Flexplus vanaf 2028: vervoerders zullen persoonsgegevens veilig en aantoonbaar volgens de AVG moeten verwerken
Belangrijk: de AVG (Algemene Verordening Gegevensbescherming) is geen nieuwe wetgeving. Ze is van toepassing sinds 25 mei 2018. In een presentatie verduidelijkte het Vlaams Departement Mobiliteit en Openbare Werken (DMOW) vooral welke concrete privacyverplichtingen het Departement voor vervoerders in het toekomstige Flexplus-kader voor ogen heeft. De uitvoeringsbesluiten (BVR) bij het ontwerpdecreet aangepast vervoer zijn nog niet beschikbaar. De definitieve voorwaarden voor 2028 liggen dus nog niet volledig vast. |
Op 14 september 2026 gaf het DPO-team van het Departement Mobiliteit en Openbare Werken (DMOW) tijdens het MOW-overleg Flexplus toelichting over gegevensbescherming bij aangepast vervoer. Dat is bijzonder relevant voor ondernemingen die vanaf 1 januari 2028 via het nieuw Vlaams Flexplusstelsel (met Vlaamse Flexplus-centrale) willen werken.
Waarom is dit belangrijk voor taxibedrijven?
Bij aangepast vervoer worden niet alleen gewone persoonsgegevens verwerkt, zoals naam, adres, telefoonnummer, ritgegevens en locatiegegevens. Vaak kan uit de dienstverlening ook informatie over de gezondheid of een fysieke beperking blijken, bijvoorbeeld dat een reiziger een rolstoel gebruikt. Zulke gezondheidsgegevens behoren tot de bijzondere categorieën van persoonsgegevens en vragen extra bescherming.
Volgens de DMOW-presentatie zal DMOW voor de gegevensverwerking in het kader van aangepast vervoer optreden als verwerkingsverantwoordelijke en de vervoerder als verwerker. De vervoerder moet dan de instructies van DMOW volgen en de naleving van de AVG kunnen aantonen.
Waarmee moet een vervoerder rekening houden?
- toetreden tot een verwerkersovereenkomst met DMOW;
- technische beveiliging voorzien, onder meer encryptie, logging, antimalware, sterke identificatie/authenticatie en incidentenbeheer;
- organisatorische maatregelen nemen: duidelijke procedures, sensibilisering van medewerkers en fysieke/ICT-beveiliging;
- toegang tot gegevens beperken tot medewerkers die die toegang werkelijk nodig hebben en vertrouwelijkheid waarborgen;
- subverwerkers of onderaannemers correct regelen;
- procedures voorzien voor verzoeken van betrokkenen en voor (vermoedelijke) datalekken;
- een register van verwerkingsactiviteiten bijhouden en een privacyverklaring publiceren;
- rekening houden met de door DMOW aangekondigde vereiste rond een functionaris voor gegevensbescherming (DPO/FG).
Niet wachten tot 2028
GTL raadt ondernemingen die aangepast vervoer aanbieden (momenteel via een MAV) of dit vanaf 2028 overwegen als Flexplus vervoer, aan om nu al na te gaan hoe zij met persoonsgegevens omgaan. Voor grotere ondernemingen die reeds een uitgewerkt AVG-beleid hebben, zal dit vooral een controle en eventuele aanpassing aan de specifieke DMOW-voorwaarden zijn. Voor kleinere taxibedrijven kan de voorbereiding omvangrijker zijn.
De aandachtspunten zijn bovendien niet uitsluitend relevant voor Flexplus. Een taxibedrijf dat buiten dat kader personen met beperkte mobiliteit vervoert, verwerkt eveneens persoonsgegevens en moet voor zijn eigen verwerkingen de AVG naleven. De precieze rolverdeling en rechtsgrond kunnen dan wel verschillen van de Flexplus-situatie.
Meer informatie: zie de afzonderlijke GTL Nota AVG aangepast vervoer Flexplus 2028.pdf – aandachtspunten voor taxibedrijven richting Flexplus 2028”.
GTL volgt de voorbereiding van het decreet en de uitvoeringsbesluiten verder op. Zodra ontwerpteksten van de BVR's beschikbaar zijn, zal moeten worden nagegaan welke van de in de presentatie aangekondigde vereisten juridisch en operationeel definitie.
