In het ontworpen artikel 12 van de VLAREME van 28 oktober 2016 (artikel 5 van het ontwerp) werd de Vlaamse Landmaatschappij (hierna: VLM) aangewezen als de verwerkingsverantwoordelijke, vermeld in artikel 4, 7), van algemene verordening gegevensbescherming, voor de persoonsgegevens die zouden worden verwerkt ter uitvoering van dat besluit. Er werden ook verplichtingen van die verwerkingsverantwoordelijke bepaald, met inbegrip van de verplichting om de persoonsgegevens te bewaren “gedurende de termijnen die noodzakelijk zijn om de taken in kwestie te vervullen volgens de selectieregels, opgemaakt ter uitvoering van artikel III.87 van het Bestuursdecreet van 7 december 2018”.

In de rechtsgrondentabel die de gemachtigde had bezorgd, werd rechtsgrond gezocht in artikel 4, §3, en 24, §2, §5 en §6, van het Mestdecreet. Hoewel de Vlaamse Regering de VLM volgens de eerst vermelde bepaling inderdaad kon belasten met bijkomende taken in het kader van de doelstellingen van het Mestdecreet, bracht de Raad van State de volgende opmerking in herinnering, die de afdeling Wetgeving had gemaakt in advies 73.654/1:

“4.5. Het valt geenszins uit te sluiten dat de ontworpen regeling met betrekking tot de registerverplichtingen noopt tot het verwerken van bepaalde persoonsgegevens ( Voetnoot 7 van het geciteerde advies: Zo worden met artikel 2, 1° en 3°, van het ontwerp, persoonsgegevens toegevoegd welke in de registers moeten worden opgenomen, maar in voorkomend geval zouden ook bepaalde, ruime delegaties van bevoegdheden aan de minister tot een verwerking van persoonsgegevens kunnen nopen (zie wat dat betreft de ontworpen artikelen 2.2.1.4, zevende en negende lid, en 2.2.4.1, § 2, vijfde lid, van VLAREME; resp. artikelen 1 en 3 van het ontwerp).

Krachtens artikel 22 van de Grondwet geldt voor elke verwerking van persoonsgegevens en, meer in het algemeen, voor elke inmenging in het recht op het privéleven, dat het formeel legaliteitsbeginsel dient te worden nageleefd. Doordat artikel 22 van de Grondwet aan de bevoegde wetgever de bevoegdheid voorbehoudt om vast te stellen in welke gevallen en onder welke voorwaarden afbreuk kan worden gedaan aan het recht op eerbiediging van het privéleven, waarborgt het aan elke burger dat geen enkele inmenging in dat recht kan plaatsvinden dan krachtens regels die zijn aangenomen door een democratisch verkozen beraadslagende vergadering. Een delegatie aan een andere macht is evenwel niet in strijd met het wettelijkheidsbeginsel voor zover de machtiging voldoende nauwkeurig is omschreven en betrekking heeft op de tenuitvoerlegging van maatregelen waarvan de ‘essentiële elementen’ voorafgaandelijk door de wetgever vastgesteld zijn.( Voetnoot 8 van het geciteerde advies: Vaste rechtspraak van het Grondwettelijk Hof: zie inzonderheid GwH 18 maart 2010, nr. 29/2010, B.16.1; GwH 20 februari 2020, nr. 27/2020, B.17.)

Bijgevolg moeten de ‘essentiële elementen’ van de verwerking van persoonsgegevens in de wet – of in casu het decreet – zelf worden vastgelegd. In dat verband zijn de Raad van State, afdeling Wetgeving, en het Grondwettelijk Hof van oordeel dat, ongeacht de aard van de betrokken aangelegenheid, de volgende elementen in beginsel ‘essentiële elementen’ uitmaken: 1°) de categorie van verwerkte gegevens; 2°) de categorie van betrokken personen; 3°) de met de verwerking nagestreefde doelstelling; 4°) de categorie van personen die toegang hebben tot de verwerkte gegevens; en 5°) de maximumtermijn voor het bewaren van de gegevens ( Voetnoot 9 van het geciteerde advies: Adv.RvS 68.936/AV van 7 april 2021 over een voorontwerp dat heeft geleid tot de wet van 14 augustus 2021 ‘betreffende de maatregelen van bestuurlijke politie tijdens een epidemische noodsituatie’, Parl.St. Kamer 2020-21, nr. 55-1951/001, 119, opmerking 101. Zie ook GwH 10 maart 2022, nr. 33/2022, B.13.1 en GwH 22 september 2022, nr. 110/2022, B.11.2.)

Het Mestdecreet bevat zeer zeker bepalingen die kunnen worden geacht een decretale basis te bevatten voor een nadere regeling van bepaalde aspecten inzake de verwerking van persoonsgegevens,7 maar hieruit kan niet worden afgeleid dat in dat decreet alle voornoemde ‘essentiële elementen’ inzake gegevensverwerking zouden worden geregeld die het de Vlaamse Regering nu mogelijk zouden maken om al deze elementen zonder andere, specifieke decretale basis te regelen in het voorliggende ontwerp van besluit. Dergelijke regeling ontbeert in die mate de vereiste decretale grondslag.”

Toen de gemachtigde in het kader van dit ontwerp verder bevraagd werd, antwoordde die:

“De essentiële gegevens rond de hier vermelde verwerking van gegevens zijn opgenomen in verschillende artikelen van het Mestdecreet. De nadere bepaling van de te verwerken gegevens volgt uit de betreffende inhoudelijke bepalingen van het Mestdecreet (…). Verder kan er ook verwezen worden naar het artikel 4 van het Mestdecreet, dat de verschillende doelstellingen waarmee de VLM in het kader van het Mestdecreet belast wordt, vermeldt en onder meer bepaalt dat de VLM hiervoor de aangegeven gegevens moet registreren en hiervoor een databank moet uitbouwen en beheren, en naar het artikel 4, §4 en artikel 23, §6, van het Mestdecreet, die de personen bepalen die toegang hebben tot de betreffende gegevens. Evenals naar de bepalingen van het Bestuursdecreet van 7 december 2018 aangaande de termijn voor het bijhouden van gegevens.

Het artikel 4 van het Mestdecreet bevat ook een delegatie voor de Vlaamse Regering om de VLM met bijkomende taken te belasten in het kader van de doelstellingen van dit decreet. Deze delegatie, gelezen in samenhang met de verschillende delegaties opgenomen in de betreffende inhoudelijke bepalingen, biedt rechtsgrond voor artikel 12.”

Die toelichting deed aan de conclusie van de afdeling Wetgeving in het voormelde advies evenwel niet af. Dat gold in elk geval om de maximale bewaartermijn te bepalen. Een verwijzing naar “selectieregels, opgemaakt ter uitvoering van artikel III.87 van het Bestuursdecreet van 7 december 2018” volstond immers niet om te besluiten dat voor de bewaartermijn van de persoonsgegevens voldoende decretale grondslag bestond. Volgens artikel III.87, §1, eerste lid, 2°, van het Bestuursdecreet van 7 december 2018 regelen de selectieregels voor elke categorie van bestuursdocumenten “het administratieve of juridische nut, verduidelijkt door een bewaartermijn met bijbehorende motivering”. Zoals de Raad van State, afdeling Wetgeving, eerder al heeft vastgesteld, is in dat artikel zelf geen bewaartermijn opgenomen. (Zie bv. adv.RvS 71.656/1 van 29 juni 2022 over een voorontwerp dat heeft geleid tot het decreet van 10 november 2022 tot wijziging van het decreet van 30 april 2004 tot oprichting van het intern verzelfstandigd agentschap met rechtspersoonlijkheid Opgroeien regie en het decreet van 7 juli 2017 tot oprichting van een publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaams Agentschap voor de Uitbetaling van Toelagen in het kader van het Gezinsbeleid, tot vaststelling van vergunningsnormen voor private uitbetalingsactoren en tot wijziging van het decreet van 30 april 2004 betreffende de oprichting van het intern verzelfstandigd agentschap met rechtspersoonlijkheid Kind en Gezin, opm. 4; adv.RvS 71.887/1/V van 19 september 2022 over een voorontwerp dat heeft geleid tot het decreet van 17 februari 2023 tot wijziging van het decreet van 22 december 2017 over het lokaal bestuur, opm. 4.3.)

Aangezien de bewaartermijn als een essentieel element van de verwerking van persoonsgegevens moet worden beschouwd, kon het bepalen van die termijn niet zonder meer worden gedelegeerd, en al helemaal niet worden overgelaten aan een selectiecommissie die, conform artikel III.88, §1, van het Bestuursdecreet van 7 december 2018, de selectieregels opstelde en actualiseerde of goedkeurde. ( Advies 77.162/16 van 26 november 2024 over een ontwerp van besluit van de Vlaamse Regering tot wijziging van de VLAREME van 28 oktober 2016, wat betreft de aangifte en het register voor kunstmest en de bemesting, p.4-6, punt 4)