Gelet op de aanvraag van de Gewestelijke Overheidsdienst Brussel, Brussel Economie en Werkgelegenheid, ontvangen op 3 januari 2017;

Transcriptie

1 1/11 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 18/2017 van 19 april 2017 Betreft: aanvraag van de Algemene Directie Brussel Economie en Werkgelegenheid van de Gewestelijke Overheidsdienst Brussel om toegang te krijgen tot bepaalde gegevens van het Rijksregister en het rijksregisternummer te gebruiken om controles uit te voeren op Brusselse ondernemingen en gebruikers van dienstencheques (RN-MA ) Het Sectoraal comité van het Rijksregister (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna "WVP"), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Gewestelijke Overheidsdienst Brussel, Brussel Economie en Werkgelegenheid, ontvangen op 3 januari 2017; Gelet op de bijkomende informatie ontvangen op 27 februari 2017; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 13 maart 2017;

2 Beraadslaging RR 18/2017-2/11 Gelet op het verslag van de Voorzitter; Beslist op 19 april 2017, na beraadslaging, als volgt: I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. De Algemene Directie Brussel Economie en Werkgelegenheid van de Gewestelijke Overheidsdienst Brussel, hierna ook de "aanvrager" genoemd, wenst gemachtigd te worden om toegang te krijgen tot bepaalde gegevens van het Rijksregister en het rijksregisternummer te gebruiken om controles uit te voeren op de Brussels ondernemingen en gebruikers van dienstencheques en voor de gedeeltelijke terugbetaling van de opleiding van de werknemers die tewerkgesteld zijn onder een dienstencheques-arbeidsovereenkomst. 2. Deze aanvraag kadert binnen de zesde Staatshervorming krachtens dewelke het Brussels Gewest voortaan bevoegd is voor dienstencheques (artikel 6, 1, IX van de bijzondere wet van 8 augustus 1980 tot hervorming der instellingen, gewijzigd door artikel 22 van de bijzondere wet van 6 januari 2014 met betrekking tot de zesde Staatshervorming). 3. De aanvrager is de rechtsopvolger van de Rijksdienst voor Arbeidsvoorziening voor wat de controle betreft op de Brusselse ondernemingen en gebruikers van dienstencheques evenals van de Minister van Arbeid of de ambtenaar van de Federale Overheidsdienst Werkgelegenheid, Arbeid en Sociaal Overleg die hij aanduidt voor het nemen van de beslissing tot gedeeltelijke terugbetaling van de opleidingskosten van de werknemers onder dienstenchequesarbeidsovereenkomst De Rijksdienst voor Arbeidsvoorziening was gemachtigd om toegang te hebben tot het Rijksregister en om het rijksregisternummer te gebruiken krachtens de Koninklijke besluiten van 26 september en de Federale Overheidsdienst Werkgelegenheid, Arbeid en Sociaal Overleg was gemachtigd om het rijksregisternummer te gebruiken krachtens het Koninklijk besluit van 17 september Het Koninklijk besluit van 7 juni 2007 betreffende het opleidingsfonds dienstencheques. 2 Koninklijk besluit tot regeling van de toegang tot het Rijksregister van de natuurlijke personen, in hoofde van de instellingen van openbaar nut die onder het Ministerie van Werkgelegenheid en Arbeid ressorteren en het Koninklijk besluit tot regeling van het gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen door sommige instellingen van openbaar nut die onder het Ministerie van Tewerkstelling en Arbeid ressorteren. 3 Koninklijk besluit tot machtiging van sommige overheden van het Ministerie van Werkgelegenheid en Arbeid tot het gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen.

3 Beraadslaging RR 18/2017-3/11 II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 5. De machtiging om toegang te verkrijgen tot of om mededeling te verkrijgen van de informatiegegevens bedoeld in artikel 3, eerste en tweede lid, WRR wordt verleend door het Comité "aan de Belgische openbare overheden voor de informatiegegevens die zij gemachtigd zijn te kennen uit hoofde van een wet, een decreet of een ordonnantie" (artikelen 5, 1ste lid, 1 en 8, 1, eerste lid van de WRR). 6. Aangezien de aanvrager een openbare overheid is, komt hij op grond van de artikelen 5, eerste lid, 1, en 8, 1, WRR in aanmerking om gemachtigd te worden om het rijksregisternummer te gebruiken en toegang te hebben tot de gevraagde gegevens. A.2. Wet van 8 december 1992 (WVP) 7. Op grond van artikel 4 van de WVP vormen de de gevraagde informatiegegevens en het rijksregisternummer persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen toereikend, ter zake dienend en niet overmatig te zijn uitgaande van de doeleinden waarvoor ze worden verwerkt. B. DOELEINDEN 8. De Algemene Directie Brussel Economie en Werkgelegenheid van de Gewestelijke Overheidsdienst Brussel wenst dat de inspecteurs van de Directie Gewestelijke Werkgelegenheidsinspectie (GWI) en het administratief personeel van de cel dienstencheques en vormingsfonds van de Directie Werkgelegenheidsbeleid toegang krijgen tot het Rijksregister om te kunnen instaan voor controle van en toezicht op de Brusselse ondernemingen en gebruikers van dienstencheques voor wat de naleving betreft van de wettelijke vereisten in verband met het gebruik van dienstencheques (wet van 20 juli 2001 tot bevordering van buurtdiensten en -banen en de uitvoeringsbesluiten ervan). 9. De aanvrager moet overeenkomstig de hem toevertrouwde wettelijke opdrachten, het volgende controleren:

4 Beraadslaging RR 18/2017-4/11 - de hoofdverblijfplaats van de gebruikers in het Brussels Hoofdstedelijk Gewest (artikel 1, 1 bis van het koninklijk besluit van 12 december 2001 betreffende de dienstencheques) ; - de prestaties van de werknemers bij de gebruikers (artikel 2quater, 4, 15 en 16 van het koninklijk besluit van 12 december 2001 betreffende de dienstencheques) ; - de eventuele noodzaak van een arbeidsvergunning voor dienstencheques-werknemers (artikel 2quater, 4, 20 van het koninklijk besluit van 12 december 2001 betreffende de dienstencheques) ; - de burgerlijke staat, de gezinssamenstelling en het eventueel wettelijk samenwonen voor de berekening van het aantal dienstencheques (artikel 3, 2, 5de lid van het Koninklijk besluit van 12 december 2001 betreffende de dienstencheques) ; - de gepresteerde dienstencheques-werkuren van de werknemers bij een werkgever via het rijksregisternummer (artikel 7 van het Koninklijk besluit van 12 december 2001 betreffende de dienstencheques) ; - het in dienst zijn van een werknemer bij een werkgever voor de terugbetaling van de opleidingskosten (artikel 6, 1, 3de lid, 1 van het Koninklijk besluit betreffende het opleidingsfonds dienstencheques). 10. Gelet op deze uitleg, stelt het Comité vast dat het door de aanvrager nagestreefde doeleinde, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is zoals bedoeld in artikel 4, 1, 2 van de WVP en artikel 5, 2de lid van de WRR. 11. Het Comité noteert dat de opdrachten van openbare dienstverlening, als hierboven uiteengezet, waarvoor de gevraagde gegevens van het Rijksregister noodzakelijk zijn, duidelijk zijn bepaald en omschreven in de wet van 20 juli 2001 tot bevordering van buurtdiensten en -banen en zijn uitvoeringsbesluiten, het Koninklijk besluit van 12 december 2001 betreffende de dienstencheques en het koninklijk besluit van 7 juni 2007 betreffende het opleidingsfonds dienstencheques. Dientengevolge valt de geplande verwerking van de aanvrager onder de gevallen die zijn toegestaan door de WVP die in artikel 5, e) bepaalt dat de verwerking van persoonsgegevens mag worden verricht "wanneer de verwerking noodzakelijk is voor de vervulling van een taak van openbaar belang of die deel uitmaakt van de uitoefening van het openbaar gezag, die is opgedragen aan de verantwoordelijke voor de verwerking of aan de derde aan wie de gegevens worden verstrekt". C. PROPORTIONALITEIT 12. Artikel 4, 1, 3 van de WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt.

5 Beraadslaging RR 18/2017-5/11 C.1 Betreffende de gegevens 13. De aanvrager wenst toegang tot de de informatiegegevens van het Rijksregister vermeld in artikel 3, eerste lid, 1, 2 (niet de geboorteplaats), 4, 5 (alsook de historiek), 6, 8, 9 en 13 van de WRR, namelijk: - naam en voornamen (gegeven 1); - de geboortedatum (gegeven 2); - de nationaliteit (gegeven 3); - de hoofdverblijfplaats (gegeven 4); - de datum van overlijden of, in het geval van een verklaring van afwezigheid, de datum van de overschrijving van de beslissing houdende verklaring van afwezigheid (gegeven 5); - de burgerlijke staat (gegeven 6); - de samenstelling van het gezin (gegeven 7); - de wettelijke samenwoning (gegeven 8). 14. Zoals de aanvrager uitlegt, zijn de gegevens "naam en voornamen" en "geboortedatum' nodig om een eenduidige identificatie mogelijk te maken. De gegevens "naam en voornamen", en "hoofdverblijfplaats" zijn de minimale basisgegevens om een dossier van een persoon samen te stellen en met hem contact op te nemen. De arbeidsinspecteurs moeten in het kader van hun voormelde opdrachten, controles uitvoeren op de verblijfplaats van de gebruikers. Die gebruikers en hun verblijfplaats moeten ondubbelzinnig vastgesteld kunnen worden. Het feit dat wonen in het Brussels Hoofdstedelijk Gewest een voorwaarde is om te kunnen genieten van het Brusselse dienstenchequessysteem, moet de cel dienstencheques kunnen nagaan of die voorwaarde is nageleefd. 15. Met het gegeven "nationaliteit" kan worden nagegaan of de dienstencheques-ondernemingen hun verbintenissen als bedoeld in artikel 2quater van het koninklijk besluit van 12 december 2001 betreffende de dienstencheques naleven (regelmatige tewerkstelling van buitenlandse werknemers). 16. Gegeven 5 wordt gevraagd om na te gaan of de gebruiker van de dienstencheques nog altijd in leven is. Immers, toen de Gewesten destijds deze materie hebben overgenomen, werd de situatie van alle gebruikers in het Rijksregister geverifieerd zodat ze verdeeld kond worden volgens het criterium van de hoofdverblijfplaats. Deze verificatie heeft aangetoond dat er dienstencheques werden besteld op naam van een groot aantal overleden gebruikers, blijkbaar door een verwant (overlevende echtgeno(o)t(e), kind) waarvan sommige hun hoofdverblijfplaats niet hadden in hetzelfde Gewest als de overledene. Het Comité beslist om de toegang weigeren tot het gegeven "plaats van overlijden" omdat dit gegeven niet relevant lijkt voor het nagestreefde doeleinde.

6 Beraadslaging RR 18/2017-6/ Het gegeven "burgerlijke staat", "gezinssamenstelling" en "wettelijke samenwoning", zijn essentieel voor de toepassing van artikel 3, 2, 5de lid van het Koninklijk besluit van 12 december 2001 betreffende de dienstencheques (toekennen van dienstencheques aan eenoudergezinnen). 18. De aanvraag wil eveneens de historiek van het gegeven "hoofdverblijfplaats" raadplegen voor de laatste 5 jaren die de raadplegingsdatum voorafgaan. Omdat de controle kan gaan over een persoon die verhuisd is of over een prestatieplaats die niet de hoofdverblijfplaats is van de gecontroleerde persoon, lijkt de toegang tot die historiek relevant gelet op de verjaringstermijnen van het sociaal strafrecht. 19. Rekening houdend met de verstrekte uitleg, acht het Comité de toegang tot de gevraagde informatiegegevens proportioneel, ter zake dienend en niet overmatig, uitgaande van het nagestreefde doeleinde (artikel 4, 1, 3 van de WVP). C.2. Betreffende het Rijksregisternummer 20. Het rijksregisternummer wordt gevraagd voor de identificatie van personen in het dossier en in het systeem e-pv en om opzoekingen te doen in de gegevensbank DOLSIS (DIMONA/DmfA). 21. Het systeem e-pv is een informaticatoepassing die werd ontwikkeld door de federale overheid voor het genereren en verzenden van elektronische processen-verbaal. Zowel de federale inspecteurs als de gewestelijke inspecteurs gebruiken dit systeem. Het nut van het gebruik van het rijksregisternummer van de belanghebbende partijen in het proces-verbaal (werkgever(s), werknemer(s), gebruiker(s) bestaat erin dat het inbrengen van dit nummer automatisch de gangbare identificatiegegevens van zijn houder genereert. 22. De DOLSIS applicatie is de interface die de federale overheid heeft ontwikkeld om onder meer de gewestelijke inspectie de mogelijkheid te geven toegang te hebben tot verschillende sociale gegevensbanken, zoals deze met de GPR-lijsten (het geïnformatiseerd personeelsregister), de onmiddellijke aangifte van tewerkstelling (DIMONA) en de multifunctionele aangiftes van sociale zekerheid (DmfA). In al deze gegevensbanken is het INSZ-nummer opgenomen van de werknemers en/of ze gebruiken dit nummer als zoeksleutel. 23. Het Comité is van mening dat het geplande gebruik van het rijksregisternummer in overeenstemming is met artikel 4, 1, 3 van de WVP.

7 Beraadslaging RR 18/2017-7/11 C.3. Betreffende de frequentie van de toegang en de duur van de machtiging 24. De aanvrager wenst een permanente toegang tot de gegevens aangezien een aanvrager van dienstencheques / een werknemer op ieder moment het voorwerp kan uitmaken van een controle uit eigen beweging. 25. Hij vraag een machtiging voor onbepaalde duur aangezien de nieuwe opdrachten van de aanvrager ingevolge de 6de Staatshervorming niet beperkt zijn in de tijd. 26. Het Comité stelt vast dat het doeleinde waarvoor de aanvrager toegang wil, kadert binnen de opdrachten die niet beperkt zijn in de tijd. In het licht hiervan oordeelt het Comité dat een machtiging van onbepaalde duur gepast is overeenkomstig artikel 4, 1, 3 van de WVP. C.4. Betreffende de bewaartermijn 27. De aanvrager wenst de ingezamelde gegevens die noodzakelijk zijn voor zijn inspectieopdrachten, te bewaren gedurende de tijd die nodig is om de dossiers te behandelen. 28. Het Comité verzoekt de aanvrager een onderscheid te maken tussen verschillende bewaarmethodes. De behandeling van een hangend dossier vereist een bewaring van gegevens opdat deze op normale wijze beschikbaar en toegankelijk zouden zijn voor de ambtenaren die belast zijn met het beheer van het dossier. Zodra een dossier kan worden gearchiveerd, moet gekozen worden voor een bewaringswijze waardoor de gegevens slechts beperkt beschikbaar en toegankelijk zijn. Een dergelijke bewaarmethode moet een antwoord bieden op andere mogelijke doeleinden van deze bewaring, zoals de naleving van de wettelijke voorschriften inzake verjaring of de uitvoering van een administratieve controle. Wanneer de bewaring niet langer nuttig is, moeten de gegevens niet meer bewaard worden. 29. Het Comité is van oordeel dat voor zover de aanvrager deze modaliteiten eerbiedigt, hij handelt overeenkomstig artikel 4, 1, 5 van de WVP. C.5. Intern gebruik en/of mededeling aan derden 30. De gegevens zijn bestemd om intern te worden gebruikt door de beheerder van de dossiers dienstencheques en de de Directie Arbeidsbeleid, cel dienstencheques en opleidingsfonds in het kader van de dienstenchequesdossiers (voorbereiding van de controledossiers) en door de gewestelijke arbeidsinspecteurs in het kader van hun controle-opdracht).

8 Beraadslaging RR 18/2017-8/ Zij worden alleen meegedeeld aan de Arbeidsauditeur of Procureur des Konings, aan wie de vastgestelde overtredingen worden meegedeeld. De aanvrager geeft als voorbeeld dat de vaststelling van een tewerkstelling van een buitenlandse arbeidskracht bij een dienstenchequeswerkgever onderhevig is aan een zware boete. 32. Het Comité neemt hiervan akte. C.6. Netwerkverbindingen 33. Uit de uitleg die de aanvrager verstrekte, blijkt dat hij op basis van het rijksregisternummer geen enkele informatie zal uitwisselen met derden en dat er bijgevolg geen netwerkverbindingen zullen zijn. 34. Het Comité neemt hiervan akte. Vanuit een bekommernis van volledigheid benadrukt het Comité dat: indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het Rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover dit binnen de doeleinden valt waarvoor zij eveneens gemachtigd werden dit nummer te gebruiken. D. BEVEILIGING D.1 Consulent inzake informatiebeveiliging 35. De gemachtigde is verplicht een consulent inzake informatiebeveiliging en bescherming van de persoonlijke levenssfeer aan te stellen (art. 8, 2 en art. 10 WRR). Het Comité stelt vast dat de identiteit van de consulent werd meegedeeld. 36. Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband. 37. De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in de context relevante regelgeving. Deze capaciteiten stellen de consulent in staat diens taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden.

9 Beraadslaging RR 18/2017-9/ De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de machtigingsgerechtigde. 39. Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten hiermee onverenigbaar. In het bijzonder kan de functie niet gecumuleerd worden met deze van leidinggevende bestuurder van de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur). 40. De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken. De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken. 41. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen. 42. De gemachtigde ondersteunt de consulent door hem de middelen en tijd te geven die nodig zijn om zijn taken te vervullen en zijn deskundigheid in stand te houden. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 43. Het Comité behoudt zich het recht voor de naleving van deze verplichtingen te controleren. D.2. Informatiebeveiligingsbeleid 44. Uit de informatie die de aanvrager heeft verstrekt, blijkt dat hij beschikt over een geschikt beveiligingsbeleid en dat hij dit beleid op het terrein in de praktijk brengt. D.3. Personen die over een toegang beschikken en lijst van deze personen 45. Volgens de aanvrager wordt de toegang tot de gegevens beperkt tot de beheerders van de dienstencheques-dossiers van de Directe Werkgelegenheidsbeleid, cel dienstencheques en opleidingfonds in het kader van de dienstencheques-dossiers (voorbereiding van de controledossiers) en door de gewestelijke arbeidsinspecteurs in het kader van hun controleopdracht).

10 Beraadslaging RR 18/ / Het Comité preciseert dat een lijst moet worden opgesteld met personen die gemachtigd zijn om toegang te hebben tot de informatiegegevens van het Rijksregister. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. 47. De betrokken personen zullen daarenboven een schriftelijke verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens waartoe zij toegang krijgen, te bewaren. 48. De aanvrager moet de nodige maatregelen nemen om de loggings te registreren om te kunnen controleren wie toegang had tot het Rijksregister (wie, wat, wanneer en waarom toegang had) en dit gedurende ten minste 10 jaar. OM DIE REDENEN het Comité 1 machtigt de aanvrager om voor de verwezenlijking van het onder punt B omschreven doeleinde en onder de voorwaarden als uiteengezet in deze beraadslaging, voor onbepaalde duur, toegang te hebben tot de informatiegegevens als bedoeld onder artikel 3, 1ste lid, 1, 2 (uitgezonderd de geboorteplaats), 4, 5 (en de historiek), 6 (uitgezonderd plaats van overlijden), 8, 9 en 13 van de WRR en om het rijksregisternummer te gebruiken; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden uit het beveiligingsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren.

11 Beraadslaging RR 18/ /11 3 bepaalt dat wanneer het Comité een vragenlijst over het beveiligingsniveau van de aanvrager toestuurt, die laatste deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon