PROTOCOL VOOR DE ELEKTRONISCHE MEDEDELING VAN PERSOONSGEGEVENS
PROTOCOL VOOR DE ELEKTRONISCHE MEDEDELING VAN PERSOONSGEGEVENS
VAN Fluvius NAAR VREG
in kader van Datalink V-test®
29/04/2022
Dit protocol wordt gesloten conform artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer.
TUSSEN
Fluvius System operator CV, hierbij vertegenwoordigd door xxx. Xxx Xxxxxx, directeur Databeheer, en xxx. Xxxx Xxxxxxxxxx, directeur Secretariaat-Generaal, ingeschreven in het KBO met nummer 0477.445.084, met maatschappelijke zetel te Xxxxxxxxxxxxxxxxx 000, 0000 Xxxxx
hierna: “Fluvius”;
EN
Vlaamse Regulator van de Elektriciteits- en Gasmarkt, hierbij vertegenwoordigd door Xxxxxxxxx Xxxxxx, Algemeen directeur, ingeschreven in het KBO met nummer 0886.689.767, met maatschappelijke zetel te Xxxxxx Xxxxxx xx-xxxx 0, 0000 Xxxxxxx
hierna: “VREG”;
Xxxxxxx en VREG worden hieronder ook wel afzonderlijk aangeduid als een “partij” of gezamenlijk als de “partijen”;
NA TE HEBBEN UITEENGEZET
A. Fluvius is een Vlaamse distributienetbeheerder belast met taken van openbaar nut inzake energie en beschikt in dat kader over gegevens betreffende het energieverbruik en energieproductie;
B. VREG is een autonome dienst met rechtspersoonlijkheid, onder toezicht van het Vlaams Parlement. In het Energiedecreet (art. 3.1.2. Energiedecreet) werd de missie (bestaansreden of hoofdopdracht) van de VREG als volgt vastgelegd: “De VREG heeft als missie de regulering van, de controle op en de bevordering van de transparantie van de elektriciteits- en gasmarkt, de levering van warmte en koude en de uitbating van warmte- of koudenetten in het Vlaamse Gewest”. De taken van de VREG staan opgelijst in artikel 3.1.3 van het Energiedecreet en omvatten onder meer het informeren van de afnemers van elektriciteit en aardgas over de prijzen en voorwaarden die de leveranciers hanteren, met inbegrip van het aanbieden of laten aanbieden van een objectieve vergelijking van die prijzen en voorwaarden). Specifiek met betrekking tot deze taak (het aanbieden van een vergelijkingsinstrument- V-test®) werden bijkomende bepalingen opgenomen in art. 3.1.16 ev. van het Energiedecreet. Zo wordt o.a. bepaald welke persoonsgegevens in het kader van deze taak opgevraagd en verwerkt kunnen worden en dat een automatische verwerking via een koppeling met de databanken van de distributienetbeheerder of zijn werkmaatschappij mogelijk moet zijn mits toestemming van de betrokkene (cf. infra).
C. Partijen wensen gegevens uit te wisselen in kader van de V-test® die gratis beschikbaar wordt gesteld door de VREG via xxx.xxxx.xx. Deze laat toe om de prijzen en een aantal essentiële karakteristieken van alle publiek beschikbare contracten aangeboden door de elektriciteits- en aardgasleveranciers actief in Vlaanderen te vergelijken. Het betreft een belangrijk instrument voor veel gezinnen en KMO’s bij het maken van hun energieleverancierskeuze.
D. De partijen wensen overeenkomstig artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer een protocol te sluiten met betrekking tot de elektronische mededeling van persoonsgegevens. Dat protocol wordt bekendgemaakt op de website van beide partijen.
F. De functionaris voor gegevensbescherming van Xxxxxxx heeft op 29/04/2022 advies met betrekking tot een ontwerp van dit protocol gegeven.
G. De functionaris voor gegevensbescherming van VREG heeft op 11/02/2022 advies met betrekking tot een ontwerp van dit protocol gegeven.
WORDT OVEREENGEKOMEN WAT VOLGT:
Artikel 1: Onderwerp
In dit protocol worden de voorwaarden en modaliteiten van de elektronische mededeling van de persoonsgegevens zoals omschreven in artikel 4 door Xxxxxxx aan VREG uiteengezet.
Artikel 2: Doeleinden waarvoor de persoonsgegevens worden meegedeeld
Xxxxxxx heeft de opgevraagde gegevens oorspronkelijk verzameld voor volgende doeleinden:
- Het faciliteren van de marktwerking,
- het beheer van de distributienetten,
- het bevorderen van rationeel energiegebruik.
VREG zal de opgevraagde gegevens verwerken voor volgende doeleinden:
- het aanbieden van een vergelijkingsinstrument (art. 3.1.3, 4, b) j. 3.1.16 en 3.1.17 van het Energiedecreet).
Het betreft een verdere verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Conform de AVG mag deze verdere verwerking enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld.
Het doeleinde van de verdere verwerking van deze persoonsgegevens door VREG is in casu niet verenigbaar met de doeleinden waarvoor Fluvius de gegevens oorspronkelijk heeft verzameld. De mededeling is evenwel toegelaten gezien de betrokkene hiervoor toestemming heeft gegeven.
Artikel 3: Rechtvaardigingsgronden van zowel de mededeling als de inzameling van de persoonsgegevens
Een verwerking van persoonsgegevens moet rechtmatig zijn conform artikel 6 van de AVG. De rechtvaardiging voor de beoogde gegevensverwerking is in casu te vinden in artikel 6 lid 1, a) en e) van de AVG: ‘de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden’ alsook ‘de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang dat aan de verwerkingsverantwoordelijke is opgedragen’.
Fluvius heeft op grond van het Energiedecreet en Energiebesluit verschillende taken van algemeen belang die onder andere verband houden met het beheer van het distributienet zoals het onderhoud, herstelling en verbetering van het distributienet alsook het verlenen van toegang tot het net en beheer van de meters zowel als de uitbetaling van premies ter bevordering van het rationeel energieverbruik, het aflezen van de meters en tellers op de toegangspunten van het distributienet en het beheer van de meetgegevens met betrekking tot deze toegangspunten.
De VREG heeft op grond van artikel 3.1.16 van het Energiedecreet een wettelijke verplichting tot het ter beschikking stellen van een vergelijkingsinstrument waarmee huishoudelijke afnemers het aanbod van leveranciers gratis kunnen vergelijken:
[Afdeling VII. Vergelijkingsinstrument (ing. decr. 2 april 2021, art. 8, I: 7 juni 2021)]
Artikel 3.1.16. (07/06/2021- ...)
De VREG stelt op zijn website een vergelijkingsinstrument ter beschikking waarmee door huis- houdelijke afnemers en kleinzakelijke afnemers, aangesloten op het laagspanningsdistributienet en met een verwacht jaarlijks elektriciteitsverbruik van minder dan 100.000 kWh, het aanbod van de leveranciers aan huishoudelijke afnemers en ondernemingen met een verwacht jaarlijks elektriciteitsverbruik van minder dan 100.000 kWh gratis vergeleken kan worden. Dat instrument bestrijkt de hele markt in het Vlaamse Gewest en alle aanbiedingen van leveranciers die daarin publiek beschikbaar zijn, waaronder aanbiedingen voor dynamische prijscontracten en teruglevercontracten.
[…]
In het kader hiervan kunnen een aantal persoonsgegevens worden opgevraagd via een koppeling met de databank van de distributienetbeheerder of zijn werkmaatschappij. Evenwel enkel indien de betrokkene hiervoor zijn toestemming heeft verleend:
Artikel 3.1.17. (07/06/2021- ...)
De volgende persoonsgegevens of categorieën van persoonsgegevens kunnen opgevraagd en verwerkt worden in het kader van het gebruik en het beheer van het vergelijkingsinstrument, vermeld in artikel 3.1.16:
1° het energietype;
2° de adres- en contactgegevens;
3° de gegevens over de aansluiting en de meter; 4° de meetgegevens;
5° de gegevens over aanwezige decentrale productie-installaties; 6° de contractvoorkeuren;
7° de huidige leveringsvoorwaarden; 8° het profiel, vermeld in het derde lid;
9° de identificatiegegevens, vermeld in het vierde lid.
Na toestemming van de betrokkene conform artikel 4, 11), van de algemene verordening
gegevensbescherming kan de VREG de persoonsgegevens, vermeld in het eerste lid, 1° tot en met 5°, automatisch laten verwerken via een koppeling met de databanken van de distributienet- beheerder of zijn werkmaatschappij. Via die koppeling verleent de netbeheerder of zijn werk- maatschappij de VREG toegang tot de gegevens, vermeld in het eerste lid, 1° tot en met 5°, waartoe de betrokkene toegang heeft in zijn databanken.
Na toestemming van de betrokkene conform artikel 4, 11), van de algemene verordening gegevensbescherming kunnen de persoonsgegevens, vermeld in het eerste lid, in een profiel worden bijgehouden met het oog op het gebruik en het beheer van het vergelijkingsinstrument, vermeld in het eerste lid. Het profiel wordt maximaal bewaard tot vijf jaar nadat de betrokkene daarvoor zijn toestemming heeft verleend.
Artikel 4: De categorieën en omvang van de meegedeelde persoonsgegevens conform het proportionaliteitsbeginsel
In onderstaande tabel wordt een overzicht gegeven van de verschillende persoonsgegevens die worden meegedeeld, alsook de verantwoording van de proportionaliteit en de bewaartermijn van de gegevens.
Wanneer de mededeling persoonsgegevens betreft als vermeld in artikel 9 en/of 10 van de algemene verordening gegevensbescherming wordt dit ook gespecificeerd in onderstaande tabel.
De gegevens worden opgevraagd op basis van een unieke sleutel waarmee V-test® zijn gebruikers identificeert.
Categorie van persoonsgegevens 1 | Installatie(gerelateerde) gegevens: • EAN • energiedrager (elektriciteit of gas) • type van de meter (digitaal of klassiek) • meetregime (SMR3 actief of niet) • vermogen van de omvormer |
Verantwoording proportionaliteit | Er worden geen andere gegevens, verbonden met EAN en langs die weg eventueel verbindbaar met een natuurlijk persoon, verwerkt dan deze welke noodzakelijk zijn om de gevraagde berekening door de persoon zelf dan wel door diens daartoe gemandateerde, te kunnen uitvoeren. De door Xxxxxxx aangeleverde en door VREG gebruikte API bevat evenwel ook volgende data: • identificatienummer van zonnepaneelinstallatie • type van de lokale productie (zonne-energie, windenergie, micro-WKK, …) • datum van AREI-keuringsverslag Deze data zijn echter niet noodzakelijk voor de VREG V-Test en worden daarom onmiddellijk na het binnenhalen van de informatie door de VREG gewist. |
Categorie van persoonsgegevens 2 | Verbruiks(gerelateerde) gegevens: • benaderende verbruiken op jaarbasis |
• gemeten dagverbruiken • gemeten kwartier- of uurverbruiken | |
Verantwoording proportionaliteit | Er worden geen andere gegevens, verbonden met EAN en langs die weg eventueel verbindbaar met een natuurlijk persoon, verwerkt dan deze welke noodzakelijk zijn om de gevraagde berekening door de persoon zelf dan wel door diens daartoe gemandateerde, met voldoende precisie te kunnen uitvoeren. |
Bewaartermijnen
De door Xxxxxxx meegedeelde gegevens (met uitzondering van de kwartierwaarden) zullen door VREG conform art. 3.1.17, derde lid van het Energiedecreet gedurende 5 jaar in het profiel bewaard worden, tenzij de gebruiker vroeger zijn toestemming intrekt. Kwartierwaarden zullen enkel gedurende de berekening van de door de aanvrager gevraagde informatie (“on the fly”) bewaard worden teneinde correcte berekening mogelijk te maken.
Artikel 5: De categorieën van ontvangers en derden die mogelijks de gegevens eveneens verkrijgen
VREG zal de meegedeelde persoonsgegevens in het kader van de in artikel 2 vooropgestelde finaliteiten kunnen meedelen aan volgende categorie(ën) van ontvangers:
- Volgende diensten van VREG zullen toegang hebben tot de gevraagde persoonsgegevens:
o Team Applicatie- en databeheer
Enkel personen die omwille van hun functieprofiel deze informatie nodig hebben voor de uitvoering van hun werk, krijgen toegang tot de informatie.
Elke eventuele mededeling in niet-geaggregeerde vorm van de gevraagde persoonsgegevens door VREG aan een andere partij moet voorafgaandelijk door VREG aan Xxxxxxx worden gemeld en moet in overeenstemming zijn met de relevante wet- en regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens. Dat betekent onder meer dat VREG waar vereist een protocol sluit voor de mededeling van de gevraagde gegevens.
Artikel 6: Periodiciteit en duur van de mededeling
De persoonsgegevens zullen PERMANENT worden meegedeeld omdat de persoonsgegevens via een digitale interface aan de V-test® zullen worden meegedeeld voor zolang deze actief is, telkens op vraag van de betrokkene als gebruiker van de V-test®, en voor de toegangspunten waarvoor de netgebruiker instemming gaf.
De digitale interface is permanent actief, en voor onbepaalde duur. De mededeling van persoonsgegevens zal dan ook voor een onbepaalde duur gebeuren voor zolang de koppeling tussen de Fluvius databank en de V-Test® actief blijft.
Artikel 7: Beveiligingsmaatregelen
7. Hebt u maatregelen genomen ter verhindering van elke fysieke schade die de persoonsgegevens in gevaar zouden kunnen brengen? | ☒ | ☐ | Beveiligd datacenter met gegarandeerde redundantie |
8. Hebt u beheersmaatregelen genomen ter bescherming van de verschillende netwerken waarmee de apparatuur die de persoonsgegevens verwerkt, is verbonden? | ☒ | ☐ | Beveiligd draadloos en bedraad netwerk met eigen en externe monitoring (SIEM/SOC) |
9. Beschikt u over een actuele lijst van de verschillende bevoegde personen die toegang hebben tot de persoonsgegevens en van hun respectievelijk toegangsniveau (creatie, raadpleging, wijziging, vernietiging)? | ☒ | ☐ | Gelimiteerde lijst, actueel gehouden |
10. Hebt u op uw informatiesystemen een mechanisme voor toegangsmachtiging geïnstalleerd zodat de persoonsgegevens en de verwerkingen die er betrekking op hebben enkel toegankelijk zijn voor de personen en toepassingen die hiertoe uitdrukkelijk gemachtigd zijn? | ☒ | ☐ | Toegangsbeheer is aanwezig (functionele validatie en technisch toegangsbeheer) |
11. Is uw informatiesysteem zodanig ontworpen dat de identiteit permanent geregistreerd wordt van diegenen die toegang hebben gehad tot de persoonsgegevens ? | ☒ | ☐ | Gepaste logging is voorzien |
12. Hebt u erin voorzien dat de geldigheid en de doeltreffendheid in de tijd van de ingestelde organisatorische en technische maatregelen gecontroleerd worden ter garantie van de beveiliging van de persoonsgegevens? | ☒ | ☐ | Periodieke evaluatie van de risico’s en maatregelen |
13. Hebt u voorzien in urgentieprocedures en rapporteringsprocedures bij beveiligingsincidenten waarbij persoonsgegevens betrokken zijn? | ☒ | ☐ | Incidentbeheer en datalek/dataverlies procedure |
14. Beschikt u over een bijgewerkte documentatie betreffende de verschillende genomen beheersmaatregelen ter bescherming van persoonsgegevens en de verschillende verwerkingen die er betrekking op hebben? | ☒ | ☐ | Projectdocumentatie aanwezig en bijgewerkt |
Op eenvoudig verzoek van Xxxxxxx moet VREG aan Xxxxxxx kunnen aantonen dat de in dit artikel opgesomde maatregelen werden getroffen.
In het geval VREG voor de verwerking van persoonsgegevens die het voorwerp zijn van voorliggend protocol, beroep doet op een verwerker (of meerdere verwerkers), doet de VREG uitsluitend beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van de algemene verordening gegevensbescherming voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. VREG sluit in voorkomend geval met alle verwerkers een verwerkersovereenkomst in overeenstemming met artikel 28 van de algemene verordening gegevensbescherming. VREG bezorgt aan Xxxxxxx een overzicht van de verwerkers van de gevraagde gegevens en actualiseert dit overzicht zo nodig.
Verwerker in opdracht van VREG:
o FrontForce NV
Enkel medewerkers van FrontForce NV die omwille van hun functie en rol deze informatie nodig hebben voor de uitvoering van hun taken met betrekking tot de technische ondersteuning door FrontForce NV van de V-test®, kunnen toegang bekomen tot de informatie.
Artikel 8: Kwaliteit van de persoonsgegevens
Fluvius verzekert de kwaliteit van de verzamelde gegevens voor de goede marktwerking, onder meer middels validatie van de opgenomen meetwaarden, de daaruit berekende verbruiken en vergelijking tussen de verbruiken van de verschillende energieën op een zelfde verbruiksplaats.
Zodra VREG één of meerdere foutieve, onnauwkeurige, onvolledige, ontbrekende, verouderde of overtollige gegevens in de persoonsgegevens, vermeld in artikel 4, vaststelt (al dan niet op basis van een mededeling van de betrokkene, meldt hij dat onmiddellijk aan Xxxxxxx die voornoemde vaststellingen onderzoekt binnen redelijke termijn, gepaste maatregelen treft, eveneens binnen redelijke termijn, en VREG daarvan vervolgens op de hoogte brengt.
Artikel 9: Sanctie bij niet-naleving
Onverminderd haar recht om een schadevergoeding te vorderen en in afwijking van artikel 5, 2°, kan Fluvius dit protocol middels eenvoudige kennisgeving en zonder voorafgaandelijke ingebrekestelling eenzijdig beëindigen indien VREG deze persoonsgegevens verwerkt in strijd met hetgeen bepaald is in dit protocol, met de algemene verordening gegevensbescherming of met andere relevante wet- of regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens.
Artikel 10: Meldingsplichten
Partijen engageren zich in het licht van artikel 33 van de algemene verordening gegevensbescherming om elkaar (via de functionarissen voor gegevensbescherming) zonder onredelijke vertraging op de hoogte te stellen van elk gegevenslek dat zich voordoet betreffende de meegedeelde gegevens met impact op beide partijen en in voorkomend geval onmiddellijk gezamenlijk te overleggen teneinde alle maatregelen te nemen om de gevolgen van het gegevenslek te beperken en te herstellen. De partijen verschaffen elkaar alle informatie die ze nuttig of nodig achten om de beveiligingsmaatregelen te optimaliseren.
VREG brengt Xxxxxxx onmiddellijk op de hoogte van wijzigingen van wetgeving met impact op voorliggend protocol, zoals de finaliteit, proportionaliteit, frequentie, duurtijd enz. en in voorkomend geval van wijzigingen omtrent de verwerkers.
Artikel 11: Toepasselijk recht en geschillenbeslechting
Dit protocol wordt beheerst door het Belgisch recht.
Alle geschillen die voortvloeien uit of verband houden met dit protocol worden beslecht door de bevoegde rechtbank binnen de afdeling Gent.
Artikel 12: Inwerkingtreding en opzegging
Dit protocol treedt in werking vanaf ondertekening.
Partijen kunnen dit protocol schriftelijk opzeggen mits inachtneming van een opzegtermijn van 2 maanden.