig. Maar daarvoor kan de wetgever zich niet beroepen op de GDPR. Artikel 2 van de GDPR-verordening is immers duidelijk: ‘de bepalingen zijn niet van toepassing op de verwerking van persoonsgegevens in het kader van activiteiten die niet binnen het toepassingsgebied vallen van het Europees recht. En laat de activiteiten van de inlichtingen- en veiligheidsdiensten nu net buiten de bevoegdheden van de Europese Unie vallen. Maar ook de Europese Privacyrichtlijn politie – justitie geldt in dit geval niet aangezien hierin alleen regels staan voor de bescherming van persoonsgegevens die worden verwerkt in het kader van de voorkoming, opsporing en vervolging van strafbare feiten of de tenuitvoerlegging van straffen.
De wetgever introduceert daarom een volledig nieuw regime, dat evenwel rekening houdt met de nieuwe strengere vereisten op Europees niveau.
Concreet zorgt de Kaderwet Verwerking Persoonsgegevens voor
| • | de overname van de bepalingen uit de Privacywet van toepassing op de inlichtingen- en veiligheidsdiensten. Dezelfde algemene privacyprincipes zullen moeten worden nageleefd, net als de voorziene uitzonderingen (nodig om hun opdrachten in discretie te kunnen uitoefenen); |
| • | de naleving van de Conventie voor de bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van de Raad van Europa van 28 januari 1981, het zogenaamde Verdrag 108; |
| • | de bekrachtiging van bepaalde verplichtingen van de verwerkingsverantwoordelijken. Dit onderdeel omdat nieuwe verplichtingen. Zo moeten de inlichtingen- en veiligheidsdiensten voortaan een register bijhouden van hun verwerkingsactiviteiten, zijn ze verplicht om melding te doen aan de bevoegde toezichthoudende overheid van inbreuken op de beveiliging van persoonsgegevens die een risico inhouden voor de rechten en vrijheden van natuurlijke personen en moeten ze een functionaris voor gegevensbescherming aanwijzen; |
| • | specifieke bepalingen voor het gebruik van persoonsgegevens voor historische, wetenschappelijke of statistische doeleinden. Deze raadpleging is slechts mogelijk indien ze geen weerslag heeft op de opdrachten van de inlichtingendiensten en indien ze geen gevaar vormt voor een bron of een derde die zijn medewerking aan de inlichtingendiensten verleent noch op een lopend opsporings- of gerechtelijk onderzoek of op de relaties die België onderhoudt met andere Staten of internationale organisaties. |
Ook eigen kader voor NVO, OCAD en PIE
De Kaderwet creëert ook eigen regels voor de verwerking van persoonsgegevens door
| • | de Nationale Veiligheidsoverheid in het kader van veiligheidsmachtigingen en veiligheidsverificaties; |
| • | het Coördinatieorgaan voor de Dreigingsanalyse (OCAD); en |
| • | de Passagiers-informatie-eenheid (PIE). |
Ook deze verwerkingen behoren niet tot de bevoegdheden van de Europese Unie waardoor ze buiten het toepassingsgebied van de GDPR vallen.
De regels zijn telkens volgens hetzelfde stramien opgesteld, met telkens het oude kader, de Europese Conventie van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, de nieuwe verplichtingen als verwerkingsverantwoordelijke en specifiteiten voor verwerkingen in het kader van historische, wetenschappelijke en statistische doeleinden in gedachten.
In werking
Titel III van de Kaderwet Verwerking Persoonsgegevens van 30 juli 2018 is van kracht sinds 5 september, de dag van publicatie in het Belgisch Staatsblad.
Bron: Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, BS 5 september 2018. (Titel III)Extra informatie:-
Verordening (EU) nr. 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. (GDPR)
-
Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad, Pb.L 4 mei 2016, afl. L119/89. (Privacyrichtlijn politie-justitie)
