Privacyverklaring

Voor de uitoefening van één van je rechten kun je een verzoek indienen via het aanvraagformulier uitoefening rechten in verband met persoonsgegevens. Identificeer je hierbij voldoende duidelijk en preciseer zoveel als mogelijk op welke gegevens of welke specifieke verwerkingsactiviteiten jouw verzoek betrekking heeft.

#veryvives

Door gebruik te maken van de hashtag #veryvives, geef je VIVES toestemming om:

• jouw foto te delen op onze socialmediakanalen
• de afbeelding te gebruiken op onze website www.vives.be
• door jou gemaakte foto’s te gebruiken in onze magazines, mailings, op sociale media of nieuwsbrieven

Jij blijft echter altijd de eigenaar van de oorspronkelijke foto. Waar mogelijk vermelden we ook je naam bij de foto.

Vragen en feedback

privacy@vives.be

PROTOCOL 01/2020/VLUHR - VZW Katholieke hogeschool VIVES Noord VOOR DE ELEKTRONISCHE MEDEDELING VAN PERSOONSGEGEVENS VAN VLUHR NAAR VZW Katholieke hogeschool VIVES Noord in het kader van Brains on the Move

04.01.2021

Dit protocol wordt gesloten conform artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer.

Vlaamse Universiteiten en Hogescholen Raad (VLUHR), vertegenwoordigd door Eric Vermeylen en Koen Verlaeckt, secretarissen-generaal ingeschreven in het KBO met nummer 0832132118 waarvan de administratieve zetel zich bevindt te Ravensteingalerij 27, 1000 BRUSSEL

hierna: “VLUHR”;

EN

VZW Katholieke hogeschool VIVES Noord, vertegenwoordigd door Joris Hindryckx, algemeen directeur en afgevaardigd bestuurder, ingeschreven in het KBO met nummer BE0455932266 waarvan de administratieve zetel zich bevindt te Doorniksesteenweg 145 in 8500 Kortrijk

hierna: “hogeronderwijsinstelling”, “betrokken instelling” of “instelling”;

VLUHR en de HOI worden hieronder ook wel afzonderlijk aangeduid als een “partij” of gezamenlijk als de “partijen”;

NA TE HEBBEN UITEENGEZET

A. Artikel 8 van het decreet betreffende het elektronische bestuurlijke gegevensverkeer stelt dat een protocol is vereist wanneer er een elektronische mededeling is van gegevens tussen instanties of naar een externe overheid.

Voor een definitie van een instantie wordt hier verwezen naar artikel I.3 - 1°, artikel I.3 - 5°, artikel I.3 - 6° en artikel I.3 - 7° van het Bestuursdecreet van 7 december 2018. Het protocol dient gesloten te worden tussen de verwerkingsverantwoordelijken. Zowel VLUHR als de betrokken hogeronderwijsinstelling voldoen aan de definitie van een ‘instellingen met een publieke taak’, zoals omschreven in artikel I.3 – 6° van het decreet.

B. De Vlaamse Hogescholen en Universiteiten Raad – afgekort VLUHR, heeft als doel (zie bijlage BS-20130328-statutenwijziging) :

• Artikel 3.1 De vereniging heeft tot doel, met uitsluiting van elk materieel winstbejag, de samenwerking tussen de Vlaamse instellingen voor hoger onderwijs en de associaties te bevorderen. Zij kan daartoe overleg tussen instellingen en associaties organiseren. VLUHR fungeert als gemeenschappelijk aanspreekpunt in en voor het hogeronderwijslandschap en verstrekt adviezen aan de bevoegde overheden op vraag en op eigen initiatief. De VLUHR fungeert als platform voor de voorbereiding van en de standpuntinname bij de werking van het Vlaams Onderhandelingscomité voor het hoger onderwijs, wat de hogescholen, associaties en universiteiten betreft.

• Artikel 3.2 De vereniging heeft eveneens volgende specifieke opdrachten: o de externe kwaliteitszorg van de opleidingen van het Vlaams hoger onderwijs; o de internationale samenwerking in het Vlaams hoger onderwijs; o de ontwikkelingssamenwerking in het Vlaams hoger onderwijs. De vereniging kan ten behoeve van de uitvoering van de specifieke opdrachten een beroep doen op nieuwe of reeds functionerende zelfstandige entiteiten, of afzonderlijke zelfstandige entiteiten en rechtspersonen opzetten of daarin participeren.

C. Onder het beheer van de Vlaamse Universiteiten en Hogescholen Raad – afgekort VLUHR - kunnen Vlaamse studenten met 5 beurzenprogramma’s naar het buitenland gaan voor een studie, stage of onderzoek in het kader van hun thesis. De beurzenprogramma’s maken deel uit van het actieplan mobiliteit ‘Brains on the move’ van het departement Onderwijs & Vorming.

• Het departement Onderwijs & Vorming stelt beurzen beschikbaar voor het ASEM-DUOprogramma. Het doel van dit programma is de promotie van studentenuitwisseling tussen Vlaanderen en 4 landen in Azië, nl. China, Indië, Vietnam en Zuid-Korea. Onder ASEM-DUO zijn er enkel uitwisselingen van twee studenten in een kader van een duoproject mogelijk. De administratieve opvolging van de aanvragen gebeurt door de VLUHR. De financiële opvolging van de studentendossiers gebeurt door het ASEM-Duosecretariaat in Zuid-Korea. De extra toelage die studenten uit een ondervertegenwoordigde groep ontvangen wordt wel door de VLUHR uitbetaald.

• Het departement Onderwijs & Vorming stelt beurzen beschikbaar voor het ASEM Work Placement programma. Het doel van dit programma is de promotie van studentenuitwisseling voor stage tussen Vlaanderen en de Aziatische landen die deel uitmaken van het ASEM proces. De administratieve en financiële opvolging van de studentendossiers gebeurt door de VLUHR.

• Het departement Onderwijs & Vorming stelt beurzen beschikbaar onder het Priority Country Programme. Het doel van dit programma is de promotie van studentenuitwisseling tussen Vlaanderen en prioritaire landen; nl. Brazilië, Chili, Japan, Marokko, Mexico, Rusland, Turkije, de VS en Zuid-Afrika. Onder het Priority Country Programme is zowel een uitwisseling van twee studenten in een kader van een duoproject mogelijk, als enkel uitgaande mobiliteit vanuit Vlaanderen. De administratieve en financiële opvolging van de studentendossiers gebeurt door de VLUHR.

• The Washington Center is een onafhankelijke, non-profit organisatie, die stages en academische seminaries aanbiedt aan studenten van Vlaamse universiteiten en hogescholen. Het departement Onderwijs & Vorming stelt per academiejaar 12 beurzen van € 9.000,- beschikbaar voor Vlaamse studenten die gedurende één semester een stage willen lopen bij internationale organisaties of bedrijven in Washington. De administratieve en financiële opvolging van de studentendossiers gebeurt door de VLUHR.

• De Vlaamse overheid kent Generieke beurzen voor mobiliteiten buiten Europa toe aan studenten uit opleidingen op niveau 5, 6 of 7 van de Vlaamse kwalificatiestructuur. Het programma beoogt mobiliteit te stimuleren complementair aan de mogelijkheden binnen het ‘Erasmus+’-programma. De mobiliteit van minimum 1 maand (minimum 5 credits) en maximum 12 maanden heeft betrekking op studie, stage of onderzoek in het kader van een eindwerk. De selectie van de studenten gebeurt binnen de hogeronderwijsinstelling. Het financieringsprogramma wordt beheerd en ondersteund door de VLUHR in samenwerking met het departement Onderwijs & Vorming. De universiteiten en hogescholen ontvangen van de VLUHR een uit te geven budget op basis van hun studentenaantallen die ze kunnen gebruiken om studenten op mobiliteit te sturen en staan in voor de individuele betalingen per student.

Er wordt minstens 25% van de beurzen toegekend aan studenten uit ondervertegenwoordigde groepen. Hieronder wordt begrepen:

• Studenten die een Vlaamse studietoelage ontvangen, geconfirmeerd door AHOVOKS

• Studenten met een functiebeperking (erkend via het Vlaams Agentschap voor Personen met een Handicap)

• Werkstudenten in een werktraject. De student moet werknemer zijn of werkzoekende waarbij de opleiding kadert in een door de arbeidsbemiddelingsdienst voorgesteld traject naar werk. De student mag bovendien nog niet in het bezit zijn van een masterdiploma of een tweede cyclusdiploma.

Niet alleen moet de 25% regel worden toegepast bij de toekenning van de beurzen, studenten die bij een ondervertegenwoordigde groep horen krijgen ook een extra toelage. De toelage verschilt per beurzenprogramma. Om na te gaan of de student al dan niet bij een ondervertegenwoordigde groep behoort en dus mogelijks recht heeft op deze extra toelage, vraagt de VLUHR aan AHOVOKS om op basis van de naam, de voornaam, de geboortedatum en de geboorteplaats van de student dit te controleren. Enkel de gegevens van AHOVOKS worden aanzien als de correcte data waarop VLUHR zich kan baseren.

De VLUHR maakt per beurzenprogramma een met wachtwoord beveiligde Excel lijst met daarop naam, voornaam, de geboortedatum en de geboorteplaats van alle geselecteerde en reservestudenten die (mogelijks) zullen deelnemen aan de verschillende beurzenprogramma’s. Deze persoonsgegevens werden voor de beurzenprogramma’s Priority Country Programme en The Washington Center en ASEM WPP reeds door de studenten ingevoerd op het online platform: https://service4mobility.com/europe/LoginServlet.

Voor de beurzenprogramma’s ASEM-DUO en generieke beurzen wordt gebruik gemaakt van Excel lijsten ingediend door de hogeschool of universiteit van de studenten. In april/mei/juni en november/januari (voor ASEM WPP) worden de verschillende Excel lijsten opgemaakt door de VLUHR, via e-mail doorgestuurd naar de contactpersoon van AHOVOKS. AHOVOKS vult per student aan of hij/zij al dan niet tot een ondervertegenwoordigde groep behoort.

Voor de beurzenprogramma’s Priority Country Programme en The Washington Center worden eventuele verschillen met de informatie ingevuld door de student aangepast in zijn/haar dossier op het online platform https://service4mobility.com/europe/LoginServlet. Verschillen met de informatie aangeleverd via het aanvraagformulier van de Generieke beurzen worden aangepast in de individuele lijsten aangeleverd door de hogeronderwijsinstelling.

D. De partijen wensen overeenkomstig artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer een protocol te sluiten met betrekking tot de elektronische mededeling van persoonsgegevens. Dat protocol wordt bekendgemaakt op de website van beide partijen.

E. De functionaris voor gegevensbescherming van de hogeronderwijsinstelling heeft op 01-12- 2020 advies met betrekking tot een ontwerp van dit protocol gegeven.

F. De functionaris voor gegevensbescherming van VLUHR heeft op 28-09-2020 advies met betrekking tot een ontwerp van dit protocol gegeven.

WORDT OVEREENGEKOMEN WAT VOLGT:

Artikel 1:

Onderwerp In dit protocol worden de voorwaarden en modaliteiten van de elektronische mededeling van de persoonsgegevens zoals omschreven in artikel 3 door VLUHR aan de hogeronderwijsinstelling uiteengezet.

Artikel 2: Rechtvaardigingsgronden van zowel de mededeling als de inzameling van de persoonsgegevens

De beoogde gegevensverwerking door de hogeronderwijsinstelling is noodzakelijk voor de uitvoering van een overeenkomst, waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen (Art. 6, 1-b AVG).

VLUHR heeft de opgevraagde gegevens oorspronkelijk verzameld voor volgende doeleinden:

• Onder het beheer van de VLUHR kunnen Vlaamse studenten met volgende beurzenprogramma’s naar het buitenland voor studies, stage of onderzoek in het kader van hun thesis; ASEM-DUO, ASEM WPP, Priority Country Programme, The Washington Center en Generieke beurzen. Minimum 25% van de beurzen wordt toegekend aan studenten uit ondervertegenwoordigde groepen. Hieronder worden begrepen:

o Studenten die een Vlaamse studietoelage ontvangen, geconfirmeerd door AHOVOKS;

o Studenten met een functiebeperking (erkend door het VAPH);

o Werkstudenten in een werktraject. De student moet werknemer zijn of werkzoekende waarbij de opleiding kadert in een door de arbeidsbemiddelingsdienst voorgesteld traject naar werk. De student mag bovendien nog niet in het bezit zijn van een masterdiploma of een tweede cyclusdiploma.

• Niet alleen moet de 25%-regel worden toegepast bij toekenning van de beurzen, studenten die bij een ondervertegenwoordigde groep horen krijgen ook een extra toelage. Deze toelage verschilt per beurzenprogramma. Om na te gaan of een student al dan niet bij een ondervertegenwoordigde groep behoort en dus mogelijks recht heeft op deze extra toelage, vraagt de VLUHR aan AHOVOKS dit op basis van de naam, de voornaam, de geboortedatum en de geboorteplaats van de student na te gaan.

Het doeleinde van de verdere verwerking van deze persoonsgegevens door de hogeronderwijsinstelling is verenigbaar met de doeleinden waarvoor VLUHR de gegevens oorspronkelijk heeft verzameld, gezien zij beide tot doel hebben een democratisering van het hoger onderwijs te realiseren.

Deze verdere verwerking is ook expliciet voorzien in het protocol voor elektronische gegevensoverdracht dat op 15-05-2020 werd afgesloten tussen AHOVOKS en VLUHR.

Artikel 3: De gevraagde persoonsgegevens en de categorieën en omvang van de gevraagde persoonsgegevens conform het proportionaliteitsbeginsel

In onderstaande tabel wordt een overzicht gegeven van de verschillende persoonsgegevens die worden meegedeeld, alsook de verantwoording van de proportionaliteit en de bewaartermijn van de gegevens. Het betreft geen persoonsgegevens als vermeld in artikel 9 en/of 10 van de algemene verordening gegevensbescherming.

De meegedeelde gegevens zullen door de hogeronderwijsinstelling gedurende maximum 12 maanden na de rapportering aan de financierende overheid bewaard worden. Deze bewaartermijn kan worden verantwoord gezien de informatie opgevraagd kan worden bij controle van de uitvoering van het project door de gemachtigde ambtenaren van de Vlaamse overheid en/of het Rekenhof.

Artikel 4: De categorieën van ontvangers en derden die mogelijks de gegevens eveneens verkrijgen

De hogeronderwijsinstelling zal de meegedeelde persoonsgegevens in het kader van de in artikel 2, 2°, vooropgestelde finaliteiten kunnen meedelen aan volgende categorie(ën) van ontvangers:

Enkel de beheerders van de beurzenprogramma’s binnen de Vlaamse universiteiten en hogescholen zullen toegang hebben tot de gevraagde persoonsgegevens. Enkel personen die omwille van hun functieprofiel deze informatie nodig hebben voor de uitvoering van hun werk, en aan vertrouwelijkheid gebonden zijn middels het arbeidscontract en/of de statutaire bepalingen krijgen toegang tot de informatie. Het gaat daarbij om:

• Generieke beurzen: De beheerder binnen de hogeronderwijsinstelling heeft de correcte status nodig van de dossiers van zijn/haar studenten bij AHOVOKS aangezien hij/zij instaat voor de uitbetaling van de correcte beursbedragen aan deze studenten. Ook moet er worden voldaan aan de 25% regel uit ondervertegenwoordigde groepen.

• Overige beurzenprogramma’s: De beheerders worden wel geïnformeerd over het bedrag dat elk van zijn/haar studenten ontvangt waardoor ze door het aanleveren van deze informatie automatisch op de hoogte worden gebracht over de status van de dossiers van deze studenten.

Elke eventuele mededeling van de gevraagde persoonsgegevens door de hogeronderwijsinstelling aan andere organisaties dan vermeldt in dit protocol, moet voorafgaandelijk aan VLUHR worden gemeld en moet uiteraard in overeenstemming zijn met de relevante wet- en regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens.

Dat betekent onder meer dat VLUHR in het kader van haar protocol met AHOVOKS de nodige mededelingen doet en dat de betrokken hogeronderwijsinstelling waar vereist een protocol sluit voor de mededeling van de gevraagde gegevens.

Artikel 5. Periodiciteit van de mededeling en de duur van de mededeling

De persoonsgegevens zullen periodiek worden opgevraagd omdat er bij een wissel van studenten die niet op de reservelijst stonden of laattijdige aanvragen, er ook op andere momenten lijsten worden opgestuurd. Standaard wordt de lijst in mei/juni en december/januari verzonden. De mededeling van de persoonsgegevens gebeurt voor onbepaalde duur of zolang er financiering is voor ten minste één van de beurzenprogramma’s. Elk jaar opnieuw moet de student een aanvraag indienen betreffende bovengenoemde toelages en melden zich andere studenten aan voor de beurzenprogramma’s waardoor de VLUHR jaarlijks een nieuw nazicht bij AHOVOKS moet aanvragen.

Artikel 6: Beveiligingsmaatregelen

Volgende specifieke maatregelen worden getroffen ter beveiliging van de mededeling van de persoonsgegevens, vermeld in artikel 2:

Het bestand wordt versleuteld (minimaal AES-256 bit encryptie) en op die manier overgedragen via email.

Het wachtwoord wordt via een ander communicatiekanaal bezorgd, waarbij gebruik gemaakt wordt van end-to-end encryptie (bvb. WhatsApp of Signal).

Zowel de verzender als ontvanger krijgen de instructie om de email en het bijhorende bestand te verwijderen na de gegevensoverdracht.

De betrokken hogeronderwijsinstelling treft ten minste volgende organisatorische en technische beveiligingsmaatregelen ter beveiliging van de ontvangen persoonsgegevens bij verdere verwerking:

1. Evaluatie van de beveiligingsbehoeften die eigen zijn aan de organisatie

2. Identificatie van de diverse dragers waarbij persoonsgegevens betrokken zijn

3. Informatie ten aanzien van de interne en externe personeelsleden die bij de verwerking van persoonsgegevens betrokken zijn omtrent de vertrouwelijkheids- en beveiligingsplichten ten aanzien van deze gegevens die voortvloeien uit dit protocol

4. Beheersmaatregelen ter verhindering van de niet-gemachtigde of onnodige fysieke toegang tot dragers die persoonsgegevens bevatten

5. Maatregelen ter verhindering van elke fysieke schade die de persoonsgegevens in gevaar zouden kunnen brengen

6. Beheersmaatregelen genomen ter bescherming van de verschillende netwerken waarmee de apparatuur die de persoonsgegevens verwerkt, is verbonden

7. Het beschikken over een actuele lijst van de verschillende bevoegde personen die toegang hebben tot deze persoonsgegevens en van hun respectievelijk toegangsniveau (creatie, raadpleging, wijziging, vernietiging)

8. Het voorzien van een mechanisme voor toegangsmachtiging zodat de persoonsgegevens en de verwerkingen die er betrekking op hebben enkel toegankelijk zijn voor de personen en toepassingen die hiertoe uitdrukkelijk gemachtigd zijn

9. Het voorzien dat de geldigheid en de doeltreffendheid in de tijd van de ingestelde organisatorische en technische maatregelen gecontroleerd worden ter garantie van de beveiliging van de persoonsgegevens

10. Het voorzien in urgentieprocedures en rapporteringsprocedures bij beveiligingsincidenten waarbij persoonsgegevens betrokken zijn

11. Het beschikken over een bijgewerkte verklaring betreffende de verschillende genomen beheersmaatregelen ter bescherming van persoonsgegevens en de verschillende verwerkingen die er betrekking op hebben

De betrokken hogeronderwijsinstelling moet kunnen aantonen dat de in dit artikel opgesomde maatregelen werden getroffen. Op eenvoudig verzoek van VLUHR moet de instelling hiervan aan VLUHR het bewijs overmaken.

In het geval dat de hogeronderwijsinstelling voor de verwerking van persoonsgegevens die het voorwerp zijn van voorliggend protocol, beroep doet op een verwerker (of meerdere verwerkers), doet de instelling uitsluitend beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van de algemene verordening gegevensbescherming voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd.

De betrokken instelling sluit in voorkomend geval met alle verwerkers een verwerkersovereenkomst in overeenstemming met artikel 28 van de algemene verordening gegevensbescherming. Partijen bezorgen elkaar een overzicht van de verwerkers die de gevraagde gegevens verwerken, en actualiseren dit overzicht zo nodig.

Artikel 7: Kwaliteit van de persoonsgegevens

Zodra de hogeronderwijsinstelling één of meerdere foutieve, onnauwkeurige, onvolledige, ontbrekende, verouderde of overtollige gegevens in de persoonsgegevens, vermeld in artikel 3, vaststelt (al dan niet op basis van een mededeling van de betrokkene, meldt zij dat onmiddellijk aan VLUHR die na onderzoek van de voornoemde vaststellingen de gepaste maatregelen treft en zowel AHOVOKS als de betrokken instelling daarvan vervolgens op de hoogte brengt. De gegevens zullen door VLUHR worden aangeleverd zoals bepaald in dit protocol. Indien er een of andere vorm van wijziging nodig is in de aan te leveren aanvullende gegevens, niet besproken in dit protocol, dan dient er een nieuw protocol opgesteld te worden.

Artikel 8: Sanctie bij niet-naleving

Onverminderd haar recht om een schadevergoeding te vorderen en in afwijking van artikel 5, 2°, kan VLUHR dit protocol middels eenvoudige kennisgeving en zonder voorafgaandelijke ingebrekestelling eenzijdig beëindigen indien de betrokken hogeronderwijsinstelling deze persoonsgegevens verwerkt in strijd met hetgeen bepaald is in dit protocol, met de algemene verordening gegevensbescherming of met andere relevante wet- of regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens.

Artikel 9: Meldingsplichten

Partijen engageren zich in het licht van artikel 33 van de algemene verordening gegevensbescherming om elkaar zonder onredelijke vertraging op de hoogte te stellen van elk gegevenslek dat zich voordoet betreffende de meegedeelde gegevens met impact op beide partijen en in voorkomend geval onmiddellijk gezamenlijk te overleggen teneinde alle maatregelen te nemen om de gevolgen van het gegevenslek te beperken en te herstellen. De partijen verschaffen elkaar alle informatie die ze nuttig of nodig achten om de beveiligingsmaatregelen te optimaliseren. Partijen engageren zich om alle informatie ter beschikking te stellen die nodig is om aan te tonen dat aan alle verplichtingen is voldaan, inclusief het meewerken aan audits door de verantwoordelijke of een aangestelde derde Partijen engageren zich om elkaar te informeren in geval van een instructie die indruist tegen de bepalingen van de AVG of andere relevante wetgeving.

Artikel 10: Transparantie

Partijen informeren de betrokkenen, in het licht van het transparantiebeginsel van de algemene verordening, via publicatie op hun website. Dit protocol zal door VLUHR worden gepubliceerd via de www.studentsonthemove.be. Dit protocol zal door de hogeronderwijsinstelling gepubliceerd worden via de website https://www.vives.be/nl/privacyverklaring

Artikel 11: Toepasselijk recht en geschillenbeslechting

Dit protocol wordt beheerst door het Belgisch recht. Alle geschillen die voortvloeien uit of verband houden met dit protocol worden beslecht door de bevoegde rechtbank in Brussel.

Artikel 12: Inwerkingtreding en opzegging

Dit protocol treedt in werking op zodra beide partijen ondertekend hebben.

Het protocol eindigt van rechtswege na afloop van de in artikel 5 van dit protocol bedoelde termijn van mededeling. Het protocol eindigt tevens van rechtswege wanneer er geen rechtsgrond meer bestaat voor de gevraagde doorgifte van persoonsgegevens.

Opgemaakt te Kortrijk, op 05-01-2021 , in evenveel exemplaren als dat er partijen zijn.

Joris Hindryckx, algemeen directeur Hogeschool VIVES Noord en Koen Verlaeckt en Eric Vermeylen, Secretarissen-generaal VLUHR

PROTOCOL 01/2020/VLUHR - VZW Katholieke hogeschool VIVES Zuid VOOR DE ELEKTRONISCHE MEDEDELING VAN PERSOONSGEGEVENS VAN VLUHR NAAR VZW Katholieke hogeschool VIVES Zuid in het kader van Brains on the Move

04.01.2021

Dit protocol wordt gesloten conform artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer.

Vlaamse Universiteiten en Hogescholen Raad (VLUHR), vertegenwoordigd door Eric Vermeylen en Koen Verlaeckt, secretarissen-generaal ingeschreven in het KBO met nummer 0832132118 waarvan de administratieve zetel zich bevindt te Ravensteingalerij 27, 1000 BRUSSEL

hierna: “VLUHR”;

EN

VZW Katholieke hogeschool VIVES Zuid, vertegenwoordigd door Joris Hindryckx, algemeen directeur en afgevaardigd bestuurder, ingeschreven in het KBO met nummer BE0455922071 waarvan de administratieve zetel zich bevindt te Doorniksesteenweg 145 in 8500 Kortrijk

hierna: “hogeronderwijsinstelling”, “betrokken instelling” of “instelling”;

VLUHR en de HOI worden hieronder ook wel afzonderlijk aangeduid als een “partij” of gezamenlijk als de “partijen”;

NA TE HEBBEN UITEENGEZET

A. Artikel 8 van het decreet betreffende het elektronische bestuurlijke gegevensverkeer stelt dat een protocol is vereist wanneer er een elektronische mededeling is van gegevens tussen instanties of naar een externe overheid.

Voor een definitie van een instantie wordt hier verwezen naar artikel I.3 - 1°, artikel I.3 - 5°, artikel I.3 - 6° en artikel I.3 - 7° van het Bestuursdecreet van 7 december 2018. Het protocol dient gesloten te worden tussen de verwerkingsverantwoordelijken. Zowel VLUHR als de betrokken hogeronderwijsinstelling voldoen aan de definitie van een ‘instellingen met een publieke taak’, zoals omschreven in artikel I.3 – 6° van het decreet.

B. De Vlaamse Hogescholen en Universiteiten Raad – afgekort VLUHR, heeft als doel (zie bijlage BS-20130328-statutenwijziging) :

• Artikel 3.1 De vereniging heeft tot doel, met uitsluiting van elk materieel winstbejag, de samenwerking tussen de Vlaamse instellingen voor hoger onderwijs en de associaties te bevorderen. Zij kan daartoe overleg tussen instellingen en associaties organiseren. VLUHR fungeert als gemeenschappelijk aanspreekpunt in en voor het hogeronderwijslandschap en verstrekt adviezen aan de bevoegde overheden op vraag en op eigen initiatief. De VLUHR fungeert als platform voor de voorbereiding van en de standpuntinname bij de werking van het Vlaams Onderhandelingscomité voor het hoger onderwijs, wat de hogescholen, associaties en universiteiten betreft.

• Artikel 3.2 De vereniging heeft eveneens volgende specifieke opdrachten:

• de externe kwaliteitszorg van de opleidingen van het Vlaams hoger onderwijs;
• de internationale samenwerking in het Vlaams hoger onderwijs;
• de ontwikkelingssamenwerking in het Vlaams hoger onderwijs.

De vereniging kan ten behoeve van de uitvoering van de specifieke opdrachten een beroep doen op nieuwe of reeds functionerende zelfstandige entiteiten, of afzonderlijke zelfstandige entiteiten en rechtspersonen opzetten of daarin participeren.

C. Onder het beheer van de Vlaamse Universiteiten en Hogescholen Raad – afgekort VLUHR - kunnen Vlaamse studenten met 5 beurzenprogramma’s naar het buitenland gaan voor een studie, stage of onderzoek in het kader van hun thesis. De beurzenprogramma’s maken deel uit van het actieplan mobiliteit ‘Brains on the move’ van het departement Onderwijs & Vorming.

• Het departement Onderwijs & Vorming stelt beurzen beschikbaar voor het ASEM-DUOprogramma. Het doel van dit programma is de promotie van studentenuitwisseling tussen Vlaanderen en 4 landen in Azië, nl. China, Indië, Vietnam en Zuid-Korea. Onder ASEM-DUO zijn er enkel uitwisselingen van twee studenten in een kader van een duoproject mogelijk. De administratieve opvolging van de aanvragen gebeurt door de VLUHR. De financiële opvolging van de studentendossiers gebeurt door het ASEM-Duosecretariaat in Zuid-Korea. De extra toelage die studenten uit een ondervertegenwoordigde groep ontvangen wordt wel door de VLUHR uitbetaald.
• Het departement Onderwijs & Vorming stelt beurzen beschikbaar voor het ASEM Work Placement programma. Het doel van dit programma is de promotie van studentenuitwisseling voor stage tussen Vlaanderen en de Aziatische landen die deel uitmaken van het ASEM proces. De administratieve en financiële opvolging van de studentendossiers gebeurt door de VLUHR.
• Het departement Onderwijs & Vorming stelt beurzen beschikbaar onder het Priority Country Programme. Het doel van dit programma is de promotie van studentenuitwisseling tussen Vlaanderen en prioritaire landen; nl. Brazilië, Chili, Japan, Marokko, Mexico, Rusland, Turkije, de VS en Zuid-Afrika. Onder het Priority Country Programme is zowel een uitwisseling van twee studenten in een kader van een duoproject mogelijk, als enkel uitgaande mobiliteit vanuit Vlaanderen. De administratieve en financiële opvolging van de studentendossiers gebeurt door de VLUHR.
• The Washington Center is een onafhankelijke, non-profit organisatie, die stages en academische seminaries aanbiedt aan studenten van Vlaamse universiteiten en hogescholen. Het departement Onderwijs & Vorming stelt per academiejaar 12 beurzen van € 9.000,- beschikbaar voor Vlaamse studenten die gedurende één semester een stage willen lopen bij internationale organisaties of bedrijven in Washington. De administratieve en financiële opvolging van de studentendossiers gebeurt door de VLUHR.
• De Vlaamse overheid kent Generieke beurzen voor mobiliteiten buiten Europa toe aan studenten uit opleidingen op niveau 5, 6 of 7 van de Vlaamse kwalificatiestructuur. Het programma beoogt mobiliteit te stimuleren complementair aan de mogelijkheden binnen het ‘Erasmus+’-programma. De mobiliteit van minimum 1 maand (minimum 5 credits) en maximum 12 maanden heeft betrekking op studie, stage of onderzoek in het kader van een eindwerk. De selectie van de studenten gebeurt binnen de hogeronderwijsinstelling. Het financieringsprogramma wordt beheerd en ondersteund door de VLUHR in samenwerking met het departement Onderwijs & Vorming. De universiteiten en hogescholen ontvangen van de VLUHR een uit te geven budget op basis van hun studentenaantallen die ze kunnen gebruiken om studenten op mobiliteit te sturen en staan in voor de individuele betalingen per student.

Er wordt minstens 25% van de beurzen toegekend aan studenten uit ondervertegenwoordigde groepen. Hieronder wordt begrepen:

• Studenten die een Vlaamse studietoelage ontvangen, geconfirmeerd door AHOVOKS
• Studenten met een functiebeperking (erkend via het Vlaams Agentschap voor Personen met een Handicap)
• Werkstudenten in een werktraject. De student moet werknemer zijn of werkzoekende waarbij de opleiding kadert in een door de arbeidsbemiddelingsdienst voorgesteld traject naar werk. De student mag bovendien nog niet in het bezit zijn van een masterdiploma of een tweede cyclusdiploma.

Niet alleen moet de 25% regel worden toegepast bij de toekenning van de beurzen, studenten die bij een ondervertegenwoordigde groep horen krijgen ook een extra toelage. De toelage verschilt per beurzenprogramma. Om na te gaan of de student al dan niet bij een ondervertegenwoordigde groep behoort en dus mogelijks recht heeft op deze extra toelage, vraagt de VLUHR aan AHOVOKS om op basis van de naam, de voornaam, de geboortedatum en de geboorteplaats van de student dit te controleren. Enkel de gegevens van AHOVOKS worden aanzien als de correcte data waarop VLUHR zich kan baseren.

De VLUHR maakt per beurzenprogramma een met wachtwoord beveiligde Excel lijst met daarop naam, voornaam, de geboortedatum en de geboorteplaats van alle geselecteerde en reservestudenten die (mogelijks) zullen deelnemen aan de verschillende beurzenprogramma’s. Deze persoonsgegevens werden voor de beurzenprogramma’s Priority Country Programme en The Washington Center en ASEM WPP reeds door de studenten ingevoerd op het online platform: https://service4mobility.com/europe/LoginServlet.

Voor de beurzenprogramma’s ASEM-DUO en generieke beurzen wordt gebruik gemaakt van Excel lijsten ingediend door de hogeschool of universiteit van de studenten. In april/mei/juni en november/januari (voor ASEM WPP) worden de verschillende Excel lijsten opgemaakt door de VLUHR, via e-mail doorgestuurd naar de contactpersoon van AHOVOKS. AHOVOKS vult per student aan of hij/zij al dan niet tot een ondervertegenwoordigde groep behoort. Voor de beurzenprogramma’s Priority Country Programme en The Washington Center worden eventuele verschillen met de informatie ingevuld door de student aangepast in zijn/haar dossier op het online platform https://service4mobility.com/europe/LoginServlet. Verschillen met de informatie aangeleverd via het aanvraagformulier van de Generieke beurzen worden aangepast in de individuele lijsten aangeleverd door de hogeronderwijsinstelling.

D. De partijen wensen overeenkomstig artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer een protocol te sluiten met betrekking tot de elektronische mededeling van persoonsgegevens. Dat protocol wordt bekendgemaakt op de website van beide partijen.

E. De functionaris voor gegevensbescherming van de hogeronderwijsinstelling heeft op 01-12- 2020 advies met betrekking tot een ontwerp van dit protocol gegeven.

F. De functionaris voor gegevensbescherming van VLUHR heeft op 28-09-2020 advies met betrekking tot een ontwerp van dit protocol gegeven.

WORDT OVEREENGEKOMEN WAT VOLGT:

Artikel 1: Onderwerp

In dit protocol worden de voorwaarden en modaliteiten van de elektronische mededeling van de persoonsgegevens zoals omschreven in artikel 3 door VLUHR aan de hogeronderwijsinstelling uiteengezet.

Artikel 2: Rechtvaardigingsgronden van zowel de mededeling als de inzameling van de persoonsgegevens

De beoogde gegevensverwerking door de hogeronderwijsinstelling is noodzakelijk voor de uitvoering van een overeenkomst, waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen (Art. 6, 1-b AVG).

VLUHR heeft de opgevraagde gegevens oorspronkelijk verzameld voor volgende doeleinden:

• Onder het beheer van de VLUHR kunnen Vlaamse studenten met volgende beurzenprogramma’s naar het buitenland voor studies, stage of onderzoek in het kader van hun thesis; ASEM-DUO, ASEM WPP, Priority Country Programme, The Washington Center en Generieke beurzen. Minimum 25% van de beurzen wordt toegekend aan studenten uit ondervertegenwoordigde groepen. Hieronder worden begrepen:

• Studenten die een Vlaamse studietoelage ontvangen, geconfirmeerd door AHOVOKS;
• Studenten met een functiebeperking (erkend door het VAPH);
• Werkstudenten in een werktraject. De student moet werknemer zijn of werkzoekende waarbij de opleiding kadert in een door de arbeidsbemiddelingsdienst voorgesteld traject naar werk. De student mag bovendien nog niet in het bezit zijn van een masterdiploma of een tweede cyclusdiploma.

• Niet alleen moet de 25%-regel worden toegepast bij toekenning van de beurzen, studenten die bij een ondervertegenwoordigde groep horen krijgen ook een extra toelage. Deze toelage verschilt per beurzenprogramma. Om na te gaan of een student al dan niet bij een ondervertegenwoordigde groep behoort en dus mogelijks recht heeft op deze extra toelage, vraagt de VLUHR aan AHOVOKS dit op basis van de naam, de voornaam, de geboortedatum en de geboorteplaats van de student na te gaan.

Het doeleinde van de verdere verwerking van deze persoonsgegevens door de hogeronderwijsinstelling is verenigbaar met de doeleinden waarvoor VLUHR de gegevens oorspronkelijk heeft verzameld, gezien zij beide tot doel hebben een democratisering van het hoger onderwijs te realiseren.

Deze verdere verwerking is ook expliciet voorzien in het protocol voor elektronische gegevensoverdracht dat op 15-05-2020 werd afgesloten tussen AHOVOKS en VLUHR.

Artikel 3: De gevraagde persoonsgegevens en de categorieën en omvang van de gevraagde persoonsgegevens conform het proportionaliteitsbeginsel

In onderstaande tabel wordt een overzicht gegeven van de verschillende persoonsgegevens die worden meegedeeld, alsook de verantwoording van de proportionaliteit en de bewaartermijn van de gegevens.

Het betreft geen persoonsgegevens als vermeld in artikel 9 en/of 10 van de algemene verordening gegevensbescherming.

De meegedeelde gegevens zullen door de hogeronderwijsinstelling gedurende maximum 12 maanden na de rapportering aan de financierende overheid bewaard worden. Deze bewaartermijn kan worden verantwoord gezien de informatie opgevraagd kan worden bij controle van de uitvoering van het project door de gemachtigde ambtenaren van de Vlaamse overheid en/of het Rekenhof.

Artikel 4: De categorieën van ontvangers en derden die mogelijks de gegevens eveneens verkrijgen

De hogeronderwijsinstelling zal de meegedeelde persoonsgegevens in het kader van de in artikel 2, 2°, vooropgestelde finaliteiten kunnen meedelen aan volgende categorie(ën) van ontvangers:

Enkel de beheerders van de beurzenprogramma’s binnen de Vlaamse universiteiten en hogescholen zullen toegang hebben tot de gevraagde persoonsgegevens. Enkel personen die omwille van hun functieprofiel deze informatie nodig hebben voor de uitvoering van hun werk, en aan vertrouwelijkheid gebonden zijn middels het arbeidscontract en/of de statutaire bepalingen krijgen toegang tot de informatie. Het gaat daarbij om:

• Generieke beurzen: De beheerder binnen de hogeronderwijsinstelling heeft de correcte status nodig van de dossiers van zijn/haar studenten bij AHOVOKS aangezien hij/zij instaat voor de uitbetaling van de correcte beursbedragen aan deze studenten. Ook moet er worden voldaan aan de 25% regel uit ondervertegenwoordigde groepen.
• Overige beurzenprogramma’s: De beheerders worden wel geïnformeerd over het bedrag dat elk van zijn/haar studenten ontvangt waardoor ze door het aanleveren van deze informatie automatisch op de hoogte worden gebracht over de status van de dossiers van deze studenten.

Elke eventuele mededeling van de gevraagde persoonsgegevens door de hogeronderwijsinstelling aan andere organisaties dan vermeldt in dit protocol, moet voorafgaandelijk aan VLUHR worden gemeld en moet uiteraard in overeenstemming zijn met de relevante wet- en regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens.

Dat betekent onder meer dat VLUHR in het kader van haar protocol met AHOVOKS de nodige mededelingen doet en dat de betrokken hogeronderwijsinstelling waar vereist een protocol sluit voor de mededeling van de gevraagde gegevens.

Artikel 5. Periodiciteit van de mededeling en de duur van de mededeling

De persoonsgegevens zullen periodiek worden opgevraagd omdat er bij een wissel van studenten die niet op de reservelijst stonden of laattijdige aanvragen, er ook op andere momenten lijsten worden opgestuurd. Standaard wordt de lijst in mei/juni en december/januari verzonden.

De mededeling van de persoonsgegevens gebeurt voor onbepaalde duur of zolang er financiering is voor ten minste één van de beurzenprogramma’s. Elk jaar opnieuw moet de student een aanvraag indienen betreffende bovengenoemde toelages en melden zich andere studenten aan voor de beurzenprogramma’s waardoor de VLUHR jaarlijks een nieuw nazicht bij AHOVOKS moet aanvragen.

Artikel 6: Beveiligingsmaatregelen

Volgende specifieke maatregelen worden getroffen ter beveiliging van de mededeling van de persoonsgegevens, vermeld in artikel 2:

Het bestand wordt versleuteld (minimaal AES-256 bit encryptie) en op die manier overgedragen via email.

Het wachtwoord wordt via een ander communicatiekanaal bezorgd, waarbij gebruik gemaakt wordt van end-to-end encryptie (bvb. WhatsApp of Signal).

Zowel de verzender als ontvanger krijgen de instructie om de email en het bijhorende bestand te verwijderen na de gegevensoverdracht.

De betrokken hogeronderwijsinstelling treft ten minste volgende organisatorische en technische beveiligingsmaatregelen ter beveiliging van de ontvangen persoonsgegevens bij verdere verwerking:

1.  Evaluatie van de beveiligingsbehoeften die eigen zijn aan de organisatie
2.  Identificatie van de diverse dragers waarbij persoonsgegevens betrokken zijn 
3. Informatie ten aanzien van de interne en externe personeelsleden die bij de verwerking van persoonsgegevens betrokken zijn omtrent de vertrouwelijkheids- en beveiligingsplichten ten aanzien van deze gegevens die voortvloeien uit dit protocol
4. Beheersmaatregelen ter verhindering van de niet-gemachtigde of onnodige fysieke toegang tot dragers die persoonsgegevens bevatten
5. Maatregelen ter verhindering van elke fysieke schade die de persoonsgegevens in gevaar zouden kunnen brengen
6. Beheersmaatregelen genomen ter bescherming van de verschillende netwerken waarmee de apparatuur die de persoonsgegevens verwerkt, is verbonden
7. Het beschikken over een actuele lijst van de verschillende bevoegde personen die toegang hebben tot deze persoonsgegevens en van hun respectievelijk toegangsniveau (creatie, raadpleging, wijziging, vernietiging)
8. Het voorzien van een mechanisme voor toegangsmachtiging zodat de persoonsgegevens en de verwerkingen die er betrekking op hebben enkel toegankelijk zijn voor de personen en toepassingen die hiertoe uitdrukkelijk gemachtigd zijn
9. Het voorzien dat de geldigheid en de doeltreffendheid in de tijd van de ingestelde organisatorische en technische maatregelen gecontroleerd worden ter garantie van de beveiliging van de persoonsgegevens
10. Het voorzien in urgentieprocedures en rapporteringsprocedures bij beveiligingsincidenten waarbij persoonsgegevens betrokken zijn
11. Het beschikken over een bijgewerkte verklaring betreffende de verschillende genomen beheersmaatregelen ter bescherming van persoonsgegevens en de verschillende verwerkingen die er betrekking op hebben

De betrokken hogeronderwijsinstelling moet kunnen aantonen dat de in dit artikel opgesomde maatregelen werden getroffen. Op eenvoudig verzoek van VLUHR moet de instelling hiervan aan VLUHR het bewijs overmaken.

In het geval dat de hogeronderwijsinstelling voor de verwerking van persoonsgegevens die het voorwerp zijn van voorliggend protocol, beroep doet op een verwerker (of meerdere verwerkers), doet de instelling uitsluitend beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van de algemene verordening gegevensbescherming voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd.

De betrokken instelling sluit in voorkomend geval met alle verwerkers een verwerkersovereenkomst in overeenstemming met artikel 28 van de algemene verordening gegevensbescherming. Partijen bezorgen elkaar een overzicht van de verwerkers die de gevraagde gegevens verwerken, en actualiseren dit overzicht zo nodig.

Artikel 7: Kwaliteit van de persoonsgegevens

Zodra de hogeronderwijsinstelling één of meerdere foutieve, onnauwkeurige, onvolledige, ontbrekende, verouderde of overtollige gegevens in de persoonsgegevens, vermeld in artikel 3, vaststelt (al dan niet op basis van een mededeling van de betrokkene, meldt zij dat onmiddellijk aan VLUHR die na onderzoek van de voornoemde vaststellingen de gepaste maatregelen treft en zowel AHOVOKS als de betrokken instelling daarvan vervolgens op de hoogte brengt.

De gegevens zullen door VLUHR worden aangeleverd zoals bepaald in dit protocol. Indien er een of andere vorm van wijziging nodig is in de aan te leveren aanvullende gegevens, niet besproken in dit protocol, dan dient er een nieuw protocol opgesteld te worden.

Artikel 8: Sanctie bij niet-naleving

Onverminderd haar recht om een schadevergoeding te vorderen en in afwijking van artikel 5, 2°, kan VLUHR dit protocol middels eenvoudige kennisgeving en zonder voorafgaandelijke ingebrekestelling eenzijdig beëindigen indien de betrokken hogeronderwijsinstelling deze persoonsgegevens verwerkt in strijd met hetgeen bepaald is in dit protocol, met de algemene verordening gegevensbescherming of met andere relevante wet- of regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens.

Artikel 9: Meldingsplichten

Partijen engageren zich in het licht van artikel 33 van de algemene verordening gegevensbescherming om elkaar zonder onredelijke vertraging op de hoogte te stellen van elk gegevenslek dat zich voordoet betreffende de meegedeelde gegevens met impact op beide partijen en in voorkomend geval onmiddellijk gezamenlijk te overleggen teneinde alle maatregelen te nemen om de gevolgen van het gegevenslek te beperken en te herstellen. De partijen verschaffen elkaar alle informatie die ze nuttig of nodig achten om de beveiligingsmaatregelen te optimaliseren.

Partijen engageren zich om alle informatie ter beschikking te stellen die nodig is om aan te tonen dat aan alle verplichtingen is voldaan, inclusief het meewerken aan audits door de verantwoordelijke of een aangestelde derde Partijen engageren zich om elkaar te informeren in geval van een instructie die indruist tegen de bepalingen van de AVG of andere relevante wetgeving.

Artikel 10: Transparantie

Partijen informeren de betrokkenen, in het licht van het transparantiebeginsel van de algemene verordening, via publicatie op hun website.

Dit protocol zal door VLUHR worden gepubliceerd via de www.studentsonthemove.be.

Dit protocol zal door de hogeronderwijsinstelling gepubliceerd worden via de website https://www.vives.be/nl/privacyverklaring

Artikel 11: Toepasselijk recht en geschillenbeslechting

Dit protocol wordt beheerst door het Belgisch recht.

Alle geschillen die voortvloeien uit of verband houden met dit protocol worden beslecht door de bevoegde rechtbank in Brussel.

Artikel 12: Inwerkingtreding en opzegging

Dit protocol treedt in werking op zodra beide partijen ondertekend hebben.

Het protocol eindigt van rechtswege na afloop van de in artikel 5 van dit protocol bedoelde termijn van mededeling. Het protocol eindigt tevens van rechtswege wanneer er geen rechtsgrond meer bestaat voor de gevraagde doorgifte van persoonsgegevens.

Opgemaakt te Kortrijk, op 05-01-2021 , in evenveel exemplaren als dat er partijen zijn.

 Joris Hindryckx, algemeen directeur en Koen Verlaeckt en Eric Vermeylen, Secretarissen-generaal Hogeschool VIVES Zuid VLUHR

Protocol nr. 01/2021/HO-AHOVOKS-AZG 1 PROTOCOL nr. 01/2021/HO-AHOVOKS-AZG VOOR DE ELEKTRONISCHE MEDEDELING VAN PERSOONSGEGEVENS VAN DE INSTELLINGEN HOGER ONDERWIJS NAAR AHOVOKS EN AZG

in het kader van vaccinatie van studenten die stage lopen in geselecteerde zorgopleidingen

25 februari 2021

Dit protocol wordt gesloten conform artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer.

TUSSEN ____________________________________________________________________________________________________ (naam instelling), ingeschreven in het de Kruispuntdatabank van Ondernemingen met ondernemingsnummer (___________________), waarvan de administratieve zetel zich bevindt te (___________________________) hierna: “instelling”;

EN

Agentschap Hoger Onderwijs, Volwassenenonderwijs, Kwalificaties en Studietoelagen, ingeschreven in het de Kruispuntdatabank van Ondernemingen met ondernemingsnummer 0316.380.841 (vestigingseenheid 2.143.718.608), waarvan de administratieve zetel zich bevindt te BRUSSEL

hierna: “AHOVOKS”;

EN

Agentschap Zorg en Gezondheid, gevestigd te Koning Albert II laan 35/33, 1030 Schaarbeek, ingeschreven in de Kruispuntbank van Ondernemingen met ondernemingsnummer 0316.380.841 (vestigingseenheid 2.199.322.075), waarvan de administratieve zetel zich bevindt te BRUSSEL

hierna: “AZG”;

AHOVOKS, AZG en de instelling worden hieronder ook wel afzonderlijk aangeduid als een “partij” of gezamenlijk als de “partijen”;

Protocol nr. 01/2021/HO-AHOVOKS-AZG 2

NA TE HEBBEN UITEENGEZET

A. De volgende documenten beschrijven de opdracht(en) van de AHOVOKS, Afdeling Hoger Onderwijs en Volwassenenonderwijs en/of betogen de rechtmatigheid van de gevraagde (persoons)gegevens:

• Het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer

• De Codex Hoger Onderwijs van 11 oktober 2013

• Het Koninklijk Besluit van 5 september 1994 tot regeling van de toegang tot de informatiegegevens en van het gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen in hoofde van de afdeling Begroting en Gegevensbeheer en de Administraties Basisonderwijs, Secundair Onderwijs, Hoger Onderwijs en Wetenschappelijk Onderzoek en Permanente vorming van het departement Onderwijs van het Ministerie van de Vlaamse Gemeenschap en tot gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen in hoofde van de schooldirecties

• Het besluit van de Vlaamse Regering van 24 april 2009 tot oprichting van het intern verzelfstandigd Agentschap voor Hoger Onderwijs, Volwassenenonderwijs, Kwalificaties en Studietoelagen (B.S. 16.07.2009) - (verv. BVR 3 juli 2015, 14, I: 1 juli 2015)

B. De instellingen zijn de instellingen voor hoger onderwijs (hogescholen en universiteiten) conform Codex Hoger Onderwijs.

C. Het Agentschap Zorg en Gezondheid volgt de toediening van vaccinaties in Vlaanderen op. De studenten die stage lopen in de zorg worden in de vaccinatieronde van het zorgpersoneel meegenomen. Om de betrokkenen hierover te informeren wenst AZG een lijst van AHOVOKS te ontvangen van studenten die stage lopen in een geselecteerde zorgopleiding.

D. De partijen wensen overeenkomstig artikel 8, §1, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer een protocol te sluiten met betrekking tot de elektronische mededeling van persoonsgegevens. Dat protocol wordt bekendgemaakt op de website van beide partijen.

E. De functionaris voor gegevensbescherming van AHOVOKS heeft op 16 februari 2021 advies (met referentie 01/2021) met betrekking tot dit protocol gegeven.

F. De functionaris voor gegevensbescherming van AZG heeft op 18 februari 2021 advies met betrekking tot dit protocol gegeven.

G. De functionarissen voor gegevensbescherming van de universiteiten en hogescholen hebben op 15 februari 2021 hun opmerkingen met betrekking tot dit protocol gegeven, via de respectieve werkgroepen van VLIR en VLHORA.

WORDT OVEREENGEKOMEN WAT VOLGT:

Artikel 1: Onderwerp

In dit protocol worden de voorwaarden en modaliteiten van de elektronische mededeling van de persoonsgegevens zoals omschreven in artikel 3 door AHOVOKS aan AZG uiteengezet.

Artikel 2: Rechtvaardigingsgronden van zowel de mededeling als de inzameling van de persoonsgegevens

De instellingen hebben de gegevens initieel verzameld in het kader van hun onderwijsopdracht, zoals bepaald in Codex Hoger Onderwijs van 11 oktober 2013, Deel 2 – Structuur en organisatie van het Hoger Onderwijs.

De beoogde mededeling van persoonsgegevens door de instellingen aan AHOVOKS zal gebeuren op grond van "de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de verantwoordelijke voor de verwerking is opgedragen" zoals bepaald in artikel 6, 1, e) van de AVG, met name de vaccinaties in het kader van de bestrijding van de COVID-pandemie-19.

AZG zal de opgevraagde gegevens verwerken voor volgende doeleinden:

- Deze persoonsgegevens zijn nodig om de planning van de vaccinatie tegen COVID-19 te beheren, en met name de oproeping van de te vaccineren personen, de organisatie van de afspraken en de mededeling van deze gegevens aan derden die deze gegevens nodig hebben.

- De rechtsgrondslag voor de verwerking van uw persoonsgegevens is dat deze verwerking "noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de verantwoordelijke voor de verwerking is opgedragen" (artikel 6, lid 1, onder e), van de AVG) én “noodzakelijk om de vitale belangen van de betrokkene of van een ander natuurlijk persoon te beschermen” (artikel 6, lid 1, onder d) van de AVG). Deze rechtsgrondslag is de volgende:

• Wet van 22 december 2020 betreffende diverse maatregelen met betrekking tot snelle antigenentests en betreffende de registratie en verwerking van gegevens in verband met vaccinaties in het kader van de bestrijding van de COVID-pandemie19
• Koninklijk besluit van 24 december 2020 betreffende de registratie en de verwerking van de gegevens met betrekking tot de vaccinaties tegen COVID-19
• Dit koninklijk besluit houdt op uitwerking te hebben op de dag van de inwerkingtreding van een samenwerkingsakkoord tussen de federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waalse Gewest en de Franse Gemeenschapscommissie betreffende de registratie en de verwerking van de gegevens met betrekking tot de inentingen tegen COVID-19.
• Samenwerkingsakkoord tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waalse Gewest en de  Gemeenschapscommissie betreffende de organisatie en de registratie en de verwerking van de gegevens met betrekking tot de vaccinaties tegen COVIDC-19.

AZG ontvangt en verwerkt de persoonsgegevens enkel in het kader van dit Protocol. De verdere verwerking is ten bate van de studenten die stage lopen in een geselecteerde zorgopleiding. Er wordt hen de mogelijkheid geboden om desgewenst in een vroegere fase deel te nemen aan de vaccinaties tegen het COVID-19 virus.

Artikel 3: De categorieën en omvang van de medegedeelde persoonsgegevens conform het proportionaliteitsbeginsel

Onderstaand wordt een overzicht gegeven van de verschillende persoonsgegevens die worden meegedeeld, alsook de verantwoording van de proportionaliteit en de bewaartermijn van de gegevens.

Het betreft geen persoonsgegevens als vermeld in artikel 9 en/of 10 van de algemene verordening gegevensbescherming. Indien dat wel het geval is, wordt dit gespecificeerd in onderstaande tabel.

De meegedeelde gegevens zullen door AZG bewaard blijven tot maximaal 5 dagen na de publicatie na de bekendmaking van het koninklijk besluit waarbij het einde van de COVID-19- coronavirusepidemie wordt afgekondigd. Deze wettelijke bepaling is opgenomen in het Samenwerkingsakkoord tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waalse Gewest en de Franse Gemeenschapscommissie betreffende de organisatie en de registratie en de verwerking van de gegevens met betrekking tot de vaccinaties tegen COVID-19.

Artikel 4: De categorieën van ontvangers en derden die mogelijks de gegevens eveneens verkrijgen

AZG zal de meegedeelde persoonsgegevens in het kader van de in artikel 2, 2°, vooropgestelde finaliteiten kunnen meedelen aan volgende categorie(ën) van ontvangers:

- Volgende diensten van AZG zullen toegang hebben tot de gevraagde persoonsgegevens:

• Afdeling Preventie
• Afdeling Beleidsinformatie en Data

Enkel personen die omwille van hun functieprofiel deze informatie nodig hebben voor de uitvoering van hun werk, krijgen toegang tot de informatie.

- Daarnaast kunnen de gevraagde gegevens enkel worden medegedeeld aan of ingezien door derde ontvangers voor zover bepaald in het samenwerkingsakkoord tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waalse Gewest en de Franse Gemeenschapscommissie betreffende de verwerking van gegevens met betrekking tot vaccinaties tegen COVID-19.

Elke eventuele mededeling van de gevraagde persoonsgegevens door AHOVOKS of AZG moet voorafgaandelijk aan de instellingen worden gemeld en moet uiteraard in overeenstemming zijn met de relevante wet- en regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens. Dat betekent onder meer dat AZG waar vereist een protocol sluit voor de mededeling van de gevraagde gegevens.

Artikel 5. Periodiciteit van de mededeling en de duur van de mededeling

De persoonsgegevens zullen eenmalig worden opgevraagd zodat de betrokkenen kunnen geïnformeerd worden over hun mogelijkheid tot vaccinatie.

Er kan een bijkomende bevraging georganiseerd worden in geval dat er bijkomende groepen studenten in aanmerking komen bij een volgende vaccinatieronde.

Artikel 6: Beveiligingsmaatregelen

Volgende maatregelen worden getroffen ter beveiliging van de mededeling van de persoonsgegevens, vermeld in artikel 2:

- AHOVOKS en AZG hebben een Data Protection Officer, een veiligheidsconsulent, een veiligheidsbeleid en een veiligheidsplan.

- Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zijn bepaald in overeenstemming met de door de Vlaamse regering goedgekeurde informatieclassificatiemodel en bijhorende minimale technische en organisatorische maatregelen zoals goedgekeurd door het Stuurorgaan Vlaams Informatie en ICT-Beleid.

- De personeelsleden van AZG en AHOVOKS die toegang hebben tot de gegevens zijn statutair of contractueel gehouden tot vertrouwelijkheid.

Daarnaast werden ook volgende specifieke maatregelen in het kader van deze gegevensmededeling getroffen:

- De instellingen bezorgen AHOVOKS een lijst van studenten die stage lopen in een geselecteerde zorgopleiding via het beveiligd portaal van Mijn Onderwijs. Toegang tot dit portaal is beschermd via sterke authenticatie (ACM-IDM) met eIDAS-schaal ‘high’.

- De lijsten worden bewaard op een beveiligde map op de fileserver van AHOVOKS. Enkel een beperkt aantal data-analisten van AHOVOKS hebben hier toegang toe. AHOVOKS gebruikt de gegevens enkel om gegevens te matchen aan eigen databanken in het kader van kwaliteitscontrole van de aangeleverde gegevens.

- De door AHOVOKS gecontroleerde lijsten worden via een beveiligd portaal aangeleverd aan AZG. Toegang tot dit portaal is beschermd via sterke authenticatie (ACM-IDM) met eIDASschaal ‘high’.

- De data in alle databanken alsook in hun afgeleide back-ups zijn versleuteld.

- De data wordt bewaard binnen een beveiligde omgeving. Enkel de bevoegde personen hebben toegang tot die map.

In het geval dat AZG en AHOVOKS voor de verwerking van persoonsgegevens die het voorwerp zijn van voorliggend protocol, beroep doen op een verwerker (of meerdere verwerkers), doen de instellingen uitsluitend beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van de algemene verordening gegevensbescherming voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. AZG en AHOVOKS sluiten in voorkomend geval met alle verwerkers een verwerkersovereenkomst in overeenstemming met artikel 28 van de algemene verordening gegevensbescherming.

Artikel 7: Kwaliteit van de persoonsgegevens

Om de kwaliteit van de aangeleverde gegevens te waarborgen zal AHOVOKS een kwaliteitscontrole uitvoeren. Deze bestaat ten minste uit een steekproefsgewijze controle of de aangeleverde stagiairs voorkomen in de geselecteerde opleidingen volgens de databanken van AHOVOKS.

Zodra AHOVOKS één of meerdere foutieve, onnauwkeurige, onvolledige, ontbrekende, verouderde of overtollige gegevens in de persoonsgegevens, vermeld in artikel 3, vaststelt, meldt zij dat onmiddellijk schriftelijk aan de andere betrokken Partij die na onderzoek binnen 2 weken van de voornoemde vaststellingen de gepaste maatregelen treft.

De instelling die de gegevens aanlevert blijft als verantwoordelijke voor de verwerking aansprakelijk voor de aangeleverde gegevens.

Artikel 8: Transparantie

De Partijen informeren de betrokkenen, in het licht van het transparantiebeginsel van de AVG (zie in het bijzonder artikelen 12-14 AVG).

Betrokkenen kunnen via www.laatjevaccineren.be meer informatie terugvinden over vaccinatie procedures.

AHOVOKS publiceert het protocol na definitieve goedkeuring op de website: https://onderwijs.vlaanderen.be/informatieveiligheid

AZG publiceert het protocol na definitieve goedkeuring op de website: https://www.zorg-engezondheid.be/privacyverklaring

Artikel 9: Sanctie bij niet-naleving

Onverminderd haar recht om een schadevergoeding te vorderen en in afwijking van artikel 5, 2°, kan een van de Partijen dit protocol middels eenvoudige kennisgeving en zonder voorafgaandelijke ingebrekestelling eenzijdig beëindigen een andere Partij deze persoonsgegevens verwerken in strijd met hetgeen bepaald is in dit protocol, met de algemene verordening gegevensbescherming of met andere relevante wet- of regelgeving inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens.

Artikel 10: Meldingsplichten

Partijen engageren zich in het licht van artikel 33 van de algemene verordening gegevensbescherming om elkaar via de functionarissen voor gegevensbescherming zonder onredelijke vertraging op de hoogte te stellen van elk gegevenslek dat zich voordoet betreffende de meegedeelde gegevens met impact op beide partijen en in voorkomend geval onmiddellijk gezamenlijk te overleggen teneinde alle maatregelen te nemen om de gevolgen van het gegevenslek te beperken en te herstellen. De partijen verschaffen elkaar alle informatie die ze nuttig of nodig achten om de beveiligingsmaatregelen te optimaliseren.

AZG brengt AHOVOKS onmiddellijk op de hoogte van wijzigingen van wetgeving met impact op voorliggend protocol, zoals de finaliteit, proportionaliteit, frequentie, duurtijd enz. en in voorkomend geval van wijzigingen omtrent de verwerkers.

Bij vermoeden van fraude wordt, na overleg met de betrokken Partij, melding gedaan aan de bevoegde autoriteiten.

Het contactpunt voor de melding aan AHOVOKS is dpo.ahovoks@ond.vlaanderen.be

Artikel 11: Toepasselijk recht en geschillenbeslechting

Dit protocol wordt beheerst door het Belgisch recht.

Alle geschillen die voortvloeien uit of verband houden met dit protocol worden beslecht door de bevoegde rechtbank in Brussel.

Artikel 12: Inwerkingtreding en opzegging

Dit protocol treedt in werking op datum van ondertekening door de alle partijen. Het protocol eindigt van rechtswege 5 dagen na de publicatie na de bekendmaking van het koninklijk besluit waarbij het einde van de COVID-19-coronavirusepidemie wordt afgekondigd.

Opgemaakt te Brussel, op 25 februari 2021, in evenveel exemplaren als dat er partijen zijn.

Peter Parmentier, Administrateur-generaal AHOVOKS en  Dirk Dewolf, Administrateur-generaal AZG