2020_CBS_02537 - Collegebeslissing betreffende de goedkeuring van het mandaat aan OVSG voor de ondertekening van algemene protocollen voor de elektronische doorgifte van persoonsgegevens tussen instanties

Gelet op het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, artikel 8;

Gelet op de beslissing van de gemeenteraad van 13 mei 2019 betreffende het definitief vaststellen van de definiëring van het dagelijks personeelsbeheer;

Gelet op het positief advies van de Vlaamse Toezichtscommissie (advies ref. VTC/O/2019/01 en ref. VTC/O/2019/07);   

Gelet op de mail van Onderwijsvereniging van Steden en Gemeenten (OVSG) van 23 juni 2020 betreffende de mandaattoetreding algemene protocollen onderwijs; 

Overwegende dat elke elektronische mededeling van persoonsgegevens door een instantie naar een andere instantie of naar een externe overheid een protocol vereist, gesloten tussen de betreffende instanties; dat in het protocol een aantal afspraken worden vastgelegd zodat duidelijk wordt dat aan de principes van de Algemene Verordening Gegevensbescherming (AVG) wordt voldaan (o.m. afspraken over het doeleinde van de gegevensverwerking, de wettelijke grondslag, de beveiligingsmaatregelen, de afspraken rond de verdere verwerking van de gegevens en de bewaartermijnen);

Overwegende dat het schoolbestuur en zijn onderwijsinstelling veelvuldig dergelijke mededelingen doen naar instanties zoals het Ministerie van Onderwijs en Vorming (bv. AGODI), onderwijsinspectie, … en vice versa;

Overwegende dat deze mededelingen hoofdzakelijk voortvloeien uit reglementaire bepalingen en aldus een wettelijke grondslag hebben;

Overwegende dat het Ministerie van Onderwijs en Vorming, de onderwijskoepels en het GO! in samenwerking met de Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens (hierna VTC), omwille van administratieve vereenvoudiging en planlastvermindering, algemene protocollen hebben ontwikkeld die voor alle onderwijsinstellingen gelden;

Overwegende dat er om dezelfde redenen wordt voorzien in een vereenvoudigde procedure waarbij de onderwijskoepels kunnen worden gemandateerd om na de onderhandelingen zowel hun DPO het advies te laten verlenen als het algemeen protocol te ondertekenen, in naam en voor rekening van de schoolbesturen;

Overwegende dat de algemene protocollen na de ondertekening door de (gemandateerde) partijen worden gepubliceerd op de website van OVSG;

Overwegende dat het schoolbestuur na de ondertekening door de (gemandateerde) partijen drie maanden de tijd heeft om alsnog het algemeen protocol te verwerpen na een negatief advies van de eigen DPO (opt-out);

Overwegende dat in het advies van de VTC (advies ref. VTC/O/2019/01 en ref. VTC/O/2019/07) deze werkwijze met een vereenvoudigde procedure voor de totstandkoming van algemene protocollen en bijbehorende mandatering aan OVSG wordt bevestigd;

Overwegende dat de werkwijze tevens werd goedgekeurd in de Werkgroep Informatieveiligheid VVSG van 25 november 2019;

Overwegende dat het schoolbestuur als verwerkingsverantwoordelijke van de onderwijsinstelling gebonden blijft door de bepalingen opgenomen in het protocol, inclusief de beveiligingsmaatregelen;

Overwegende dat het schoolbestuur een functionaris voor gegevensbescherming (DPO) heeft aangemeld bij de VTC en over een goedgekeurd informatieveiligheidsplan beschikt;

Overwegende dat het vermelde advies VTC ref. VTC/O/2019/07 erop wijst dat de betreffende gegevensuitwisseling expliciet opgenomen moet worden in het register van verwerkingsactiviteiten, met verwijzing naar de maatregelen die worden voorzien in het algemeen protocol;

Overwegende dat het afsluiten van overeenkomsten in principe een bevoegdheid van de gemeenteraad is; dat voorgesteld wordt om snel te kunnen handelen dat de beslissingsbevoegdheid over de algemene protocollen gedelegeerd wordt aan het college van burgemeester en schepenen;

Overwegende dat de algemeen directeur instaat voor het dagelijks beheer van de verwerking van persoonsgegevens van het schoolbestuur; dat hieronder ook de regeling van de toegang van personeelsleden tot (persoons)gegevens vervat zit;