Gelet op de aanvraag van het Vlaams Energieagentschap ontvangen op 5 augustus 2016;

Transcriptie

1 1/9 Sectoraal comité van het Rijksregister Beraadslaging RR nr 82/2016 van 19 oktober 2016 Betreft: aanvraag van het Vlaams Energieagentschap om het Rijksregisternummer te gebruiken en toegang te krijgen tot een aantal informatiegegevens van het Rijksregister in het kader van de certificatie van aannemers binnenmuurisolatie (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Vlaams Energieagentschap ontvangen op 5 augustus 2016; Gelet op de bijkomende informatie ontvangen op 10 oktober 2016; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 13 september 2016; Gelet op het verslag van de Voorzitter;

2 Beraadslaging RR 82/2016-2/9 Beslist op 19 oktober 2016, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. Het Vlaams Energieagentschap, hierna de aanvrager, verzoekt om gemachtigd te worden om in het kader van de certificatie van aannemers binnenmuurisolatie het Rijksregisternummer te gebruiken en toegang te krijgen tot een aantal informatiegegevens van het Rijksregister. II. ONDERZOEK VAN DE AANVRAAG 2. Het Comité stelt vast dat de aanvrager in het kader van de certificatie van installateurs hernieuwbare energie al gemachtigd is om het Rijksregisternummer te gebruiken op grond van beraadslaging RR nr. 82/2013 van 11 december Bijgevolg kan het onderzoek van het Comité zich beperken tot het nagaan of: het doeleinde waarvoor het gebruik van het Rijksregisternummer en de toegang tot een aantal informatiegegevens van het Rijksregister wordt gevraagd welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van de artikelen 4, 1, 2, WVP en 5, tweede lid, WRR; het gebruik van het Rijksregisternummer en de toegang tot een aantal informatiegegevens van het Rijksregister proportioneel zijn, gelet op het doeleinde (artikel 4, 1, 3, WVP). A. DOELEINDE 4. In het besluit van de Vlaamse Regering van 15 juli 2016 houdende wijziging van het Energiebesluit van 19 november 2010, wat betreft diverse bepalingen inzake energieefficiëntie worden de werken waarvoor een certificaat mogelijk is uitgebreid met de plaatsing van binnenmuurisolatie (nieuw artikel , 8 van het Energiebesluit). Bijgevolg wordt ook voor de plaatsing van binnenmuurisolatie certificatie mogelijk. 5. De aannemers zullen eerst een opleiding moeten volgen en een examen succesvol moeten afronden. Daarna kunnen zij bij de aanvrager een aanvraag indienen om een certificaat van bekwaamheid of certificaat van bekwaamheid als aspirant te verkrijgen. Dit certificaat is vijf jaar geldig.

3 Beraadslaging RR 82/2016-3/9 6. Conform artikel van het Energiebesluit mag een certificaat van bekwaamheid of het certificaat van bekwaamheid als aspirant, alleen worden uitgereikt door een organisatie die daartoe door de Minister is gemachtigd. 7. De machtiging zal aan de aanvrager worden verleend door het Ministerieel besluit tot wijziging van het ministerieel besluit van 20 januari 2014 houdende de erkenning van opleidings- en exameninstellingen voor de certificering van aannemers en installateurs en houdende de certificering van aannemers en installateurs (momenteel nog in opmaak). 8. De aanvrager zal dus belast worden met het beheren en het uitreiken van het certificaat van bekwaamheid en het certificaat van bekwaamheid als aspirant. 9. In het gewijzigde ministerieel besluit wordt ook bepaald dat de erkende opleidingsinstellingen binnen de vijftien werkdagen na de opleiding een digitale lijst met deelnemers aan de aanvrager dienen te bezorgen. Een template voor die lijst wordt door de aanvrager aan de opleidingsinstelling bezorgd. De exameninstellingen dienen ook tien dagen voor het examen een lijst met deelnemers door te geven aan de aanvrager. 10. Het certificaat van bekwaamheid kan alleen op individuele basis worden toegekend aan een natuurlijke persoon. Om te worden gecertificeerd moet de persoon die het certificaat wil verkrijgen voldoen aan de volgende voorwaarden : inzake binnenmuurisolatie de opleiding gevolgd hebben bij een erkende opleidingsinstelling; beschikken over een getuigschrift waaruit blijkt dat hij geslaagd is voor het desbetreffende examen en dat niet ouder is dan twaalf maanden; beschikken over minstens drie jaar relevante beroepservaring. 11. Indien er niet voldaan wordt aan de voorwaarden voor certificering, wordt het certificaat niet afgeleverd, niet verlengd of ingetrokken. Om hun certificaat te behouden, zullen de aannemers moeten deelnemen aan opfriscursussen. 12. Wanneer de aanvraag voor een certificaat is goedgekeurd verschijnen de contactgegevens van de aannemer en de bedrijfsgegevens op een publieke lijst, die wordt gepubliceerd op de website van de aanvrager. Ook de datum van de ingang van het certificaat verschijnt op de lijst.

4 Beraadslaging RR 82/2016-4/9 13. Als de opleidings- en exameninstellingen een machtiging hebben om de Rijksregisternummers door te geven aan de aanvrager, zullen de opleidings- en exameninstellingen naast naam en voornaam, geslacht, adres, geboortedatum- en geboorteplaats van de aannemers eveneens het Rijksregisternummer doorgeven. Op die manier kan, na het inladen van de lijsten van kandidaten die de opleiding gevolgd hebben, en geslaagd zijn voor het examen, eenvoudig via het Rijksregisternummer gecontroleerd worden of diegene die zich heeft ingeschreven om het certificaat te ontvangen ook effectief een opleiding heeft gevolgd en geslaagd is voor het examen. 14. In de gevallen dat de opleidings- en exameninstellingen geen Rijksregisternummer mogen doorgeven, zal de aanvrager op basis van naam en voornaam, geslacht, adres, geboortedatum- en geboorteplaats de certificatieprocedure beheren, met mogelijke verwarring of fouten tot gevolg. 15. De correcte en unieke identificatie van de (kandidaat) gecertificeerd aannemer is essentieel, aangezien er verplicht moet voldaan worden aan een bepaald aantal reglementaire voorwaarden om het desbetreffende certificaat te ontvangen. 16. Het Comité stelt vast dat: uit wat hiervoor werd uiteengezet blijkt dat de aanvrager persoonsgegevens verwerkt. Het betreft geoorloofde verwerkingen die gestoeld zijn op artikel 5, eerste lid, c), WVP; het hiervoor vermelde doeleinde uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP en artikel 5, tweede lid, WRR; het wijzigingsbesluit van het Energiebesluit is gepubliceerd, maar nog niet integraal in werking is getreden en het Ministerieel besluit tot wijziging van het ministerieel besluit van 20 januari 2014 houdende de erkenning van opleidings- en exameninstellingen voor de certificering van aannemers en installateurs en houdende de certificering van aannemers en installateurs nog in opmaak is. B. PROPORTIONALITEIT B.1. Ten overstaan van de gegevens van het Rijksregister 17. De aanvrager wenst toegang te bekomen tot de informatiegegevens vermeld in de artikel 3, eerste lid, 1 tot en met 3, WRR, namelijk: de naam en voornamen;

5 Beraadslaging RR 82/2016-5/9 de geboorteplaats en -datum; het geslacht. 18. Deze gegevens 1 zijn noodzakelijk voor de unieke identificatie van personen die wensen een certificaat van aannemer van binnenmuurisolatie te verkrijgen en laat de aanvrager toe een fonetische opzoeking uit te voeren wanneer het Rijksregisternummer niet meegedeeld zou zijn. De geboortedatum is tevens relevant voor de retentieduur van de gegevens omdat de aanvrager meldt dat hij de gegevens van gecertificeerde aannemers gedurende 40 jaar bijhoudt, zijnde het maximum aantal jaren dat de betrokkenen professioneel actief zullen zijn. 19. Het Comité besluit dat de toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 1 tot en met 3, WRR, in het licht van het opgegeven doeleinde, in overeenstemming is met artikel 4, 1, 3 WVP. B.2. Ten overstaan van het Rijksregisternummer 20. De aanvrager wenst het Rijksregisternummer te gebruiken voor het uniek identificeren van personen die wensen een certificaat van aannemer van binnenmuurisolatie te verkrijgen. 21. Het Rijksregisternummer is een uniek nummer waardoor een persoon zonder enige marge van vergissing wordt geïdentificeerd. Misverstanden of persoonsverwisselingen die zouden kunnen ontstaan n.a.v. homonymie en foutieve schrijfwijzen zijn uitgesloten. 22. Op basis van het Rijksregisternummer zal alle informatie betreffende het behalen van het getuigschrift, die via de hiertoe gemachtigde opleidings- en exameninstellingen werd doorgegeven, samengebracht worden bij de aanvrager. 23. Het Comité besluit dat het gebruik van het Rijksregisternummer, in het licht van het opgegeven doeleinde, in overeenstemming is met artikel 4, 1, 3 WVP. 24. Het Comité is in het licht van artikel 4, 1, 3 WVP van oordeel dat het certificaat zelf het Rijksregisternummer niet moet vermelden. De certificatie op zich is een unieke onderscheiding op persoonlijk niveau, ook zonder dit nummer. 1 Ook de opleidingsinstelling/exameninstelling en de datum van het behalen van het examen worden gebruikt voor unieke identificatie van de aannemers. Dit zijn evenwel geen gegevens uit het Rijksregister. De aanvrager mag die gegevens verwerken zonder machtiging van het Comité. Indien de opleidingsinstelling/exameninstelling valt onder het toepassingsgebied van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, is desgevallend wel een machtiging nodig van de Vlaamse Toezichtcommissie.

6 Beraadslaging RR 82/2016-6/9 25. Het Comité bepaalt in het licht van artikel 4, 1, 3 WVP dat indien de lijsten met gecertificeerde aannemers door de aanvrager publiek zouden worden gemaakt, het Rijksregisternummer van de gecertificeerde aannemers moet worden weggelaten. B.3. Ten overstaan van de frequentie van het gebruik en de duur van de machtiging 26. Er wordt een permanent gebruik van het Rijksregisternummer en toegang tot de informatiegegevens vermeld in de artikel 3, eerste lid, 1 tot en met 3, WRR, gevraagd. 27. Gelet op het feit dat aannemers continu via digitale procedure een aanvraag tot certificatie kunnen indienen en de interne medewerkers van de aanvrager dan ook voortdurend dossiers moeten kunnen behandelen, oordeelt het Comité dat een permanent gebruik en toegang gepast zijn in het licht van artikel 4, 1, 3, WVP. 28. Er wordt een machtiging voor onbepaalde duur gevraagd. 29. Gelet op het feit dat de machtiging van de Minister aan de aanvrager om de certificaten uit te reiken van onbepaalde duur is, oordeelt het Comité dat een machtiging voor onbepaalde duur gepast is in het licht van artikel 4, 1, 3, WVP. B.4. Ten overstaan van de bewaringstermijn 30. De aanvrager meldt dat hij de gegevens van gecertificeerde aannemers gedurende 40 jaar bijhoudt, zijnde het maximum aantal jaren dat de betrokkenen professioneel actief zullen zijn. De aannemer verkrijgt een certificaat als bewijs van opleiding en ervaring met een geldigheidsduur van vijf jaar. Hierna kan dit telkens opnieuw voor vijf jaar verlengd worden. Indien de nodige opfriscursussen worden gevolgd en het certificaat niet wordt ingetrokken, wordt 40 jaar derhalve aangenomen als maximum duur van de loopbaan. 31. Het Comité verwijst voor wat betreft deze retentieduur naar hetgeen het in dit verband opmerkte in punt B.3. van de beraadslaging RR nr. 82/2013 van 11 december 2013 m.b.t tot de bewaringstermijn van de gegevens van installateurs hernieuwbare energie. B.5. Intern gebruik en/ of mededeling aan derden 32. Volgens de aanvraag wordt het Rijksregisternummer en de informatiegegevens vermeld in de artikel 3, eerste lid, 1 tot en met 3, WRR, enkel intern door de aanvrager gebruikt en worden deze niet meegedeeld aan derden.

7 Beraadslaging RR 82/2016-7/9 B.6. Netwerkverbindingen 33. Volgens de aanvraag komt er geen netwerkverbinding verstrekking van persoonsgegevens aan de hand van het Rijksregisternummer - tot stand met derden. 34. Het Comité neemt hiervan akte. 35. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het Rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. C. INFORMATIEBEVEILIGING C.1. Consulent inzake informatiebeveiliging 36. Uit het door de aanvrager meegedeelde evaluatieformulier en conformiteitsverklaring blijkt dat de aanvrager beschikt over een consulent inzake informatiebeveiliging, zoals voorgeschreven door artikel 10 WRR. 37. Het Comité heeft er akte van genomen. C.2. Informatiebeveiligingsbeleid 38. Uit het door de aanvrager meegedeelde evaluatieformulier en conformiteitsverklaring blijkt dat de aanvrager over een beveiligingsbeleid beschikt en dat deze dit ook praktisch op het terrein uitwerkt. 39. Het Comité heeft er akte van genomen. C.3. Personen die toegang hebben tot de gegevens en lijst van deze personen 40. Volgens de aanvraag zullen een beperkt aantal medewerkers van de aanvrager toegang hebben tot de persoonsgegevens voor de inhoudelijke dossierbehandeling.

8 Beraadslaging RR 82/2016-8/9 41. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die het Rijksregisternummer gebruiken en toegang hebben tot de informatiegegevens vermeld in de artikel 3, eerste lid, 1 tot en met 3, WRR. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. Deze lijst moet ook de systeembeheerders bevatten. Dit zijn personen van de aanvrager verantwoordelijk voor de informatica. Hoewel zij geen inhoudelijke redenen hebben om de persoonsgegevens te consulteren, hebben ze in principe wel technisch toegang tot die gegevens. 42. De personen die op deze lijst worden opgenomen, moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijke karakter van de informatiegegevens te bewaren. OM DEZE REDENEN het Comité 1 machtigt het Vlaams Energieagentschap, om voor het doeleinde vermeld in punt A en onder de voorwaarden vermeld in deze beraadslaging, het Rijksregisternummer te gebruiken en toegang tot de informatiegegevens vermeld in de artikel 3, eerste lid, 1 tot en met 3, WRR, te hebben; Deze beraadslaging krijgt slechts uitwerking nadat het Comité op basis van de stukken verschaft door het Vlaams Energieagentschap heeft vastgesteld dat de relevante bepalingen van het besluit van de Vlaamse Regering van 15 juli 2016 houdende wijziging van het Energiebesluit van 19 november 2010, wat betreft diverse bepalingen inzake energie-efficiëntie en het ministerieel besluit tot wijziging van het ministerieel besluit van 20 januari 2014 houdende de erkenning van opleidings- en exameninstellingen voor de certificering van aannemers en installateurs en houdende de certificering van aannemers en installateurs in werking zijn getreden; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), het Vlaams Energieagentschap een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren;

9 Beraadslaging RR 82/2016-9/9 3 bepaalt dat wanneer het Comité het Vlaams Energieagentschap een vragenlijst met betrekking tot de informatiebeveiligingsstatus toestuurt, deze laatste de lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon