16 DECEMBER 2021. - Besluit van de Regering van de Franse Gemeenschap tot vaststelling van de categorieën van persoonsgegevens die verwerkt worden met het oog op de doeleinden van digitale ruimtes en tot vaststelling van de categorieën van gegevens die door de diensten van de Regering aan de scholen moeten worden doorgegeven met toepassing van de artikelen 6 en 11 van het decreet van 25 april 2019 betreffende het digitaal bestuur van het schoolsysteem en de overdracht van digitale gegevens in het leerplichtonderwijs
Art. 1-6
Artikel 1. Voor de toepassing van dit besluit wordt verstaan onder :
1° " decreet digitaal bestuur " : het decreet van 25 april 2019 betreffende het digitaal bestuur van het schoolsysteem en de overdracht van digitale gegevens in het leerplichtonderwijs;
2° " identificatie " : het proces voor het verzamelen en het valideren van een reeks identiteitskenmerken met als doel de identificatie van een natuurlijke persoon in een bepaalde context;
3° " authentificatie " : het proces om te controleren dat een gebruiker de eigenaar is van een bepaalde digitale identiteit bij toegang tot een digitale hulpbron; de gebruiker moet authentificatiegegevens voorleggen die gevalideerd in het authenticatieproces zullen worden;
4° " gebruikers " : de inrichtende machten, de directeurs, de Federaties van inrichtende machten en de leden van het onderwijzend personeel, zoals bepaald in artikel 1, § 2, 10°, van het decreet van 25 april 2019;
5° " consolidering " : het groeperen van gegevens die logisch zijn georganiseerd of aan elkaar zijn gekoppeld;
6° " variabele " : een eigenschap die een bepaalde bevolking vertegenwoordigt of die kan worden vergeleken met het geheel van een bepaalde bevolking;
7° " AVG " : de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG, zoals bepaald in artikel 1, § 2, 3°, van het decreet van 25 april 2019;
8° " communicatie " : contact leggen met gebruikers via alle communicatiemiddelen;
9° " navigatie " : actie om van de ene informatie naar de andere te gaan in een digitale omgeving;
10° " traceerbaarheid " : actie om het chronologisch overzicht van de toegang van een gebruiker tot de digitale ruimten na te gaan, zoals bedoeld in artikel 4 van het decreet digitaal bestuur;
11° " stamnummer " : het unieke identificatienummer dat aan elk lid van het onderwijzend personeel wordt toegekend.
Art.2. § 1. De categorie van persoonsgegevens bedoeld in artikel 6, § 1, van het decreet digitaal bestuur die verwerkt worden met toepassing van een wettelijke, decretale of reglementaire bepaling met het oog op de doeleinden van digitale ruimtes bedoeld in artikel 4 van het decreet digitaal bestuur, heeft betrekking op de identificatie- en authentificatiegegevens van de gebruikers van de ruimtes.
De identificatie- en authentificatiegegevens worden onderverdeeld in drie categorieën van gegevens die nodig zijn om de functionaliteit van digitale ruimtes te beheren :
1° de gegevens die strikt betrekking hebben op de identificatie en de authentificatie;
2° de gegevens betreffende de communicatie;
3° de gegevens betreffende de navigatie en de traceerbaarheid.
§ 2. De gegevens die strikt betrekking hebben op de identificatie en de authentificatie omvatten de volgende gegevens :
* het Rijksregisternummer;
* het stamnummer van het lid van het onderwijzend personeel;
* het online identificatiemiddel;
* de naam en de voornaam;
* het geslacht;
* het authentificatiecertificaat van eID;
* de geboorteplaats;
* het geboorteland;
* de geboortedatum;
* het e-mailadres;
* de organisatorische link;
* de functie
* het beroepsadres,
* het privé-adres;
* de machtigingen.
De communicatiegegevens omvatten de volgende gegevens :
* het postadres;
* de contactinformatie met betrekking tot een communicatiemiddel;
* het adres van de elektronische briefwisseling;
* de inhoud van de communicatie, naar en van de gebruikers, met betrekking tot de accounts en de procedures voor de toegang tot de digitale ruimtes.
De gegevens inzake navigatie en traceerbaarheid omvatten de volgende gegevens :
* het IP-adres dat toegekend wordt bij de verbinding;
* de datum van de creatie en de wijziging van het account;
* de verbindingsplaats;
* de toegangsdatum en het toegangsuur;
* de geraadpleegde pagina's en het gebruikte type navigatiesysteem (browser);
* het plateform en/of het exploitatiesysteem dat op de terminal van de gebruiker wordt geïnstalleerd;
* de zoekmachine alsook de gebruikte trefwoorden om de site te vinden;
* de gedownloade bestanden;
* de informatie die nodig is om de beveiliging van de verwerkingen met betrekking tot de toegang tot digitale ruimtes te waarborgen zolang deze gegevens het mogelijk maken om de toegang te loggen en procedures te plannen voor het beheer van eventuele incidenten.
§ 3. De gegevens beschreven in § 2 worden actief bewaard in een beveiligde opslagruimte zolang de gebruiker van het platform daar een actief account heeft.
Wanneer een account gesloten wordt, worden de gegevens bedoeld in artikel 2 gedurende 6 maanden passief in een beveiligde opslagruimte bewaard.
Na een termijn van 6 maanden worden alleen de gegevens die nodig zijn om te voldoen aan de wettelijke verplichtingen van de verantwoordelijke voor de verwerking als openbare overheid of met betrekking tot zijn opdrachten, gearchiveerd zonder enige tijdslimiet in een beveiligde opslagruimte, onverminderd de regelgevingen die van toepassing zouden zijn.
Bij wijze van uitzondering worden de gegevens met betrekking tot de toegangssporen : datum, uur, identificatiemiddel van het account, IP-adres, URL navigator genoemd, OS 5 jaar bewaard vanaf het ogenblik dat deze gegevens gegenereerd zijn.
Cookies hebben ook specifieke bewaartermijnen.
Art.3. De databanken die nodig zijn voor de verwerking van digitale ruimtes bedoeld in artikel 4, § 1, van het decreet digitaal bestuur, zijn de volgende databanken van het Ministerie van de Franse Gemeenschap :
1° de databanken ontwikkeld met toepassing van de decretale of reglementaire bepalingen :
* IAM (Identity and Access Management): Systeem voor het beheer van de Identiteiten en toegangen via de infrastructuur CERBERE;
* MIMESIS (Referentiesysteem van derden) : Oplossing waarmee de Directie IT-hulpafdeling (DSI) van het ministerie van de Federatie Wallonië Brussel gemeenschappelijke en gedeelde gegevens van derden kan beheren;
* SENS (persoonlijke gegevens van de leerkrachten) : beheert de persoonlijke gegevens (naam, adres, diploma's...) van de leden van het onderwijzend personeel;
2° de databanken die ontwikkeld worden op basis van de informatie die door de inrichtende machten of de federaties van inrichtende machten wordt verstrekt om de onder hun gezag geplaatste natuurlijke personen aan te wijzen die naar behoren gemachtigd zijn om in hun naam toegang te krijgen tot de digitale ruimte, overeenkomstig artikel 4, § 1, van het decreet digitaal bestuur:
* MODE (model van machtigingen) : Hulpmiddel van de Federatie Wallonië Brussel voor het beheer van de toegang tot de toepassingen van de regelgevende instantie. Het is gericht aan de leden van de inrichtende machten van scholen en PMS-centra, evenals aan de personeelsleden van deze verschillende instellingen;
* DDRS (Dimona en Aangiften sociale risico's ) : beheert de aangiften werkgelegenheid en aangiften sociale risico's van het onderwijzend personeel;
* SENS (persoonlijke gegevens van de leerkrachten) : beheert de persoonlijke gegevens (naam, adres, diploma's...) van de leden van het onderwijzend personeel;
* RL10 (payroll systeem) : mainframe programma dat het salaris van de leden van het onderwijzend personeel beheert;
* FASE (Bestand van adressen en structuren van de inrichtingen) : beheert de persoonlijke gegevens en de structuur van de inrichtende machten, van de schoolinrichtingen en hun vestigingsplaatsen, voor het geheel van de netten, onderwijsniveaus en -types, met inbegrip van de PMS-centra, de internaten en diverse inrichtingen in verband met het onderwijs;
3° de databanken ontwikkeld vanaf communicatie- en navigatiegegevens, behaald in het kader van de verwerking van digitale ruimtes bedoeld in artikel 4, § 1, van het decreet digitaal bestuur.
De Minister van Leerplichtonderwijs is bevoegd om de bovenvermelde lijst van databanken aan te passen aan toekomstige ontwikkelingen.
Art.4. § 1. De gegevens die door de diensten van de Regering moeten worden doorgegeven aan de scholen bedoeld in artikel 11, § 1, tweede lid, van het decreet digitaal bestuur, zijn deze die nodig zijn voor de consolidering van de informatie die wordt uitgewisseld door middel van de digitale ruimte bedoeld in artikel 4, § 1, 1°, van het decreet digitaal bestuur en de uitvoering van deze uitwisselingen.
Deze gegevens omvatten :
1. de gegevens met betrekking tot de structuur, de omkadering en de schoolbevolking, met zowel de kwantitatieve als kwalitatieve elementen die de structuur, de omkadering en de schoolbevolking van de school beschrijven;
2. de variabelen met betrekking tot de leersystemen met het geheel van de variabelen, rekening houdend met de eigenschappen in verband met de kennis en de competenties van de leerling en de behaalde getuigschriften;
3. de variabelen met betrekking tot het schoolklimaat, rekening houdend met de kenmerken gebonden aan het schoolklimaat;
4. de variabelen met betrekking tot de collectieve dynamiek, met het geheel van de variabelen rekening houdend met de kenmerken gebonden aan het personeel van de school;
5. de variabelen met betrekking tot het traject van de leerlingen met het geheel van de variabelen rekening houdend met de eigenschappen gebonden aan de tijdstrajecten van de leerlingen in hun schooltraject;
Art.5. Dit besluit treedt in werking de dag waarop het in het Belgisch Staatsblad wordt bekendgemaakt.
Art. 6. De Minister van Leerplichtonderwijs is belast met de uitvoering van dit besluit.