Gelet op de aanvraag van het Wetenschappelijk Instituut Volksgezondheid ontvangen op 09/11/2010;

Transcriptie

1 1/8 Sectoraal comité van het Rijksregister Beraadslaging RR nr 01/2011 van 26 januari 2011 Betreft: aanvraag van het Wetenschappelijk Instituut Volksgezondheid om het identificatienummer van het Rijksregister te gebruiken in het kader van het TDI-project (RN/MA/2010/132) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Wetenschappelijk Instituut Volksgezondheid ontvangen op 09/11/2010; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 10/01/2011; Gelet op het technisch en juridisch advies ontvangen op 26/01/2011; Gelet op het verslag van de Voorzitter;

2 Beraadslaging RR 01 /2011-2/8 Beslist op 26 januari 2011, na beraadslaging, als volgt: I. ONDERWERP VAN DE AANVRAAG 1. Het Wetenschappelijk Instituut Volksgezondheid (WIV), hierna de aanvrager, vraagt machtiging om het identificatienummer van het Rijksregister te gebruiken in het kader van de registratie van de Europese Treatment Demand Indicator (hierna TDI ). Deze TDI houdt de registratie in van de behandelingsaanvragen betreffende een misbruikprobleem of een afhankelijkheidsprobleem te wijten aan illegale drugs of alcohol.. 2. De onderhavige beraadslaging moet samen worden gelezen met de beraadslaging nr. 10/079 van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid, Afdeling Gezondheid, waarop ze een aanvulling vormt. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJK WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 3. Overeenkomstig artikel 5, eerste lid, 2, en artikel 8 van de WRR, verleent het Comité machtiging om het identificatienummer van het Rijksregister te gebruiken: aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. 4. De aanvrager is een federale wetenschappelijke instelling. Zijn taken en opdrachten zijn vastgesteld bij koninklijk besluit van 6 maart 1968 houdende oprichting van het Wetenschappelijk Instituut Volksgezondheid als federale wetenschappelijke instelling bij de Federale Overheidsdienst Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu. Concreet staat de aanvrager o.a. in voor het ondersteunen van het gezondheidsbeleid door wetenschappelijk onderzoek, expertadvies en dienstverlening, het vertegenwoordigen van België op het niveau van de EU en sommige internationale organisaties telkens wanneer het gaat over wetenschappelijke en/of technische aspecten van de volksgezondheid.

3 Beraadslaging RR 01 /2011-3/8 5. Het protocol van de Interministeriële Conferentie Volksgezondheid van 12 december 2005 (B.S. 03/05/2006) belaste de aanvrager met het inzamelen van de TDI-registraties verricht door de diverse behandelingscentra. Hij bundelt ze en bezorgt ze op zijn beurt aan het Europees Waarnemingscentrum voor Drugs en Drugsverslaving. 6. Dit protocol situeert zich in het kader van de uitvoering van de EU-drugsstrategie zoals die door de Europese Raad werd goedgekeurd en die naderhand door de Europese Raad werd geconcretiseerd in het EU-drugsactieplan en het EU-drugsactieplan Een van de doelstellingen van deze drugsactieplannen bestaat erin: een hoog niveau van gezondheidsbescherming, welzijn en sociale samenhang bereiken door het optreden van de lidstaten aan te vullen ter voorkoming en beperking van drugsgebruik, verslaving en drugsgerelateerde schade aan de volksgezondheid en de maatschappij. 8. In de mate dat de werkzaamheden van de aanvrager zich inschrijven in voormeld doeleinde, vervult hij een taak van algemeen belang en komt hij dus in aanmerking om op basis van de artikelen 5, eerste lid, 2 en 8 WRR om een machtiging te bekomen. A.2. Wet van 8 december 1992 (WVP) 9. Op grond van artikel 4 WVP vormt het identificatienummer van het Rijksregister een persoonsgegeven, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. B. FINALITEITEN 10. Voor de omschrijving van het doeleinde en de beoordeling ervan verwijst het Comité naar de punten van de beraadslaging nr. 10/079 van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid, Afdeling Gezondheid, waarbij het zich aansluit 3. 1 Publicatieblad van de Europese Unie, C168/ Publicatieblad van de Europese Unie, C326/ Artikel 4, 1, 1, van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens stelt dat iedere verwerking van persoonsgegevens eerlijk en rechtmatig dient te zijn. Dit houdt in dat iedere gegevensverwerking dient te gebeuren op een transparante wijze en mits naleving van het recht. Bovendien staat artikel 4, 1, 2, van de wet van 8 december 1992 de verwerking slechts toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. 16. De verwerking van persoonsgegevens die de gezondheid betreffen, is overeenkomstig artikel 7, 1, van de wet van 8 december 1992 in beginsel verboden. Ingevolge artikel 7, 2, van dezelfde wet is dat verbod echter niet van toepassing wanneer de verwerking noodzakelijk is voor de bevordering en de bescherming van de volksgezondheid met inbegrip van bevolkingsonderzoek (art. 7, 2, b) en wanneer de verwerking noodzakelijk is voor het wetenschappelijk onderzoek (art. 7, 2, k).

4 Beraadslaging RR 01 /2011-4/8 C. PROPORTIONALITEIT C.1. Ten overstaan van het identificatienummer 11. De aanvrager wenst dat de registratie van de gegevens gebeurt aan de hand van het identificatienummer van het Rijksregister. Dit laat de aanvrager toe om: de dubbel geregistreerde personen op te sporen; een longitudinale analyse van het behandelingstraject van een welbepaalde persoon in kaart te brengen. 12. Het zullen de behandelingscentra zijn die het identificatienummer van hun patiënten registreren samen met de andere gegevens. Deze centra hebben de keuze, ofwel jaarlijks de gegevens die ze via hun eigen registratiesysteem verzamelden in één bestand te bezorgen aan de aanvrager ofwel de gegevens rechtstreeks inbrengen in het TDI-register. Vooraleer, al naargelang het geval de gegevens overgemaakt of opgeslagen, wordt het identificatienummer door het ehealthplatform gecodeerd (reversibel algoritme) in een uniek patiëntennummer Het doel van het WIV is aan de hand van de gegevens van het register epidemiologisch wetenschappelijk en beleidsondersteunend onderzoek mogelijk te maken door diverse instanties. 18. Het Wetenschappelijk Instituut Volksgezondheid (WIV) is een wetenschappelijke instelling van de federale Belgische Staat. Zijn hoofdopdracht is wetenschappelijk onderzoek uit te voeren met het oog op het onderbouwen van het gezondheidsbeleid. Het levert eveneens expertise en openbare dienstverlening op het gebied van de volksgezondheid. De voornaamste activiteiten van het WIV betreffen vooral de volgende domeinen: surveillance van overdraagbare ziekten, surveillance van niet-overdraagbare ziekten, controle van federale productnormen (o.a. eetwaren, geneesmiddelen, vaccins), risico-evaluatie (o.a. chemische producten, genetisch gemodificeerde organismen (GGO's)), leefmilieu en gezondheid, en beheer van het biologische patrimonium (verzamelingen van stammen van micro-organismen) 19. De Interministeriële Conferentie Volksgezondheid heeft aan het Wetenschappelijk Instituut Volksgezondheid (WIV) de opdracht gegeven om een Belgisch register met betrekking tot Treatment Demand Indicator op te richten. Deze opdracht kadert in de verplichting van België om bepaalde epidemiologische sleutelindicatoren in te zamelen en aan de betrokken instellingen van de Europese Unie over te maken, zoals vermeld in het Actieplan Drugs van de Europese Unie. Verder heeft WIV de opdracht gekregen om studies uit te voeren voor enerzijds het RIZIV en anderzijds van de FOD Volksgezondheid, Veiligheid van de Voedselketen en van het Leefmilieu. 21. Tot slot worden de gegevens van de behandelingscentra die vallen onder de bevoegdheid van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie van Brussel-Hoofdstad door het Observatorium voor Gezondheid en Welzijn van Brussel-Hoofdstad verwerkt voor wetenschappelijk onderzoek in overeenstemming met haar opdrachten vermeld in de ordonnantie van 19 juli 2001 tot wijziging van de ordonnantie van 27 april 1995 houdende oprichting van diensten van het Verenigd College van de Gemeenschappelijke Gemeenschapscommissie van Brussel-Hoofdstad met afzonderlijk beheer. 22. De machtigingsaanvraag voorziet eveneens dat de gegevens van het register door het WIV ter beschikking zouden kunnen worden gesteld aan derden in het kader van een specifieke epidemiologisch studie. Het Comité is van mening dat de omschrijving van deze finaliteit onvoldoende is om de proportionaliteit van een eventuele mededeling van sommige of alle gegevens uit het register aan thans onbekende bestemmelingen te kunnen evalueren. De aanvrager is bijgevolg verplicht om indien hij gegevens uit het register aan derden, andere dan vermeld in huidige beraadslaging, wenst mee te delen, deze mededeling voorafgaandelijk aan de machtiging van het Comité voor te leggen. 23. Rekening houdend met het voorbehoud wat betreft studies door derden, acht het Comité de verwerking, gelet op de overige de doeleinden van de verwerking van gecodeerde persoonsgegevens in het kader van het register zoals beschreven in randnummer 7, welbepaald, uitdrukkelijk omschreven en zijn de doeleinden ervan gerechtvaardigd. 4 De modaliteiten van de tussenkomst van het ehealth-platform worden vastgesteld in de punten van de beraadslaging nr. 10/079 van het Sectoraal comité van de Sociale Zekerheid en van de Gezondheid Afdeling Gezondheid.

5 Beraadslaging RR 01 /2011-5/8 13. Op basis van de informatie vervat in de aanvraag stelt het Comité vast dat: het identificatienummer van het Rijksregister een uniek nummer is aan de hand waarvan een persoon precies kan geïdentificeerd worden. Dit betekent dat vergissingen die kunnen ontstaan n.a.v. homonymie en foutieve schrijfwijzen worden vermeden; vermits het register als een gecodeerde gegevensbank is opgezet, mag er geen informatie in worden opgenomen die toelaat een persoon te identificeren zonder decodering. Dit betekent dat het identificatienummer niet mag worden opgenomen in het register. Het blijkt evenwel dat dit niet zal gebeuren vermits het identificatienummer van het Rijksregister wordt gecodeerd door het ehealth-platform vooraleer de gegevens, al naargelang het geval, aan de aanvrager worden bezorgd of in de toepassing van de aanvrager worden opgeslagen. Er wordt zo een unieke patiëntencode gecreëerd die toelaat een patiënt te volgen. De gevallen waarin een decodering mogelijk is, zijn precies omschreven in punt 8.1 van de beraadslaging nr. 10/079 van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid, Afdeling Gezondheid. 14. Het gebruik van het identificatienummer overeenkomstig de hierboven geschetste modaliteiten is conform aan artikel 4, 1, 3, WVP. C.2. Ten overstaan van de bewaringstermijn 15. Uit de aanvraag evenals punt 28 van de beraadslaging nr. 10/079 van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid, Afdeling Gezondheid, leidt het Comité af dat de aanvrager het gecodeerd identificatienummer tezamen met de andere gegevens zal bewaren gedurende een periode van 10 jaar na het jaar waarin de gegevens werden geregistreerd. 16. De Comité sluit zich aan bij het hiervoor vermeld comité dat oordeelde dat deze bewaartermijn in het licht van de doeleinden aanvaardbaar is. C.3. Ten overstaan van de duur van de machtiging 17. Er wordt een machtiging gevraagd voor een periode die overeenstemt met 10 kalenderjaren na het registratiejaar. Deze omschrijving heeft meer te maken met de bewaringstermijn dan met de machtigingsduur. Uit de mondelinge toelichting blijkt dat het momenteel niet duidelijk is hoelang deze TDI-registratie zal worden gehandhaafd.

6 Beraadslaging RR 01 /2011-6/8 18. Gelet op het feit dat er niet direct een tijdslimiet voor de TDI-registratie werd vooropgesteld, oordeelt het Comité dat een machtiging van onbepaalde duur gepast is (artikel 4, 1, 3, WVP). Deze machtiging neemt van rechtswege een einde van zodra deze registratie niet langer is voorgeschreven. De aanvrager moet het Comité daarvan informeren. C.4. Intern gebruik en/of mededeling aan derden 19. Er is in de eerste plaats een interne mededeling en gebruik. Het register wordt beheerd door de Operationele Directie Expertise, dienstverlening en klantenrelaties van de aanvrager. Deze stelt de gegevens ter beschikking van een andere dienst van de aanvrager, namelijk het Programma Drugs en Illegale Substanties dat enerzijds instaat voor de vereiste mededelingen aan het Europees Waarnemingscentrum voor Drugs en Drugsverslaving en anderzijds zelf welbepaald studiewerk en rapportering verrichten Er wordt echter ook de mededeling aan derden voor ander nationaal en regionaal onderzoek in het vooruitzicht gesteld. In dit verband vestigt het Comité er de aandacht op dat onderzoek bij voorkeur geschiedt op basis van anonieme gegevens. Dit betekent dat de aanvrager in de regel slechts anonieme gegevens mag verstrekken aan derden 6. Volgens de mondelinge toelichting zal de aanvrager, indien zulks noodzakelijk is voor het onderzoek, in een aantal gevallen gecodeerde gegevens verstrekken. Hij zal in dat geval het uniek patiëntennummer (= het door ehealth-platform gecodeerd identificatienummer) nogmaals coderen. Er zal dus een dubbel versleuteld identificatienummer worden meegedeeld aan derden. Voor deze laatsten is het nummer dat zij ontvangen eigenlijk een betekenisloos nummer dat zij zonder dubbele decodering niet kunnen linken met het onderliggende identificatienummer. 21. Rekening houdend met het feit dat: iedere mededeling van gecodeerde persoonsgegevens door het register aan derden, andere dan vermeld in de beraadslaging, aan de voorafgaandelijke machtiging van het Comité wordt voorgelegd 7 en er bijgevolg zal op worden toegezien dat er geen ongeoorloofde decodering geschiedt; het verboden is het daadwerkelijke identificatienummer mee te delen aan een instantie die niet over een machtiging beschikt om dit nummer te gebruiken; 5 Zie punten 7.2 tot 7.4 van de beraadslaging de beraadslaging nr. 10/079 van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid, Afdeling Gezondheid. 6 Zie de bepalingen van het koninklijk besluit van 13 februari 2001 tot uitvoering van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. 7 Punt 52 van de beraadslaging de beraadslaging nr. 10/079 van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid, Afdeling Gezondheid.

7 Beraadslaging RR 01 /2011-7/8 is het Comité van oordeel de mededeling van het dubbel gecodeerd identificatienummer in die omstandigheden kan worden aanvaard. C.5. Netwerkverbindingen 22. Het Comité stelt vast dat er geen enkele automatische gegevensuitwisseling plaatsvindt tussen de verschillende gegevensbanken met behulp van het identificatienummer van het Rijksregister. Er zijn dus geen netwerkverbindingen. 23. Voor de volledigheid, vestigt het Comité de aandacht erop dat: wanneer er later netwerkverbindingen tot stand komen, de aanvrager het Comité hiervan vooraf moet inlichten; het identificatienummer van het Rijksregister uitsluitend in relatie met derden mag worden gebruikt mits dit valt binnen het kader van de doeleinden waarvoor deze derden eveneens gemachtigd werden dit nummer te gebruiken. D. VEILIGHEID D.1. Consulent inzake Informatieveiligheid 24. De identiteit van de consulent inzake informatieveiligheid werd meegedeeld. Het Comité heeft de betrokkene reeds in meerdere dossiers erkend als consulent inzake informatieveiligheid. D.2. Veiligheidsbeleid 25. Uit de verstrekte documentatie blijkt dat de aanvrager beschikt over een veiligheidsbeleid en dat hij dit op het terrein ook in de praktijk omzet. 26. Het Comité neemt hiervan akte

8 Beraadslaging RR 01 /2011-8/8 D.3. Personen die het identificatienummer gebruiken en lijst van die personen 27. Het Comité vestigt de aandacht van de aanvrager erop dat hij moet voorzien in een lijst, zoals voorgeschreven in artikel 12 van de WRR. Die lijst moet voortdurend worden bijgewerkt en ter beschikking worden gehouden van het Comité. 28. De personen op deze lijst moeten een verklaring ondertekenen waarin zij zich ertoe verbinden om de veiligheid en de vertrouwelijkheid van die informatie te bewaren. OM DEZE REDENEN, het Comité 1 machtigt het Wetenschappelijk Instituut Volksgezondheid om voor onbepaalde duur en onder de voorwaarden uiteengezet in deze beraadslaging, voor het doeleinde vermeld onder punt B, om het identificatienummer van het Rijksregister te gebruiken. 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatieveiligheid die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatieveiligheid en antwoorden op de vragen m.b.t. de organisatie van de veiligheid), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatieveiligheid naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren. 3 bepaalt dat wanneer het Comité een vragenlijst over het veiligheidsniveau van de informatie toestuurt, de aanvrager deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren. Voor de Administrateur m.v., De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon