Protocol inzake de gezamenlijke verwerking van persoonsgegevens door Sciensano en de bevoegde agentschappen van de bevoegde gefedereerde entiteiten in het kader van manueel contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19...

Protocol inzake de gezamenlijke verwerking van persoonsgegevens door Sciensano en de bevoegde agentschappen van de bevoegde gefedereerde entiteiten in het kader van manueel contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn

Versie 2.0.

1. Identificatie van de betrokken overheidsinstanties en de respectieve DPO's

1.1. Verwerkingsverantwoordelijken

Deze overeenkomst wordt gesloten tussen de volgende overheidsinstanties die gegevens verwerken in het kader van manueel contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn, hierna de "partijen" genoemd:

1. Sciensano, sui generis openbare instelling met rechtspersoonlijkheid ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0693.876.830, met maatschappelijke zetel in de Juliette Wytsmanstraat 14 te 1050 Elsene en die vertegenwoordigd wordt door Pr. Xxxxxxxxx Xxxxxxx, algemeen directeur.

2. Vlaams Agentschap Zorg en Gezondheid (VAZG), ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0316.380.841 , waarvan de kantoren gelegen zijn Koning Xxxxxx XX laan 35, bus 33 te 0000 Xxxxxxx en die vertegenwoordigd wordt door Xxxx Xx Xxxx, administrateur-generaal.

3. Agence Wallonne pour une Vie de Qualité (AVIQ), ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0646.877.855, waarvan de kantoren gelegen zijn Xxx xx xx Xxxxxxxxx 00, 0000 Xxxxxxxxx (xxxxx) en die vertegenwoordigd wordt door Xxxxxxxxx Xxxxxx, administrateur-generaal.

4. De Gemeenschappelijke Gemeenschapscommissie (GGC), ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0240.682.833, waarvan de kantoren gelegen zijn in de Xxxxxxxxxxxxxx 00, xxx 0, 0000 Xxxxxxx en die vertegenwoordigd wordt door Xxxxxxxx Xxxx, leidend ambtenaar van de Diensten van het Verenigd College (DVC) van de GGC.

5. Het Ministerium der Deutschsprachigen Gemeinschaft (MDG), ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0332.582.613 waarvan de kantoren gelegen zijn in de Xxxxxxxxxxxxxx 0, 0000 Xxxxx en die vertegenwoordigd wordt door Xxxxx Xxxxxx, adjunct-secretaris-generaal.

1.2. Data Protection Officer

De Data Protection Officer van Sciensano kan worden gecontacteerd via xxx@xxxxxxxxx.xx.

De Data Protection Officer van VAZG kan worden gecontacteerd via xxxxxxxxxxxxxxxxxxxx.xx@xxxxxxxxxx.xx.

De Data Protection Officer van AVIQ kan worden gecontacteerd via xxx@xxxx.xx.

De Data Protection Officer van GGC kan worden gecontacteerd via xxxxxxxxxxxxxx@xxx.xxxxxxxx.

De Data Protection Officer van MDG kan worden gecontacteerd via xxxxxxxxxxx@xxxx.xx.

De partijen zijn het volgende overeengekomen:

2. Voorwerp van de overeenkomst

Deze overeenkomst heeft tot voorwerp:

• de vastlegging van de rollen en verantwoordelijkheden van de verschillende verwerkingsverantwoordelijken ten aanzien van de betrokkenen in het kader van manueel contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn, alsook

• de manier waarop zij hun gemeenschappelijke en respectieve verplichtingen nakomen om de naleving van de GDPR te waarborgen.

De hoofdlijnen van deze overeenkomst worden ter beschikking gesteld van de betrokkene. De gezamenlijke verwerking betreft de gegevens in de lijst van bijlage A.

Sciensano is de verwerkingsverantwoordelijke van de Gegevensbanken I en II (zie verder).

De bevoegde deelstatelijke overheden of de door de bevoegde overheden aangeduide agentschappen, ieder voor diens bevoegdheid, treden op als gezamenlijke verwerkingsverantwoordelijken (art. 26 GDPR) voor de Gegevensbanken III en IV (zie verder).

3. Rechtmatigheid en doeleinden van de gezamenlijke verwerking

De vermelde verwerkingen in deze overeenkomst zijn rechtmatig omdat deze verwerkingen: « noodzakelijk zijn voor de vervulling van een taak van algemeen belang» (art. 6, 1, e) GDPR). Deze wettelijke basis voor deze taak is de volgende:

• Het samenwerkingsakkoord van 25 augustus 2020 tussen de Federale staat, de Vlaamse Gemeenschap, het Waalse Gewest, de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie betreffende de gezamenlijke gegevensverwerking door Sciensano en de door de bevoegde gefedereerde entiteiten of door de bevoegde agentschappen aangeduide contactcentra, gezondheidsinspecties en mobiele teams in het kader van een contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn op basis van een gegevensbank bij Sciensano.

Het verbod op de verwerking van gezondheidsgegevens is voor deze verwerkingen niet van toepassing aangezien de doelstellingen gelinkt zijn aan de vervulling van een taak van algemeen belang op het gebied van de volksgezondheid (art. 9.2, i) GDPR), met name de bestrijding van de verspreiding van COVID-19, alsook aan de noodzaak tot wetenschappelijk onderzoek (art. 9.2, j) GDPR).

De gezamenlijke verwerking van persoonsgegevens wordt uitgevoerd voor de volgende doeleinden:

1) De gegevensinzameling en -uitwisseling dienen om de bevestigde besmette personen en de personen bij wie een arts een ernstig vermoeden heeft dat ze besmet zijn, te kunnen opsporen en contacteren - via elke mogelijke manier van communicatie - om hen de nodige aanbevelingen te kunnen geven en om deze personen verder te kunnen opvolgen, alsook om info te verstrekken over de personen met wie zij contact hebben gehad.

2) De gegevensinzameling en -uitwisseling zijn noodzakelijk met het oog op het contacteren van de personen met wie de besmette of vermoedelijke besmette personen (hierna "indexpersonen") in aanraking zijn gekomen, via elke mogelijke manier van communicatie, om hygiëne- en preventierichtlijnen te verstrekken, quarantaine voor te stellen en/of om hen uit te nodigen om getest te worden op het coronavirus COVID-19 alsmede de verdere opvolging hiervan. Het contactcentrum zal eveneens de referentiearts, of bij gebrek aan een referentiearts, de administratief verantwoordelijke van de collectiviteit waar de (vermoedelijk) besmette patiënt deel van uitmaakt contacteren, met het oog op informeren omtrent de (vermoedelijke) besmetting van de persoon die deel uitmaakt van de collectiviteit.

3) De gegevensinzameling en -uitwisseling zijn noodzakelijk zowel voor de bevoegde gezondheidsinspectiediensten van de deelstaten in het kader van hun reglementaire opdrachten, alsook voor de taken die de mobiele teams van de gezondheidsinspectiediensten toebedeeld zullen krijgen. De gezondheidsinspectiediensten zijn deze bedoeld in respectievelijk het decreet van 21 november 2003 betreffende het preventieve gezondheidsbeleid (voor Vlaanderen), het decreet van 2 mei 2019 tot wijziging van het Waalse Wetboek van Sociale Actie en Gezondheid wat betreft de preventie en de bevordering van de gezondheid (voor Wallonië), de ordonnantie van 19 juli 2007 betreffende het preventieve gezondheidsbeleid en het besluit van 23 april 2009 van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie betreffende de profylaxe tegen overdraagbare ziekten (voor Brussel) en het decreet van het Parlement van de Duitstalige Gemeenschap van 1 juni 2004 betreffende de gezondheidspromotie en inzake medische preventie en zijn uitvoeringsbesluiten (voor Duitstalige Gemeenschap). Hieronder valt eveneens het opsporen en onderzoeken van clusters, waarbij mobiele teams worden ingezet om deze clusters in collectiviteiten en leefgemeenschappen op te sporen en daarbij door de respectievelijke deelstaat bepaalde maatregelen te nemen.

4) De gegevensinzameling en -uitwisseling dienen tenslotte om na pseudonimisering van de gegevens, deze ter beschikking te stellen aan de Gegevensbank II met het oog wetenschappelijk, statistisch en/of beleidsondersteunend onderzoek door onderzoeksinstellingen, met inbegrip van Sciensano, in het kader van de strijd tegen het coronavirus COVID-19 en beleid daaromtrent.

De partijen verbinden er zich toe de persoonsgegevens in bijlage A uitsluitend te verwerken voor het/de voormelde doeleinde(n).

4. Beschrijving van de verwerking en de rollen

4.1. Betrokken categorieën van gegevens: (Zie bijlage)

De verwerkingen hebben betrekking op de verzameling, de structurering, de uitwisseling, de (tijdelijke) bewaring, de verwijdering en de pseudonimisering van

• identificatiegegevens

• gezondheidsgegevens

• relationele gegevens (bv. link tussen de patiënt en een contactpersoon in geval van nood, info over huisgenoten in geval besmettingen)

• gegevens betreffende beroep (al dan niet uitoefenen een zorgberoep)

• gegevens betreffende gedrag (al dan niet opvolgen van adviezen, verplaatsingsmethoden, …)

• gegevens betreffende contacten met anderen

• andere nuttige gegevens gelinkt aan contactopsporing voor COVID-19 (bv. het al dan niet gebruiken van een contactopsporingsapplicatie)

4.2. Categorieën van betrokkenen:

Het informatiesysteem voor manuele contactopsporing heeft betrekking op zes categorieën van data subjecten (betrokkenen) :

• Personen Categorie I: de personen voor wie de arts een coronavirus COVID-19 test heeft voorgeschreven.

• Personen Categorie II: de personen bij wie een test op het coronavirus COVID-19 is uitgevoerd.

• Personen Xxxxxxxxx XXX: de personen bij wie de arts een ernstig vermoeden heeft dat ze besmet zijn met het coronavirus COVID-19, zonder dat een test op het coronavirus COVID-19 is uitgevoerd of voorgeschreven of waarbij de test op het coronavirus COVID-19 uitwees dat ze niet besmet waren.

• Personen Categorie IV: de personen met wie (i) de Personen Xxxxxxxxx XX voor zover de coronavirus COVID-19 test uitwees dat ze besmet zijn en (ii) de Personen Xxxxxxxxx XXX; in contact zijn geweest en dit gedurende een periode van veertien dagen voor en na de eerste tekenen van de besmetting met het coronavirus COVID-19 waarbij een bepaalde appreciatiemarge op grond van wetenschappelijke inzichten in rekening kan worden genomen.

• Personen Categorie V: de behandelende artsen van de Personen Categorieën I, II, en III.

• Personen Categorie VI: de referentiearts - of bij gebrek aan een referentiearts bij de desbetreffende collectiviteit - de administratief verantwoordelijke van collectiviteiten waarmee de Personen Categorieën I, II en III gedurende een periode van veertien dagen voor en veertien dagen na de eerste symptomen van de besmetting met het coronavirus COVID-19 waarbij een bepaalde appreciatiemarge op grond van wetenschappelijke inzichten in rekening kan worden genomen in contact is geweest.

Naast gegevens van de personen van categorie I, II, III, IV en V die in het Samenwerkingsakkoord van 25 augustus 2020 werden opgenomen ontvangt Gegevensbank I ook gegevens van reizigers uit risicogebieden die België betreden.

4.3. Middelen van verwerking :

Het informatiesysteem voor de manuele contact tracing bestaat uit vier gegevensbanken :

• Gegevensbank I: de centrale gegevensbank bij Sciensano die gegevensbank II en III voedt, zoals bedoeld in artikel 1, §6° Samenwerkingsakkoord van 25 augustus 2020

• Gegevensbank II: de bestaande gegevensbank bij Sciensano, gebruikt voor wetenschappelijk onderzoek en opgericht bij wet van 10 april 2014 houdende diverse bepalingen inzake gezondheid en de in uitvoering daarvan afgesloten samenwerkingsovereenkomst tussen RIZIV en Sciensano en de wet van 25 februari 2018 tot oprichting van Sciensano;

• Gegevensbank III: de gegevensbank met belorders en orders voor de medewerkers van het contactcentrum van de regionale overheden

• Gegevensbank IV: de gegevensbank met contactgegevens van collectiviteiten Hieronder volgt een beschrijving van de datastromen.

De communicatie van de zorgverstrekkende actoren naar de centrale database van Sciensano ( = gegevensbank I) bestaat uit volgende type boodschappen die vermelde persoonsgegevens kunnen bevatten. Deze type boodschappen zijn:

• testvoorschrift;

• resultaat van de test;

• herbeoordeling van het testresultaat door de arts (in het kader van vals-positieve of vals- negatieve uitslagen);

• verdachte gevallen waarbij geen test werd uitgevoerd (bijvoorbeeld omwille van een weigering of overlijden).

Deze boodschappen worden op geëncrypteerde wijze verzonden via een eFORM beschikbaar via bepaalde medische softwarepakketen. De data in de eForm zullen getransformeerd worden naar een csv-file die vervolgens via eHealthBox naar de centrale database verstuurd wordt. Indien een eForm geen optie is voor de betrokken gegevensverstrekker zal hij een json-file of csv-file direct via eHealthbox kunnen transfereren. Daarnaast voorziet Sciensano ook de mogelijkheid om de files rechtstreeks via SFTP-server te verzenden.

Gegevensbank I van Sciensano transfereert dagelijks via SFTP-server de nodige gegevens naar Gegevensbank III van de regionale overheden zodat hun contactcentrum op basis van orders patiënten met een bevestigde of vermoede diagnose en/of hun contactpersonen in geval van nood kunnen bereiken1. Op zijn beurt bezorgt het contactcentrum aan Gegevensbank I dagelijks via SFTP-server contactgegevens van personen waarmee de patiënt in contact kwam alsook andere informatie met betrekking tot de uitvoering en opvolging van de opdracht van het contactcentrum. Deze aangevulde informatie kan vervolgens worden opgenomen in de nieuwe stroom van dagelijkse orders. De gezondheidsinspecteurs van de regio’s en hun mobiele teams hebben voor hun specifieke taken (o.a. clusterdetectie) zowel toegang tot Gegevensbank I als Gegevensbank III (voor bijvoorbeeld aanvullingen).

Om de callcenterscontactcentra te ondersteunen tijdens een hoge workloadwerklast werd er eind 2021 een webapplicatie ontwikkeld die besmette personen toelaat om hun hoge risisco-contacten digitaal te melden. Deze webapplicatie is beschikbaar op xxx.xxxxxxxxxxxxxx.xx. De gegevens verzameld via deze tool worden gedeeld met Gegevensbank III en I.

1 Hierbij wordt er gebruik gemaakt van de tool Genesys. Meer informatie over de werking en tools van het contactcentrum is beschikbaar via de website xxxxx://xxx.xxxxxx-xxxxxxxx.xxxx/

Omdat personen met een bevestigde of vermoede diagnose van COVID-19 tot een collectiviteit (gedefinieerd als: een gemeenschap van personen met betrekking tot dewelke de bevoegde gezondheidsinspecties oordelen dat er een verhoogd risico op de verspreiding het coronavirus COVID- 19 bestaat) kunnen behoren, is in het belang van besmettingsgevaar contact te kunnen opnemen met een referentiearts of administratief verantwoordelijke van de collectiviteit. Om deze contacten te faciliteren, zullen de regio’s gezamenlijk een gegevensbank met contactgegevens van de collectiviteiten beheren ( = Gegevensbank IV) die met Gegevensbank I gedeeld zullen worden in het kader van de orders.

Wat het wetenschappelijke luik betreft, zullen de gegevens van de COVID-19 database via eHealthbox Codage naar het datawarehouse van xxxxxxxxxx.xx ( = Gegevensbank II) verstuurd worden zodat ze in gepseudonimiseerde vorm bewaard worden voor epidemiologisch onderzoek.

In het kader van datakwaliteit kan Gegevensbank I beroep doen op volgende authentieke bronnen om bepaalde gegevens te verrijken of te verbeteren:

• het Rijksregister en de Kruispuntbankregisters, mits goedkeuring van de minister van Binnenlandse Zaken, voor het verzamelen van ontbrekende identificatiegegevens (voornaam, naam, geslacht, geboortedatum, sterftedatum indien van toepassing en het adres);

• de bron CoBRHA voor accurate identificatiegegevens van de betrokken artsen en zorginstellingen;

• de bron DMG DB biedt in geval van vermoede besmettingen zonder test of noodsituaties waarbij een persoon niet bereikt kan worden, de mogelijkheid tot identificatie van de huisarts;

• de ledengegevens van de mutualiteiten (via het NIC) voor ontbrekende telefoonnummers en mailadressen van personen met een vermoede of bevestigde besmetting met COVID-19.

Gaandeweg doorheen de crisis werden er ook nieuwe authentieke bronnen toegevoegd:

• Gegevensbank PLF2 van de FOD Volksgezondheid om personen met een bepaald risicoprofiel na reizen te identificeren voor contactopsporing ;

• de CTPC databank3 om testvoorschriften voor bepaalde actoren en situaties te ontvangen ;

• Vaccinnet+4: persoonsgegevens met betrekking tot de vaccinaties kunnen een impact hebben op contactopsporing. Enerzijds op de selectie voor welke personen er gegevens gedeeld moeten worden met het bevoegde contactcentrum, anderzijds op de adviezen die door het contactcenter dienen te worden gegeven aan contacten. Deze adviezen kunnen verschillen naargelang iemand al dan niet gevaccineerd is en eventueel ook naargelang het type vaccin.

2 PLF = Passenger Locator Form. Voor de uitwisseling met databank I zie art. 17, §5 van het Koninklijk besluit van 28 oktober 2021 houdende de nodige maatregelen van bestuurlijke politie teneinde de gevolgen voor de volksgezondheid van de afgekondigde epidemische noodsituatie betreffende de coronavirus COVID-19 pandemie te voorkomen of te beperken en artikel 22 van het Samenwerkingsakkoord van 14 juli 2021 tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waalse Gewest en de Franse Gemeenschapscommissie betreffende de verwerking van gegevens met betrekking tot het digitaal EU- COVIDcertificaat, het Covid Safe Ticket, het PLF en de verwerking van persoonsgegevens van in het buitenland wonende of verblijvende werknemers en zelfstandigen die activiteiten uitvoeren in België

3 De CTPC gegevensbank is de gegevensbank met de corona test prescription codes. De corona test prescription code (CTPC), ook activatiecode genoemd, is een code die wordt toegekend aan personen die moeten worden getest op besmetting met COVID-19, zoals vermoedelijk besmette personen, hoogrisicocontacten van een besmet persoon of personen die uit het buitenland aankomen in België en gedurende de voorbij x dagen hebben verbleven in een rode of oranje zone. De CTPC reservatietool en de achterliggende gegevensbank faciliteert onder andere de uitwisseling van voorschriftgegevens van de triagecentra, collectiviteitsartsen en bedrijfsartsen met Gegevensbank I.

4 Toegevoegd als authentieke bron naar aanleiding van het Samenwerkingsakkoord van 12 maart 2021 tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waalse Gewest en de Franse Gemeenschapscommissie betreffende de verwerking van gegevens met betrekking tot vaccinaties tegen COVID-19.

4.4. Categorieën van ontvangers

Het contactcentrum: de call agents en veldwerkers van contactcentra van de regionale overheden (VAZG, AVIQ, GGC, MDG) verkrijgen toegang tot de identificatie- en contactgegevens van de patiënten met een bevestigde of vermoede diagnose van COVID-19 en/of hun vertegenwoordigers. Verder verkrijgen ze voor hun taken en communicatie met de betrokkenen ook informatie over de taal, de collectiviteit waartoe de personen met een bevestigde of vermoede diagnose behoren alsook beperkte informatie over de labotesten (wanneer, resultaat) of de beslissing van een huisarts om een diagnose te vermoeden. Daarnaast heeft het contactcentrum toegang tot de gegevens die het via haar communicatie-activiteiten zelf verzamelt. Daarbij gaat het over de gegevens van personen waarmee de patiënt met een bevestigde of vermoede diagnose van COVID-19 in contact is geweest alsook de gegevens van referentieartsen of administratief verantwoordelijken van collectiviteiten. Deze gegevens verkrijgen zij van Gegevensbank III.

De gezondheidspreventieinspectiediensten van de gewesten en/of hun mobiele teams: de gezondheidspreventieinspectiediensten en/of hun mobiele teams kunnen in het kader van hun preventiemaatregelen ter verspreiding van de infectieziekte COVID-19 toegang krijgen tot alle verzamelde gegevens van de personen met een voorgeschreven coronatest, een bevestigde of vermoede diagnose van COVID-19 alsook hun vertegenwoordigers, de personen waarmee ze in contact kwamen, hun behandelend artsen en de referentieartsen of administratief verantwoordelijken van de collectiviteiten waartoe men behoort of in contact kwam. Deze gegevens verkrijgen zij via toegang tot Gegevensbank I.

Rijksdienst Sociale Zekerheid5 : Met het oog op het ondersteunen van het opsporen en onderzoeken van clusters en collectiviteiten om de verspreiding van het coronavirus COVID-19 te bestrijden, kan de Rijksdienst voor Sociale Zekerheid in de hoedanigheid van verwerker ten behoeve van de bevoegde gefedereerde entiteiten of de door bevoegde entiteiten aangeduide agentschappen, die ieder voor hun bevoegdheid, optreden als verwerkingsverantwoordelijke, de bepaalde persoonsgegevens uit Gegevensbank I van Personen Xxxxxxxxx XX voor zover de coronavirus COVID-19-test uitwees dat ze besmet zijn, verwerken, samenvoegen en vergelijken met identificatie- en tewerkstellingsgegevens. Deze gegevens verkrijgt zij van Gegevensbank I.

Wetenschappers van Sciensano en andere onderzoeksinstellingen: wetenschappers zullen via een aparte omgeving enkel toegang krijgen tot gepseudonimiseerde of anonieme gegevens van de betrokken patiënten en personen waarmee deze patiënten in contact kwamen. Dat wil zeggen dat zij geen rijksregisternummers, namen, voornamen, telefoonnummers noch volledige adresgegevens, geboortedata of sterftedata zullen verkrijgen. Zij zullen met andere woorden de identiteit van de betrokken patiënten en personen waarmee zij in contact kwamen niet kennen. Wat de informatie over de collectiviteiten betreft, zullen zij enkel het type en de postcode verkrijgen. Op basis van deze gepseudonimiseerde of anonieme gegevens zullen zij wetenschappelijke en statistische inzichten kunnen verwerven over de verspreiding van COVID-19. Deze gegevens verkrijgen zij van de (gepseudonimiseerde) gegevensbank II. Toegang tot de gepseudonimiseerde gegevens voor

5 Artikel 2 van het Samenwerkingsakkoord van 31 mei 2021 tussen de Federale Staat, de Vlaamse Gemeenschap, de Duitstalige Gemeenschap, het Waalse Gewest en de Gemeenschappelijke Gemeenschapscommissie betreffende bijzondere verwerkingen van persoonsgegevens met het oog op het opsporen en onderzoeken van clusters en collectiviteiten, met het oog op de handhaving van de verplichte quarantaine en testing en met het oog op het toezicht op de naleving door de bevoegde sociaal inspecteurs van de maatregelen om de verspreiding van het coronavirus COVID-19 tegen te gaan op de arbeidsplaatsen

wetenschappelijk onderzoek is enkel mogelijk mits toestemming van het Informatieveiligheidscomité Sociale Zekerheid & Gezondheid.

4.5. Bewaringstermijn van de gegevens:

De gegevens in gegevensbank I worden uiterlijk 60 dagen na het opslaan ervan worden gewist. Een uitzondering op deze algemene bewaartermijn betreft het rijksregisternummer, de datum, het resultaat, het staalnummer en het type van de coronavirus COVID–19-test en uitvoerend labo van de personen voor wie een COVID-19 test werd uitgevoerd. Deze gegevens worden gewist uiterlijk 5 dagen na de dag van publicatie van het koninklijk besluit dat het einde van de toestand van de coronavirus COVID–19-epidemie afkondigt. Deze gegevens zijn langer nodig in het kader van de huidige COVID19 vaccinatiecampagne.

De persoonsgegevens uit de Gegevensbank III worden dagelijks gewist.

De persoonsgegevens uit de Gegevensbank IV worden na de publicatie van het koninklijk besluit dat het einde van de toestand van het coronavirus COVID-19 epidemie afkondigt, overgedragen aan de bevoegde gefedereerde entiteiten voor de uitoefening van hun bevoegdheid inzake het opsporen van besmettelijke infectieziekten in het kader van de materiële bevoegdheden inzake preventieve gezondheidszorg

Met uitzondering van Gegevensbanken II en IV, worden de Gegevensbanken en de werking ervan in elk geval door de verwerkingsverantwoordelijke gedesactiveerd en opgeheven of gewist ten laatste vijf dagen na de dag van publicatie van het koninklijk besluit dat het einde van de toestand van de coronavirus COVID-19-epidemie afkondigt. De persoonsgegevens van Gegevensbank IV worden overgedragen aan de gefedereerde entiteiten binnen de vijf dagen na de dag van publicatie van het koninklijk besluit dat het einde van de toestand van de coronavirus COVID-19-epidemie afkondigt.

De gepseudonimiseerde persoonsgegevens uit Gegevensbank II worden gewist conform de algemeen aanvaarde termijn voor het bewaren van gegevens betreffende de gezondheid en in het kader van wetenschappelijk onderzoek met betrekking tot gezondheidsgegevens, met name dertig jaar.

Deze bewaartermijnen zijn wettelijk bepaald (zie art. 15 van het Samenwerkingsakkoord van 25 augustus 2020 en artikel 6 van het Samenwerkingsakkoord van 12 maart 2021).

4.6. Respectieve rollen en respectieve verplichtingen van de verwerkingsverantwoordelijken

Sciensano is verwerkingsverantwoordelijke voor Gegevensbanken I & II. Binnen deze rol is Sciensano verplicht tot het

• opnemen van de verwerkingen in zijn verwerkingsregister

• het opstellen van een gegevensbeschermingseffectbeoordeling (eventueel in samenwerking met de betrokken regionale overheden)

• het bijhouden van een incidentenregister

• het nemen van organisatorische en technische maatregelen ter bescherming van de persoonsgegevens

• het afsluiten van verwerkingsovereenkomsten met verwerkers

• het informeren van data subjecten alsook het tegemoetkomen aan vragen ter uitoefening van de rechten van de betrokkenen

Het Vlaams Agentschap Zorg & Gezondheid, Agence Wallonne pour une Vie de Qualité, het ministerie van de Duitstalige Gemeenschap en de Gemeenschappelijke Gemeenschapscommissie zijn gezamenlijke verwerkingsverantwoordelijken voor Gegevensbanken III & IV. Binnen deze rol zijn zij verplicht tot het

• opnemen van de verwerkingen in hun verwerkingsregister

• het opstellen van een gegevensbeschermingseffectbeoordeling (eventueel in samenwerking met Sciensano)

• het bijhouden van een incidentenregister

• het nemen van organisatorische en technische maatregelen ter bescherming van de persoonsgegevens

• het afsluiten van verwerkingsovereenkomsten met verwerkers

• het informeren van data subjecten alsook het tegemoetkomen aan vragen ter uitoefening van de rechten van de betrokkenen

4.7. Informatie voor de betrokkenen (overeenkomstig de artikelen 13 en 14 van de GDPR)

De personen waarop de verwerkingsactiviteiten betrekking hebben, ontvangen de vereiste informatie op het moment dat de persoonsgegevens bij de betrokkenen worden verzameld, of binnen de vereiste termijnen wanneer de gegevens niet van de betrokkenen zijn verkregen, en dat overeenkomstig artikelen 12 tot 14 van de GDPR.

In dit geval spreken de partijen af dat deze informatie met betrekking tot deze verwerking(en) op de volgende manier zal worden meegedeeld:

• Sciensano publiceert een privacyverklaring op haar eigen website (xxxxx://xxx.xxxxxxxxx.xx/xx/xxxxxx-xxxxxx/xxxxxxxxxxx/xxxx) en op de algemene website xxxxx://xxx.xxxx-xxxxxxxxxxx.xx/ van de FOD Volksgezondheid. Aanpassingen aan deze privacyverklaringen (bv. updates) zullen worden meegedeeld aan de andere verwerkingsverantwoordelijken.

• De deelstaten publiceren hun privacyverklaringen via onderstaande websites. Wijzigingen zullen onderling en met Sciensano gedeeld worden:

-VAZG: xxxxx://xxx.xxxx-xx-xxxxxxxxxx.xx/xxxxxxx-xxx-xxxxxxxxxxxxxxxx

-GGC: xxxxx://xxx.xxx- xxx.xxxxxxxx/sites/default/files/Covid19/nl/privacyverklaring_contactonderzoek_covid19_nl_ 01122021.pdf (NL); xxxx://xxx.xxx- xxx.xxxxxxxx/sites/default/files/Covid19/fr/privacyverklaring_contactonderzoek_covid19_fr_ 01122021.pdf (FR)

-AVIQ: Déclaration de confidentialité relative au traitement de données à caractère personnel au nom et pour le compte de l’AVIQ par le centre d’appels dans le cadre de la lutte contre la propagation du coronavirus COVID-19

-MDG:xxx.xxxxxxxxxxxxxx.xx/xxxxxxxxxxx/; xxxxx://xxx.xxxxxxxxxxxxxx.xx/xxxxxxxxxxxxxx.xxxx/xxxxx-0000/

4.8. Uitoefening van de rechten van de betrokkenen:

De personen waarvan de persoonsgegevens worden verwerkt kunnen hun rechten uitoefenen met betrekking tot en jegens Sciensano voor Gegevensbanken I en II en jegens iedere gezamenlijke verwerkingsverantwoordelijke zoals gepreciseerd in artikel 26.3 van de GDPR, zijnde VZAG, AVIQ, GGC en MDG voor Gegevensbanken III en IV.

De gegevensverwerkingen kunnen het voorwerp uitmaken van wettelijke beperkingen die van toepassing zijn op de rechten van de betrokkenen. Afhankelijk van de vraag kunnen de rechten van de betrokkenen dientengevolge gelimiteerd zijn overeenkomstig de volgende wettelijke beperkingen:

• geen recht op de wissing van gegevens voor het vervullen van een taak van algemeen belang dat aan de verwerkingsverantwoordelijke is verleend (art. 17 §3 b) GDPR).

• geen recht op de wissing van gegevens om redenen van algemeen belang op het gebied van volksgezondheid waaronder de bescherming tegen grensoverschrijdende (art. 17 §3 c) GDPR)

• geen recht op overdraagbaarheid van de gegevens aangezien de verwerking niet op toestemming of een overeenkomst berust (art. 20 §1 a)).

• geen recht op bezwaar ten aanzien van de verwerking van de gegevens in het kader van wetenschappelijk onderzoek en statistische doeleindenovereenkomstig artikel 89, lid 1 GDPR aangezien de inzichten over COVID-19, een epidemie met een grote sociale en economische impact op de Belgische samenleving, zich situeren binnen een taak van algemeen belang(art. 21 §6 GDPR).

De verwerkingsverantwoordelijken verlenen elkaar bijstand in het kader van de uitoefening van de aan de betrokkenen toegekende rechten. Deze bijstand wordt onmiddellijk na het eerste verzoek verleend.

De partijen komen hierbij de volgende afspraken overeen :

• De wijze van contactopname (bv. mailadres DPO, webformulier, brief) voor vragen inzake rechten worden gepreciseerd in de privacyverklaringen van de verwerkingsverantwoordelijken.

• De deelstatelijke autoriteiten zullen, gelet op hun bevoegdheden inzake contactopsporing, een leidende rol opnemen inzake vragen met betrekking tot de uitoefening van de rechten. Hun contactcentra, gezondheidsinspectiediensten en/of mobiele teams komen namelijk direct in aanraking met de data subjecten. Er wordt dan ook verwacht dat de meeste vragen bij de deelstaten terecht zullen komen. Sciensano, als verwerkingsverantwoordelijke van Gegevensbank I & II, heeft daarbij een faciliterende rol ten aanzien van de deelstatelijke autoriteiten.

• Indien Sciensano rechtstreeks vragen van data subjecten ontvangt, dan licht zij, afhankelijk van de deelstaat van het datasubject, de betrokken deelstatelijke overheid in over een vraag tot uitoefening van de rechten. Het delen van de informatie over de vraag tussen Sciensano en de betrokken deelstatelijke overheid wordt daarbij meegedeeld aan het data subject.

• De verschillen in bewaartermijnen tussen de verschillende gegevensbanken kunnen bepalen welke verwerkingsverantwoordelijke acties moet ondernemen om inzage tot gegevens of rectificatie van gegevens uit te voeren. Iedere partij is daarbij verantwoordelijk om, indien technisch mogelijk, data in zijn gegevensbank(en) te verbeteren en/of een papieren of elektronisch afschrift van de gegevens ter inzage aan te leveren.

• Afhankelijk van de context van de vraag (bv. vragen naar aanleiding van contactopnames door contactcentra of vragen over het wetenschappelijke luik van contactopsporing) zal er tussen de DPO van Sciensano en de DPO van de betrokken deelstatelijke overheid/overheden worden afgestemd, wie het best geplaatst is om de betrokkene een afdoend antwoord te bezorgen.

5. Gemeenschappelijke verplichtingen

5.1. Samenwerking en verplichting tot verlenen van bijstand of advies

De partijen verbinden zich ertoe om zo goed mogelijk samen te werken om hun respectieve verplichtingen inzake de gegevensbescherming na te leven en te doen naleven overeenkomstig de Europese en nationale reglementering betreffende de bescherming van persoonsgegevens.

De partijen mogen niets doen, noch nalaten te doen wat tot gevolg zou hebben dat een andere partij zich in een situatie van schending van zijn GDPR verplichtingen zou bevinden.

De partijen verwittigen alle andere partijen onmiddellijk indien zij van mening zijn dat een verwerking, een activiteit of een verzuim een schending inhoudt van de reglementering inzake de bescherming van persoonsgegevens.

5.2. Vertrouwelijkheid

De partijen en hun eventuele verwerkers waarborgen de vertrouwelijkheid van de gegevens en de resultaten van de verwerkingen die worden bekomen in het kader van deze overeenkomst. Dat impliceert met name dat ze enkel die personeelsleden die deze persoonsgegevens absoluut nodig hebben voor de uitvoering van deze overeenkomst, toegang verlenen tot deze gegevens. De partijen zorgen er ook voor dat de personen die gemachtigd zijn om deze gegevens te verwerken, geïnformeerd zijn over het geldende wettelijk kader.

Deze vertrouwelijkheidsverplichting blijft zelfs na het einde van de in deze overeenkomst bedoelde verwerking gelden.

5.3. Beveiliging

De middelen, producten, toepassingen of diensten van de partijen zijn onderhevig aan het principe van gegevensbescherming door ontwerp en door standaardinstellingen zoals vastgelegd in artikel 25 van de GDPR.

Overeenkomstig de artikelen 32 tot 34 van de GDPR verbinden de partijen zich ertoe hun persoonsgegevens te beschermen tegen elke schending van de veiligheid die, hetzij per ongeluk, hetzij onrechtmatig, leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot de desbetreffende gegevens.

Door de ondertekening van deze overeenkomst bevestigen de partijen de nodige technische en organisatorische beveiligingsmaatregelen te hebben genomen en zich ervan vergewist hebben dat de ICT-infrastructuren waarmee de bij de verwerking van de persoonsgegevens betrokken uitrustingen verbonden zijn, de vertrouwelijkheid, de integriteit en de beschikbaarheid van die persoonsgegevens garanderen. Voor deze ICT-infrastructuren doen zij een beroep op een verwerker, namelijk SMALS vzw.

De te nemen beveiligingsmaatregelen, door elke partij, houden het volgende in:

a. de uitwerking van een gedocumenteerd, gevalideerd en een voor de betrokken werknemers toegankelijk informatiebeveiligingsbeleid;

b. de naleving van de relevante normen geïnspireerd op ISO 27001, 27002 en de richtsnoeren informatieveiligheid van de Kruispuntbank Social Zekerheid;

c. indien nodig, de aanwijzing van een informatieveiligheidsadviseur;

d. de aanwijzing van een functionaris voor gegevensbescherming (DPO);

e. gegevensbescherming door ontwerp en door standaardinstellingen;

f. de uitvoering van gegevensbeschermingseffectbeoordelingen (DPIA);1

g. het sensibiliseren en informeren van de werknemers inzake de bescherming van persoonsgegevens, over de risico's in verband met de verwerking, het beleid en de rol van de werknemers.

5.4. Audit

De partijen kunnen op regelmatige tijdstippen audits organiseren met betrekking tot de verwerkingen van persoonsgegevens en de informatiesystemen waarvoor zij verantwoordelijk zijn.

Wanneer de resultaten van de audit, elementen betreffende de verwerkingen van persoonsgegevens en/of informatiesystemen waarvoor de andere partij verantwoordelijk is, aan het licht brengen, wordt deze partij hiervan op de hoogte gebracht door de partij die de audit heeft laten uitvoeren.

5.5. Onderaanneming

De partijen informeren elkaar over de verwerkers waarop zij beroep doen alsook de mogelijke wijzigingen met betrekking tot die verwerkers. Iedere verwerkingsverantwoordelijke is conform de GDPR verantwoordelijk voor het afsluiten van overeenkomsten met deze verwerker(s).

5.6. Inbreuken in verband met gegevens

Wanneer één van de gezamenlijke verantwoordelijken vaststelt dat er sprake is van een inbreuk in verband met verwerkte persoonsgegevens die waarschijnlijk een risico inhoudt voor de rechten en vrijheden van de betrokkenen, volgt hij de procedure hieronder, bedoeld om de Gegevensbeschermingsautoriteit te informeren:

Indien de verwerkingsverantwoordelijke die de inbreuk heeft vastgesteld, deze ook heeft veroorzaakt, brengt hij indien nodig en wanneer hij er redelijk zeker van is dat er sprake is van een inbreuk in verband met persoonsgegevens, de Gegevensbeschermingsautoriteit daarvan binnen de 72 uur op de hoogte.

Indien de verwerkingsverantwoordelijke die de inbreuk in verband met persoonsgegevens heeft vastgesteld, niet verantwoordelijk is voor de inbreuk, informeert hij onmiddellijk de desbetreffende verwerkingsverantwoordelijke daarover die op zijn beurt, indien nodig, binnen de 72 uur de Gegevensbeschermingsautoriteit moet informeren. De termijn van 72 uur begint te lopen wanneer één van de gezamenlijke verantwoordelijken er redelijk zeker van is dat er sprake is van een inbreuk in verband met persoonsgegevens.

Indien de inbreuk in verband met persoonsgegevens een hoog risico inhoudt voor de rechten en vrijheden van de betrokkene, moet de hierna vermelde verwerkingsverantwoordelijke, op grond van en overeenkomstig artikel 34 van de GDPR, de betrokkene daarvan op de hoogte brengen.

Het meest geschikte communicatiekanaal voor deze kennisgeving wordt bepaald:

- Door de gezamenlijke verantwoordelijke belast met de kennisgeving aan de betrokkene(n).

De DPO van de verwerkingsverantwoordelijke waarbij de inbreuk in verband met gegevens werd vastgesteld, neemt contact op met de bevoegde diensten om het risico dat de inbreuk in verband met persoonsgegevens inhoudt, te beperken, om zich ervan te verzekeren dat de nodige stappen worden gezet om de persoonsgegevens te beveiligen en om te vermijden dat een dergelijke inbreuk in verband met persoonsgegevens zich opnieuw voordoet.

Als de inbreuk bovendien gevolgen heeft voor de beschikbaarheid van de informatie- en/of communicatiesystemen, informeert de partij die daarvan op de hoogte is, de informaticadienst van de andere partij.

De partijen verbinden er zich toe elkaar te helpen wanneer een inbreuk in verband met de gegevens van de in deze overeenkomst bedoelde verwerking zou worden vastgesteld, om de inbreuk zonder onredelijke vertraging en zo efficiënt mogelijk aan te pakken.

De DPO van de verwerkingsverantwoordelijke waarbij de inbreuk in verband met gegevens werd vastgesteld, houdt een register van de inbreuken in verband met persoonsgegevens.

5.7. Oplossen van verzoeken of klachten met betrekking tot de verwerking van persoonsgegevens

Indien één van de verwerkingsverantwoordelijken op de hoogte is van een bij een toezichthoudende autoriteit of bij de hoven en rechtbanken ingediende klacht of een verzoekschrift betreffende de verwerking(en) van persoonsgegevens waarop deze overeenkomst betrekking heeft, informeert hij de andere verwerkingsverantwoordelijke(n) daarover zonder onredelijke vertraging.

6. Diverse verantwoordelijkheden en verplichtingen

Elke verwerkingsverantwoordelijke vrijwaart de andere verantwoordelijken tegen elke actie die voortvloeit uit het niet-nakomen van zijn specifieke verplichtingen, zoals hierin beschreven, en tegen alle schadelijke gevolgen van zijn handelingen.

7. Uitvoering van de overeenkomst tussen de partijen.

De partijen verbinden zich ertoe deze overeenkomst te goeder trouw en in overeenstemming met alle toepasselijke bepalingen uit te voeren.

Indien zich een situatie zou voordoen waarin in deze overeenkomst niet is voorzien, verbinden de partijen zich ertoe deze in de geest van de geldende bepalingen en van deze overeenkomst op te lossen.

Indien één of meerdere bepalingen van deze overeenkomst geheel of gedeeltelijk nietig of buiten toepassing zouden worden verklaard, heeft de nietigverklaring van deze bepaling(en) geen gevolgen voor de geldigheid van de andere bepalingen of voor de overeenkomst in zijn geheel. In dat geval verbinden de partijen zich ertoe te onderhandelen over een nieuwe geldige bepaling die gelijkwaardig is aan de nietig of buiten toepassing verklaarde bepaling en dat binnen de kortst mogelijke termijn.

8. Toepasselijk recht en bevoegde rechter

Deze overeenkomst is onderhevig aan het Belgisch recht.

In geval van een geschil in verband met de interpretatie en/of de uitvoering van deze overeenkomst, wordt bepaald dat de partijen de voorrang geven aan onderhandeling om te proberen het conflict op te lossen.

In geval van mislukking van de onderhandeling, verklaren de partijen dat dit geschil onder de exclusieve bevoegdheid van de rechtbanken van Brussel zal vallen.

9. Evaluatie, herziening en eventuele opzegging van de overeenkomst

Deze overeenkomst kan enkel schriftelijk gewijzigd worden met het akkoord van de verschillende verwerkingsverantwoordelijken. Alle aanpassingen zullen in werking treden vanaf de datum die in de aangepaste overeenkomst vastgelegd zal worden.

Indien de partijen het nodig achten, zal deze overeenkomst herzien worden (bijvoorbeeld indien het regelgevend kader wijzigt).

10. Duur en inwerkingtreding van de overeenkomst

Deze overeenkomst heeft uitwerking vanaf 1 juli 2020 en wordt gesloten tot de dag van de publicatie van het koninklijk besluit dat het einde van de toestand van de coronavirus COVID-19 epidemie afkondigt.

Deze overeenkomst vormt de gehele overeenkomst tussen de Partijen en vervangt derhalve het “Protocol inzake de gezamenlijke verwerking van persoonsgegevens door Sciensano en de bevoegde agentschappen van de bevoegde gefedereerde entiteiten in het kader van manueel contactonderzoek bij personen die (vermoedelijk) met het coronavirus COVID-19 besmet zijn” van 1 juli 2020.

Deze overeenkomst zal gedurende de volledige duur van de verwerking van de persoonsgegevens waarvan sprake is, van kracht zijn.

Opgemaakt te Brussel in 5 exemplaren.

Voor Sciensano Xxxxxxxxx Xxxxxxx, Algemeen directeur	Voor VAZG Xxxx Xxxxxx, Administrateur-generaal	Voor GGC Xxxxxxxx Xxxx, Leidend ambtenaar van de DVC
Voor XXXX Xxxxxxxxx Xxxxxx, Administrateur-generaal	Voor MDG Xxxxx Xxxxxx, Adjunct-secretaris-generaal

Bijlage A

Categorieën( van) verwerkte persoonsgegevens & motivatie in het kader van data minimalisatie

1. MATRIX VAN DE VERWERKINGEN

Betrokken actoren
Verwerkingen	Sciensano	VAZG, AVIQ, GGC, MDG
	Collectie & transfer van identificatiegegevens, gezondheidsgegevens, relationele gegevens en gegevens over beroep van personen van categorie I, II & III bij zorgverstrekkende actoren of verkregen via de CTPC databank + structurering van deze gegevens in gegevensbank I	Ontvangst van identificatiegegevens, gezondheidsgegevens, relationele gegevens en gegevens over beroep van personen van categorie I, II & III verzameld via zorgverstrekkende actoren + structurering & tijdelijke bewaring van deze gegevens in gegevensbank III
	Ontvangst & transfer van identificatiegegevens, gezondheidsgegevens, relationele gegevens, gegevens over beroep, gegevens over gedrag of andere gegevens nuttig inzake contactopsporing van personen van categorie II, III & IV verzameld via het contactcentrum, de webapplicatie voor hoogrisico-contacten, de gezondheidsinspectiedienst en/of het mobiele team van de regionale overheden + structurering & tijdelijke bewaring van deze gegevens in gegevensbank I	Collectie & transfer van identificatiegegevens, gezondheidsgegevens, relationele gegevens, gegevens over beroep, gegevens over gedrag of andere gegevens nuttig inzake contactopsporing van personen van categorie II, III & IV door het contactcentrum, de gezondheidsinspectiedienst en/of het mobiele team van de regionale overheden + structurering & tijdelijke bewaring van deze gegevens in gegevensbank III
	Collectie & transfer van identificatiegegevens van personen van categorie V bij zorgverstrekkende actoren + structurering & tijdelijke bewaring van deze gegevens in gegevensbank I	Ontvangst van identificatiegegevens van personen van categorie V verzameld via zorgverstrekkende actoren + structurering & tijdelijke bewaring van deze gegevens in gegevensbank III
	(Remote) toegang bieden tot (regionale) data in Gegevensbank I voor de gezondheidsinspectiediensten van de deelstaten	(Remote) bezichtigen van (regionale) data in Gegevensbank I door de gezondheidsinspectiediensten van de deelstaten
	Verrijking en/of verbetering van identificatiegegevens van personen van categorie I, II, III, IV of V via authentieke bronnen (Nationaal Register, NIC, CoBRHA, DMG DB, Vaccinnet+) + structurering & tijdelijke bewaring van deze gegevens in gegevensbank I	Ontvangst van verrijkte en/of verbeterde identificatiegegevens van personen van categorie I, II, III, IV of V via authentieke bronnen + structurering & tijdelijke bewaring van deze gegevens in gegevensbank III
	Ontvangst & transfer van identificatiegegevens van personen van categorie VI verzameld door de regionale overheden + structurering & tijdelijke	Collectie van identificatiegegevens van personen van categorie VI door de regionale overheden + structurering & bewaring van deze gegevens in gegevensbank IV

	bewaring van deze gegevens in gegevensbank I
	Verwijdering van gegevens in gegevensbank I	Verwijdering van alle gegevens in gegevensbank III
	Ontvangst en transfer van identificatiegegevens uit de PLF-databank voor reizigers met een hoogrisico-profiel die tracing vergen + structurering & tijdelijke bewaring van deze gegevens in gegevensbank I	Ontvangst van identificatiegegevens van reizigers met een hoog risicoprofiel door de regionale overheden + structurering & tijdelijke bewaring van deze gegevens in gegevensbank II
	Transfer van gegevens, m.b.v. TTP dienst voor pseudonimisering, naar een apart datawarehouse (=gegevensbank II) + structurering & bewaring van deze geautoriseerde, gepseudonimiseerde gegevens van personen van categorie I, II, III, IV en reizigers (PLF) alsook en van niet- gepseudonimiseerde identificatiegegevens van personen van categorie V	/
	Transfer van identificatiegegevens en (beperkte set) gezondheidsgegevens van personen categorie II (indien positief testresultaat) en III naar RSZ voor hun ondersteuningsopdracht van de regio’s inzake clusterdetectie werknemers

2. OVERZICHT & MOTIVATIE VAN DE GEGEVENSCATEGORIEEN

Finaliteiten met betrekking tot de contactopsporing door het contactcentrum (data ontvanger

= medewerkers contactcentrum)

- Rijksregisternummer van de patiënt of de personen waarmee hij/zij in contact kwam: eenduidige identificatie van de patiënten en het linken van de verzamelde gegevens met authentieke bronnen.

- Naam, voornaam, (mail)adres, telefoonnummer(s), geboortedatum, geslacht alsook andere informatie om nuttig contact te leggen (bv. taal) met de patiënt of personen waarmee de patiënt in contact kwam: gegevens ter facilitering van contactopnames om informatie voor contactopsporing te verkrijgen.

- Naam, voornaam en telefoonnummer van de wettelijke vertegenwoordiger of contactpersoon van de patiënt in geval van nood en diens relatie met de patiënt (bv. partner, xxxxx, voogd, bewindvoerder, …): gegevens ter facilitering van contactopnames om informatie voor contactopsporing te verkrijgen.

- Sterftedatum: noodzakelijk om te vermijden dat het call center personen, die ondertussen overleden zijn, probeert te bereiken.

- de vermoedelijke diagnose van besmetting met het coronavirus COVID-19; in geval van een testresultaat op grond waarvan geen besmetting kon worden vastgesteld, de mogelijke beslissing tot overruling hiervan door een arts; resultaat van de test: gegevens ter facilitering van het gesprek met de indexpatiënt.

- Collectiviteit waartoe de patiënt behoort of in contact mee is gekomen en contactgegevens van de referentiearts of administratief verantwoordelijke van de collectiviteit: noodzakelijk om de context van de besmettingsrisico’s in te schatten voor contactopsporing.

- Aanvang van en soort symptomen, toepassing van hygiëne maatregelen, opvolging van adviezen (bv. doktersbezoek, zelfisolatie, social distancing), info over verplaatsingen, etc.: noodzakelijke informatie om het besmettingsrisico in te schatten en opvolging te organiseren

- De relevante criteria voor inschatting voor hoog of laag besmettingsrisico: noodzakelijke informatie om het besmettingsrisico in te schatten en de contactopvolging te organiseren.

- Het loutere feit dat er tussen de patiënt en de contactpersonen een contact is geweest, met inbegrip van het deel uitmaken van het huishouden van de patiënt: noodzakelijke informatie om het besmettingsrisico in te schatten en de contactopvolging te organiseren.

- De aanduiding van het al dan uitoefenen van het beroep van zorgverlener: noodzakelijke informatie om het besmettingsrisico in te schatten en de contactopvolging te organiseren.

- Nummer, status, resultaat, duur van de contactopnames met de patiënt, zijn wettelijke vertegenwoordiger/contactpersoon in geval van nood of personen waarmee hij in contact kwam door het contactcentrum, de gezondheidsinspectiedienst en/of mobiele teams: noodzakelijk voor de planning en opvolging van de activiteiten inzake contactopsporing door de gemandateerde actoren van de regio’s

- Het al dan niet gebruik maken van een digitale contactopsporingsapplicatie: nuttige informatie om te weten of personen waarmee de patiënt in contact kwam met behulp van een applicatie gewaarschuwd kunnen worden.

- Gegevens met betrekking tot vaccinaties, met name type vaccin en datum van toediening: belangrijke informatie voor risico-inschattingen inzake besmettelijkheid en mogelijke differentiatie inzake adviezen na een risico-contact.

Finaliteiten inzake de initiatieven gezondheidsinspectiediensten & mobiele teams (data ontvanger = gezondheidsinspectiediensten & mobiele teams van de gemeenschappen)

- RIZIV-nummer van de voorschrijvende arts of arts die een negatief test resultaat overruled: eenduidige identificatie van de arts om in geval van nood bijkomende informatie over de verstrekte gegevens bij contactopname mogelijk te maken.

- Het al dan niet uitoefenen van het beroep van zorgverlener en contacten met kwetsbare groepen: variabele voor informatie over potentiële verspreiding van het virus binnen de zorg- en welzijnssector

- RIZIV-nummer, afdeling en locatie ziekenhuis: eenduidige identificatie van het ziekenhuis om in geval van nood bijkomende informatie over de verstrekte gegevens bij contactopname of gezondheidspreventieve acties ten aanzien van het ziekenhuis mogelijk te maken.

- RIZIV-nummer labo: eenduidige identificatie van het labo om indien nodig bijkomende informatie over de verstrekte gegevens bij contactopname mogelijk te maken.

- Naam, voornaam, adres, telefoonnummer(s), geboortedatum, taal en geslacht patiënt of personen waarmee hij in contact kwam: gegevens ter facilitering van contactopname met de patiënt, tracering van onbereikbare personen en/of opvolging in het kader van gezondheidspreventieve maatregelen.

- Identificatie- en contactgegevens van de vertegenwoordiger/contactpersonen in geval van nood van de patiënt of personen waarmee de patiënt in contact kwam: gegevens ter facilitering van contactopname, tracering van onbereikbare personen en/of opvolging in het kader van gezondheidspreventieve maatregelen.

- Sterftedatum: noodzakelijke informatie in het kader van acties inzake contactopsporing alsook ter opvolging van de gezondheidstoestand van de betrokken doelgroepen en gerelateerde besmettingsrisico’s.

- Collectiviteit waartoe de patiënt behoort of in contact mee is gekomen en contactgegevens van de referentiearts of administratief verantwoordelijke van de collectiviteit: noodzakelijk

om de aard van de besmettingsrisico’s en de vereiste maatregelen voor preventie te

evalueren.

- Nummer, status, resultaat, duur van de contactopnames met de patiënt, zijn contactpersoon in geval van nood of personen waarmee hij in contact kwam door het contactcentrum, de gezondheidsinspectiedienst en/of mobiele teams: noodzakelijk voor de planning en opvolging van de activiteiten inzake contactopsporing door de gemandateerde actoren van de regio’s

- Aanvang van en soort symptomen, toepassing van hygiëne maatregelen, opvolging van adviezen (bv. doktersbezoek, zelfisolatie, social distancing), info over verplaatsingen, etc.: noodzakelijke informatie om het besmettingsrisico in te schatten, preventieve acties te definiëren en opvolging te organiseren

- De relevante criteria voor inschatting voor hoog of laag besmettingsrisico: noodzakelijke informatie om het besmettingsrisico in te schatten en de contactopvolging te organiseren.

- Gegevens met betrekking tot labotesten & CT-scans: noodzakelijk om de inhoud, timing en uitslagen van de testen op te kunnen volgen om gezondheidspreventieve maatregelen op basis van objectieve kennis al dan niet op te starten.

- Gegevens met betrekking tot vermoedens van besmetting (herbeoordeling van vals positieven en gevallen zonder test): noodzakelijk om tot een totale, inclusieve aanpak inzake contactopsporing en gezondheidspreventie te komen die niet beperkt blijft tot bevestigde gevallen.

- Het al dan niet gebruik maken van een digitale contactopsporingsapplicatie: nuttige informatie om te weten of personen waarmee de patiënt in contact kwam met behulp van een applicatie gewaarschuwd kunnen worden.

- Gegevens met betrekking tot vaccinaties, met name type vaccin en datum van toediening: belangrijke informatie voor risico-inschattingen inzake besmettelijkheid en mogelijke differentiatie inzake adviezen na een risico-contact.

Finaliteit wetenschappelijk en beleidsondersteunend onderzoek (data ontvanger = epidemiologen verbonden aan Sciensano of onderzoeksinstellingen die een machtiging via het Informatieveiligheidscomité Sociale Zekerheid & Gezondheid ontvangen)

- RIZIV-nummer, afdeling en locatie ziekenhuis: eenduidige identificatie van het ziekenhuis om relevante informatie over de verspreiding van besmettingen en de zorg voor COVID-19 patiënten mee te kunnen verwerken.

- RIZIV-nummer van het labo: eenduidige identificatie van het labo om relevante informatie over de verspreiding van besmettingen en medische verstrekkingen voor COVID19 patiënten mee te kunnen verwerken.

- Het RIZIV-nummer van de voorschrijvende arts of de arts die een negatief testresultaat overruled: eenduidige identificatie van artsen(praktijken) om relevantie informatie over de verspreiding van besmettingen en de zorg voor COVID-19 patiënten mee te kunnen verwerken

- Het al dan niet uitoefenen van het beroep van zorgverlener en contacten met kwetsbare groepen: variabele voor informatie over potentiële verspreiding van het virus binnen de zorg- en welzijnssector (bijvoorbeeld binnen woonzorgcentra en instellingen voor personen met een handicap)

- Gepseudonimiseerde NISS-nummers van patiënten of personen waarmee de patiënt in aanraking kwam: unieke identificatie van personen alsook de mogelijkheid tot linken met andere databanken indien geautoriseerd door het informatieveiligheidscomité.

- Geboortejaar, geslacht, postcode, maand en jaar van overlijden van de patiënt of personen waarmee de patiënt in contact kwam: deze demografische gegevens zijn relevant voor wetenschappelijke inzichten en beleidsondersteunende statistieken over de doelgroepen

waarbij het virus zich wel of niet manifesteert, de doelgroepen waarbij testen worden uitgevoerd, de geografische entiteiten waar het virus aanwezig is, etc.

- Het loutere feit dat er tussen de patiënt en de contactpersonen een contact is geweest, met inbegrip van het deel uitmaken van het huishouden van de patiënt: nuttige informatie voor inzichten inzake clusters van besmettingen.

- Type collectiviteit en postcode van de collectiviteit waartoe de patiënt behoort of waarmee hij in contact kwam: variabele waarmee kennis over verspreiding van het virus verzameld kan worden.

- Gegevens met betrekking tot labotesten & CT-scans (datum test, type test, resultaten): verwerving van inzichten over het gebruik van testen en onderzoeken in België (o.a. aantallen, bereikte groepen, artsen-voorschrijvers).

- Gegevens met betrekking tot vermoedens van besmetting (herbeoordeling van vals positieven en gevallen zonder test): noodzakelijk om te beschikken over de meest volledige informatie voor wetenschappelijke en beleidsondersteunende activiteiten waarbij men zich niet beperkt tot enkel de bevestigde gevallen.

- Gegevens meegedeeld aan het contactcentrum, met inbegrip van symptomen, datum van de eerste symptomen, verplaatsingen, opvolging van isolatie- en hygiënemaatregelen: gegevens noodzakelijk voor inzichten inzake over verspreiding van het COVID-19 gelinkt aan medische signalen en menselijk gedrag

- Gegevens met betrekking tot de contactopname, met inbegrip van datum van ticket van het contactcentrum en algemeen resultaat van de contactopname in de vorm van een code: noodzakelijk voor wetenschappelijke, beleidsondersteunende evaluatie van de contact tracing

- Gegevens met betrekking tot het inschatten van een besmettingsrisico van personen waarmee de patiënt in aanraking kwam (o.a. fysieke afstand): noodzakelijk voor inzichten inzake de verspreiding van het virus

- Gegevens met betrekking tot vaccinaties, met name type vaccin en datum van toediening: onderzoek naar de besmettelijkheid van gevaccineerde personen, detectie van vaccin failure of een variant strain waar het vaccin niet tegen beschermt.

Epidemiologen verbonden aan Sciensano of onderzoeksinstellingen die een machtiging via het Informatieveiligheidscomité Sociale Zekerheid & Gezondheid ontvangen, kunnen dus in gepseudonimiseerde vorm toegang krijgen tot de data van de Passenger Locator Forms die gegevensbank I van Sciensano bereiken en getransfereerd worden naar gegevensbank II. Het betreft met name volgende gegevens:

- PLF formulier ID: noodzakelijk als unieke identificatie voor verschillende records;

- Datum van ontvangst van het PLF: noodzakelijk om na te gaan hoeveel PLF’s per dag worden

ingevuld en/of de PLF’s tijdig worden ingevuld;

- Passagiersgegevens:

o Gepseudonimiseerd patient identifier (afgeleid van het INSZ nummer): noodzakelijk om de link te kunnen maken met de gegevens van de laboratoria rond testen en positieve gevallen en voor correctie van dubbele registratie;

o Geslacht: een demografische variabele die nodig is om risicoprofielen te kunnen identificeren per land dat werd bezocht;

o Leeftijd (afgeleid van geboortedatum): een demografische variabele die nodig is om risicoprofielen te kunnen identificeren per land dat werd bezocht;

o Nationaliteit (Belg/EU/niet-EU): een demografische variabele die nodig is om risicoprofielen te kunnen identificeren per land dat werd bezocht. Noodzakelijk om statistische studies te doen naar het aantal personen dat België heeft bezocht;

o Het gegeven dat de reiziger meer dan 48 uur in buitenland vertoefde: noodzakelijk om een selectie te kunnen maken tussen verplichte PLFs en vrijwillige PLFs;

o Het gegeven dat de reiziger meer dan 48 uur in België vertoeft: noodzakelijk om een selectie te kunnen maken tussen verplichte PLFs en vrijwillige PLFs;

o Reisinformatie (waaronder datum van aankomst en vertrek uit België, datum van aankomst en vertrek in de (verschillende) bezochte landen/regio’s, vluchtnummer en modaliteit van vervoer (vliegtuig, wagen, bus) ; datum van aankomst in België is noodzakelijk voor rapportage per dag; datum van vertrek uit België en datum van aankomst en vertrek in de verschillende bezochte landen/regio’s zijn nodig om de verblijfsduur in het buitenland te weten en te linken aan risico op besmetting; het vluchtnummer is noodzakelijk om clusters te kunnen identificeren; modaliteit van vervoer is noodzakelijk om risico op besmetting te detecteren;

- Bezochte gebieden (waaronder landscode, beschrijving, nomenclatuurcode): noodzakelijk om risico op besmetting te detecteren;

- Adres van verblijf (waaronder landscode, stad): noodzakelijk om risico op besmetting te detecteren;

- Kinderen (waaronder leeftijd): noodzakelijk om risico-karakteristieken en demografische karakteristieken te kunnen rapporteren;

- Aansluitende vlucht, (waaronder datum van aankomst en vluchtnummer): noodzakelijk om clusters te kunnen identificeren;

- Overall score afkomstig van de ‘Self Assessment Tool (SAT): noodzakelijk om te zien hoeveel personen met een hoog risicoprofiel dagelijks terugkomen en uit welke landen/regio’s. Noodzakelijk om te zien wat de positiviteitsratio is per land/regio.

Bijlage B: Definities

Overeenkomstig artikel 4 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), wordt, in het kader van deze overeenkomst, verstaan onder:

- "ontvanger": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt,

Overheidsinstanties die mogelijk persoonsgegevens ontvangen in het kader van een bijzonder onderzoek overeenkomstig het Unierecht of het lidstatelijke recht, gelden echter niet als ontvangers; de verwerking van die gegevens door die overheidsinstanties strookt met de gegevensbeschermingsregels die op het betreffende verwerkingsdoel van toepassing zijn.6

- "persoonsgegevens": alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator, zoals een naam, een identificatienummer, locatiegegevens, een online identificator, of van één of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

6 Hieraan moet worden toegevoegd, zoals uiteengezet in de memorie van toelichting van de voormelde wet van 30 juli 2018, dat de inlichtingen- en veiligheidsdiensten en de overheden bedoeld in ondertitel 3 van titel 3 van de wet van 30 juli 2018 betreffende de bescherming van persoonsgegevens, geen ontvangers zijn, in de zin van de definitie van de Verordening. De inlichtingen- en veiligheidsdiensten en de overheden bedoeld in ondertitel 3 van titel 3 zijn dan ook uitgesloten van de vermelding in de overeenkomst.

- "verwerkingsverantwoordelijke": de natuurlijke persoon of rechtspersoon, de overheidsinstantie, de dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking vaststelt. Wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen.

- "verwerker": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.

- "derde": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de betrokkene, noch de verwerkingsverantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de verwerkingsverantwoordelijke of de verwerker gemachtigd zijn om de persoonsgegevens te verwerken.

- "verwerking": een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

In het kader van de toepassing van deze overeenkomst wordt bovendien verstaan onder:

- "doeleinde": doel waarvoor de gegevens verwerkt worden.