Naleving van de AVG door de diensten schuldbemiddeling (OKTOBER 2018)
Zoals u weet, is de Europese Algemene Verordening Gegevensbescherming (AVG-GDPR) sinds 25 mei in werking getreden.
Wat houdt dit in voor de diensten schuldbemiddeling?
Deze Europese verordening is zowel binnen de openbare sector als de privésector van toepassing op al wie persoonsgegevens (dat wil zeggen gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon) of gevoelige gegevens (dat wil zeggen gegevens die betrekking hebben op minderjarigen of nog de seksuele geaardheid of bijvoorbeeld de gezondheidstoestand van personen) verzamelt en verwerkt.
In het kader van uw werk als schuldbemiddelaar verzamelt en verwerkt u dit soort gegevens. Bijvoorbeeld: naam, voornaam, geboortedatum, adres, bankrekeningnummer, gezinssituatie, diploma, enz. …
Dat heeft tot gevolg dat uw dienst en uw organisatie moeten voldoen aan de eisen van de AVG.
Het hoofddoel van deze verordening is
het versterken van eenieders recht om te weten wat er gedaan wordt met de gegevens die hem of haar betreffen en eenieder de mogelijkheid geven om zijn of haar rechten te doen gelden (recht op wissen of vergetelheid, eisen van een beperking van de verwerking, eisen om inzage te krijgen in de gegevens of nog het recht om een schadevergoeding te eisen in geval van schending van de bepalingen van de verordening).
de persoon die de gegevens verzamelt nog meer verantwoordelijk te stellen om zich ervan te verzekeren dat alle verzamelde gegevens veilig worden bewaard, dat zij vertrouwelijk blijven en te goeder trouw worden gebruikt.
Bekomen van de vrije en geïnformeerde toestemming van de persoon en deze informeren
A priori vallen de maatregelen die moeten worden genomen hoofdzakelijk onder de bevoegdheid van uw coördinatoren, directeurs, voorzitters en secretarissen (zie verder).
Toch menen wij dat, wat betreft de schuldbemiddeling, het wijs is om systematisch de vrije en geïnformeerde toestemming van de persoon in schuldbemiddeling te bekomen, door hem of haar een overeenkomst te doen ondertekenen aan het begin van de schuldbemiddeling.
Degene die persoonsgegevens verwerkt moet immers kunnen bewijzen dat die gegevens op een door de wet toegestane wijze werden bekomen, dat wil zeggen dat de verzameling van die gegevens berust op een van de in artikel 6 van de AVG genoemde rechtsgronden. [1]
Verder legt de AVG aan de verwerkingsverantwoordelijke de verplichting op om de persoon uitgebreid en transparant te informeren over de precieze gegevens die zullen worden verzameld, over de manier waarop en de doeleinden waarvoor deze zullen worden gebruikt, over hun bewaringsduur en over hun eventuele verstrekking aan derden.
Bovendien moet de betrokkene ook geïnformeerd worden over zijn rechten.
Het gaat daarbij om het:
• recht op inzage in zijn persoonsgegevens;
• recht op rectificatie van foutieve persoonsgegevens;
• recht op beperking van de verwerking;
• recht op overdraagbaarheid van gegevens;
• recht van bezwaar en geautomatiseerde individuele besluitvorming;
• recht op vergetelheid.
De onderstaande vragen hebben alle betrekking op deze informatieplicht [2]:
• Welke gegevens van welke personen verwerkt u en waarom?
• Waar heeft u deze persoonsgegevens bekomen?
• Wie heeft toegang tot deze persoonsgegevens?
• Voor welke doeleinden worden zij gebruikt?
• Hoelang zullen zij worden bewaard?
• Tot wie kunnen uw cliënten zich wenden wanneer zij hierover vragen hebben?
• ...
Rondetafelgesprek
Om die reden hebben wij op 20 december eerstkomend een rondetafelgesprek gepland over de kwestie van de overeenkomst voor gegevensverwerking.
Het is de bedoeling om tijdens deze dialoogtafel samen de essentiële punten te bespreken, die in een overeenkomst voor gegevensverwerking aan bod moeten komen, en uiteindelijk een voorbeeldovereenkomst uit te werken ten behoeve van de Brusselse schuldbemiddelaars.
De opstelling van een voorbeeldovereenkomst die aan het begin van de schuldbemiddeling met de betreffende persoon wordt gesloten, biedt niet alleen de gelegenheid om ons in orde te stellen met de verplichtingen opgelegd door de AVG, maar ook om de kwestie aan te snijden van de reikwijdte van het mandaat van de schuldbemiddelaar: de rechten en plichten van beide partijen, de verstrekking van informatie aan de schuldeisers en het beroepsgeheim, het einde van de schuldbemiddeling, de deontologie, enz.…
Interessante punten om te bespreken met de gehele sector van de schuldbemiddeling!
Wat doe ik in tussentijd?
Geen paniek intussen, in afwezigheid van een schriftelijk bewijs van toestemming (voor de “oude” dossiers) kan de schuldbemiddelaar het wettelijk kader inroepen waarbinnen hij zijn opdracht uitvoert (opdrachten die hem worden toevertrouwd door publieke overheden).
Het register van de verwerkingsactiviteiten in de schuldbemiddeling
Weet overigens ook dat uw dienst of instelling een register zal moeten aanleggen en bijhouden, waarin uw verwerkingsactiviteiten in het kader van schuldbemiddelingsopdrachten worden geregistreerd. Dat houdt het volgende in:
1. Oplijsten van alle persoonsgegevens die uw dienst verzamelt in het kader van uw dossiers. De aard van deze gegevens kan verschillen naargelang de dienst. Bijvoorbeeld: naam, voornaam, geboortedatum, adres, bankrekeningnummer, gezinssituatie, diploma, enz. …
2. Uitleggen van de doeleinden (waarom verzamelt u precies deze informatie): men kan hier in detail treden, of volstaan met te zeggen dat het doeleinde is de begeleiding van personen in schuldbemiddeling en het samenstellen van de statistieken die aan de subsidiërende overheden moeten worden voorgelegd.
3. Uitleggen op welke rechtsgronden de verzameling en verwerking van de persoonsgegevens in het kader van de schuldbemiddeling berusten (zie bijlage).
4. Vastleggen wie binnen uw dienst toegang heeft tot de verzamelde persoonsgegevens.
5. Bepalen gedurende welke termijn de persoonsgegevens zullen worden bewaard.
6. Uitleggen welke beveiligingsmaatregelen worden toegepast (bewaring in een kast achter slot en grendel, toegangscodes, wachtwoorden voor pc’s, enz.).
7. Bepalen op welke wijze de betrokken persoon toegang en inzage kan krijgen tot de gegevens en hoe hij deze kan laten rectificeren.
Om hier verder mee aan te slag te gaan, vindt u in bijlage:
Een brochure die een vrij duidelijk overzicht biedt van deze materie. Zoals u zal merken, moet een heleboel zaken worden ingevoerd, maar die vallen a priori voornamelijk onder de verantwoordelijkheid van uw respectievelijke directeurs en secretarissen.
Het model voor een Register van de verwerkingsactiviteiten, voorgesteld door de Privacycommissie.
Een bondig overzicht van de doeleinden en de rechtsgronden waarop de verzameling en verwerking van persoonsgegevens in de schuldbemiddeling berusten.
[1] De AVG onderscheidt zes verschillende rechtsgronden: de toestemming, de overeenkomst, de naleving van een wettelijke verplichting, het vrijwaren van vitale belangen, de uitvoering van een opdracht van algemeen belang en het gerechtvaardigde belang dat wordt nagestreefd door de verwerkingsverantwoordelijke of door een derde.
[2] Uw dienst of instelling zou de antwoorden op deze vragen in principe moeten opnemen in een document (een charter of reglement voor de bescherming van de persoonlijke levenssfeer) dat gepubliceerd moet worden, zodat alle betrokken personen te allen tijde over alle gewenste informatie kunnen beschikken.
