van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;

Transcriptie

1 1/13 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 14/2018 van 21 februari 2018 Betreft: Aanvraag van het Instituut voor Tropische Geneeskunde om toegang te krijgen tot informatiegegevens uit het Rijksregister en het Rijksregisternummer te gebruiken voor het controleren en actualiseren van de identificatiegegevens van patiënten, hun ondubbelzinnige identificatie in de medische dossiers, alsook facturatiebeheer (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Instituut voor Tropische Geneeskunde ontvangen op 12/10/2017; Gelet op de bijkomende informatie ontvangen op 29/11/2017, op 4/01/2018 en op 9/01/2018; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 6/02/2018; Gelet op het verslag van de Voorzitter;

2 Beraadslaging RR 14/2018-2/13 Beslist op 21 februari 2018, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. Het Instituut voor Tropische Geneeskunde (hierna de aanvrager) wenst te worden gemachtigd om voor diens polikliniek, enerzijds, een toegang te hebben tot de informatiegegevens uit het Rijksregister vermeld in artikel 3, eerste lid, 1 (naam en voornaam), 2 (geboorteplaats en -datum), 3 (geslacht), 5 (hoofdverblijfplaats) en 6 (datum van overlijden), WRR en, anderzijds, om het Rijksregisternummer te mogen gebruiken met het oog op: - het zich verzekeren van de ondubbelzinnige en correcte identificatie van patiënten; - het activeren en deactiveren van de dossiers van patiënten; - factuurbeheer van de aan de patiënten geleverde diensten. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 2. Overeenkomstig artikel 5, eerste lid, 2, en artikel 8 WRR wordt de machtiging om toegang te krijgen tot de informatiegegevens van het Rijksregister en om het identificatienummer ervan te gebruiken door het Comité verleend aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. 3. In beraadslaging RR nr. 42/2011 werd een polikliniek omschreven als een plaats waar beoefenaars van een gezondheidszorgberoep, bedoeld in koninklijk besluit nr. 78 van 10 november 1967 betreffende de uitoefening van de gezondheidszorgberoepen, consultaties houden voor wie niet opgenomen hoeft te worden. Het is een plaats waar zowel eenvoudige als hoogtechnologische onderzoeken gebeuren. Een polikliniek kan deel uitmaken van een (universitair) ziekenhuis. 4. De aanvrager voorziet in tropische gezondheidszorg van patiënten en reizigers en biedt experten hulp in haar verschillende preventieve, curatieve en ondersteunende gezondheidstaken. Hiervoor heeft de aanvrager een polikliniek met o.a. een reiskliniek (waar zowel vaccinaties voor

3 Beraadslaging RR 14/2018-3/13 reizen, algemeen reisadvies en diagnose en opvolging bij thuiskomst plaatsvinden) en een HIV/SOAkliniek (voor de diagnose en opvolging van SOA's en HIV, alsook opvolging en behandeling van HIVpositieve patiënten). 5. De aanvrager maakt geen deel uit van een (universitair) ziekenhuis. 1 De aanvrager beschikt over rechtspersoonlijkheid. Uit diens statuten blijkt dat het maatschappelijk doel o.a. bestaat in het verrichten en bevorderen van wetenschappelijk onderzoek, onderwijs en dienstverlening in hun ruimste zin op het gebied van de menselijke en dierlijke gezondheid, met bijzondere aandacht voor tropische en aanverwante ziekten, en de gezondheidsproblemen en de gezondheidszorg in ontwikkelingslanden. Daarenboven: is aan de aanvrager een klinisch labo, erkend conform artikel 43 van het koninklijk besluit van 3/12/1999 betreffende de erkenning van de laboratoria voor klinische biologie door de Minister tot wiens bevoegdheid de Volksgezondheid behoort, verbonden; innen zij de honoraria centraal; organiseren zij een multidisciplinaire samenwerking met geneesheer-specialisten. 6. Het Comité oordeelt dat aanvrager, rekening houdend met diens maatschappelijk doel enerzijds en de hierboven vermelde randvoorwaarden anderzijds, een taak van algemeen belang vervult. 2 De diensten die onder meer door in poliklinieken actieve beroepsbeoefenaars in de gezondheidzorg worden verleend, zijn zorgen gericht op het bestrijden, verlichten, verbeteren of stabiliseren van die gezondheidstoestand van de patiënt. De aanvrager komt bijgevolg op grond van artikel 5, eerste lid, 2, WRR in aanmerking om gemachtigd te worden om toegang te krijgen tot de informatiegegevens van het Rijksregister en om het identificatienummer ervan te gebruiken. A.2. Wet van 8 december 1992 (WVP) 7. Op grond van artikel 4 WVP vormen de informatiegegevens van het Rijksregister en het Rijksregisternummer persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. 1 De aanvrager verduidelijkt dat het ITG bij het RIZIV is erkend als 'groepering van zorgverstrekkers' met erkenningsnummer Er bestaat voorlopig nog geen regelgevend kader voor (niet ziekenhuis gebonden) poliklinieken. 2 Zulks naar analogie met beraadslaging RR nr. nr. 42/2011.

4 Beraadslaging RR 14/2018-4/13 B. DOELEINDEN 8. De aanvrager wenst over een toegang tot het Rijksregister te beschikken en het identificatienummer ervan te gebruiken voor de volgende doeleinden: zich verzekeren van de ondubbelzinnige en correcte identificatie van een patiënt in het patiëntendossier dat door de polikliniek wordt aangelegd en bijgehouden zoals voorzien in artikel 9 van de wet van 22 augustus 2002 betreffende de rechten van de patiënt (doel a); de dossiers van patiënten activeren en deactiveren (doel b); factuurbeheer voor de aan de patiënten geleverde diensten (doel c); 9. De hierna opgesomde gegevens van het Rijksregister zullen gebruikt mogen worden om zich te verzekeren van de ondubbelzinnige en correcte identificatie van een patiënt in het patiëntendossier (doel a). 10. Teneinde zich te wapenen tegen verwisseling van dossiers van patiënten is het noodzakelijk dat de polikliniek zich vergewist van de juistheid en het actuele karakter van hun identiteitsgegevens. 11. Een eerste passende identificatie van een patiënt gebeurt alvorens een raadpleging van het Rijksregister wordt uitgevoerd. Zij gebeurt in principe aan de hand van de eid van de patiënt waarop een aantal met het blote oog leesbare persoonsgegevens voorkomen die eveneens opgeslagen zijn op de elektronische chip, namelijk: het Rijksregisternummer, de naam, de voornaam, het geslacht en geboortedatum en -plaats. 12. De foto op de eid laat de dienst die belast is met de registratie van de patiënten overigens toe de patiënt te authenticeren (nagaan of de houder van de identiteitskaart de juiste is) en zich te wapenen tegen identiteitsdiefstal. 13. De zichtbare gegevens van de eid zijn afkomstig van het Rijksregister. Bijgevolg gaat het om officiële en correcte gegevens. 14. Aangezien deze kaart echter gedurende meerdere jaren geldig is, is de informatie die erop voorkomt niet noodzakelijk bijgewerkt op het ogenblik van diens voorlegging wat kan leiden tot verwarring en een inzameling van niet-actuele gegevens. Met een raadpleging van het Rijksregister kunnen de gegevens worden bijgewerkt. 15. De datum van overlijden zal mogen geraadpleegd worden om te kunnen overgaan tot deactivering en archivering van de dossiers van overleden patiënten (doel b).

5 Beraadslaging RR 14/2018-5/ De aanvragers zullen eveneens de gegevens van het Rijksregister mogen verwerken met het oog op facturering en invordering van diensten die zij hebben geleverd in het raam van hun activiteiten van algemeen belang (doel c). 17. Het Comité meent inderdaad dat de facturering van diensten die werden geleverd in het raam van activiteiten van algemeen belang kan beschouwd worden als inherent aan de opdracht van algemeen belang. 18. Het Comité stelt vast dat de nagestreefde doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2, WVP en artikel 7, 2, j), WVP en tevens het algemeen belang dient in de zin van artikel 5, eerste lid, 2 WRR. C. PROPORTIONALITEIT C.1. Ten overstaan van de gegevens 19. De aanvrager wenst voor diens patiënten toegang krijgen tot de informatiegegevens van het Rijksregister, vermeld in artikel 3, eerste lid, 1 tot 3, 5 en 6 (plaats van overlijden uitgezonderd), WRR, namelijk: naam en voornamen; geboortedatum en geboorteplaats; geslacht; hoofdverblijfplaats; datum van overlijden. 20. De identificatie van een persoon moet bij voorkeur gebeuren aan de hand van de minst "vluchtige" (onderhevig aan wijzigingen) persoonsgegevens. Maken hier onder andere deel van uit, de naam en voornamen, geboortedatum, geboorteplaats en geslacht. Aan deze gegevens kunnen slechts wijzigingen worden aangebracht in welbepaalde gevallen en mits het naleven van bepaalde formaliteiten. Dit is dus eerder uitzonderlijk. 21. Het gegeven 'hoofdverblijfplaats' is eveneens relevant om de dienst die instaat voor het beheer van de facturering toe te laten de factuur op te sturen naar het huidige adres van de patiënt. 22. Het gegeven 'datum van overlijden' lijkt noodzakelijk en relevant teneinde de aanvrager toe te laten de dossiers van patiënten te archiveren waarvan hij op die manier het overlijden heeft vernomen.

6 Beraadslaging RR 14/2018-6/ In het raam van haar activiteiten verwerkt een polikliniek gevoelige gegevens in de zin van de WVP, met name gezondheidsgegevens van natuurlijke personen (art. 7 WVP). 24. Informatie betreffende de gezondheid van een patiënt waarvoor een raadpleging van het Rijksregister wordt uitgevoerd, kan worden afgeleid uit de oorsprong van de aanvraag of, met andere woorden, uit de hoedanigheid van de persoon die het Rijksregister raadpleegt of de dienst waarvan deze persoon functioneel deel uitmaakt. 25. Om te voorkomen dat informatie betreffende de gezondheidstoestand van een patiënt aldus zou kunnen afgeleid worden uit de kenmerken van een raadpleging van het Rijksregister, moet de polikliniek maatregelen nemen om ervoor te zorgen dat raadplegingen enkel zullen uitgevoerd worden door de algemene diensten ervan of door speciaal hiertoe aangeduide personeelsleden, zodat geen informatie betreffende de gezondheidstoestand van de patiënt kan afgeleid worden uit de vraag om toegang tot het Rijksregister. C.2. Ten overstaan van het Rijksregisternummer 26. Het Comité is van oordeel dat ook het gebruik van het Rijksregisternummer van de betrokken patiënten kan worden toegestaan. Dit nummer zal enkel mogen gebruikt worden voor de ondubbelzinnige identificatie van een patiënt in zijn dossier en zich zodoende te wapenen tegen het risico op homonymie, alsook voor het raadplegen van de voormelde gegevens van het Rijksregister van de patiënt voor het versturen van de factuur of de archivering van het dossier. 27. Het Rijksregisternummer staat op de eid. De aanvrager kan er dus kennis van nemen. Het Rijksregisternummer, dat een uniek nummer is van nationale omvang, laat in combinatie met de naam, de geboortedatum en -plaats en het geslacht toe een persoon zonder enige kans op vergissing te identificeren. Bovendien kan met dit nummer op efficiënte wijze de juistheid van de persoonsgegevens van de betrokkene worden nagegaan in het Rijksregister als authentieke bron. 28. Het Rijksregisternummer mag enkel gebruikt worden in relaties met derden die eveneens gemachtigd werden om dit nummer te gebruiken en voor zover dit conform is aan de doeleinden waarvoor zij werden gemachtigd. 3 3 De aanvrager maakt terzake melding van volgende derden: WIV, in het kader van healthdata.be (zie beraadslaging SCSZG nr. 15/009 van 17 februari 2015, laatste gewijzigd op 16 mei 2017) en CoZo (zie beraadslaging SC SZ&G nr. 13/2012 van 19 februari 2013 en beraadslaging SC SZ&G nr. 14/016 van 18 februari 2014) en externe zorgverleners met een therapeutische relatie met de patiënt (zie art. 8/1 van de wet van 21 augustus 2008 houdende oprichting en organisatie van het ehealthplatform en diverse bepalingen).

7 Beraadslaging RR 14/2018-7/13 C.3. Frequentie van toegang en duur van de onderhavige machtiging 29. Het aantal raadplegingen van het Rijksregister door de aanvrager kan niet vooraf worden bepaald aangezien de zorgverstrekkingen die een identificatie, een facturatie of het bijhouden van een dossier impliceren, gebeuren op gerichte vraag van een patiënt. Bijgevolg verleent het Comité een permanente toegang tot de informatiegegevens van het Rijksregister. 30. De machtiging wordt verleend voor onbepaalde duur daar de zorgverleningstaak van de aanvrager niet in de tijd is beperkt, weliswaar onder voorbehoud en in de mate dat de aanvrager blijft voldoen aan de voorwaarden vermeld in randnummers 4 en 5. C.4. Bew aringstermijn 31. De aanvrager moet organisatorische en/of technische maatregelen nemen zodat de volgende bewaringstermijnen gerespecteerd worden door de respectievelijke diensten. Het Comité constateert dat het in onderhavig geval niet mogelijk is om vooraf een exacte bewaartermijn vast te leggen. Het is tegelijk van oordeel dat in de praktijk een onderscheid kan gemaakt worden tussen verschillende bewaringswijzen. 32. In het patiëntendossier worden gegevens die de gezondheid betreffen opgenomen. De diensten van de aanvrager die instaan voor de registratie en het beheer van het dossier van de patiënt mogen de voormelde gegevens bewaren gedurende 30 jaar na de laatste dienstverlening aan de patiënt en dit conform: artikel 46 van de Code van geneeskundige plichtenleer en naar analogie met artikel 1, 3, van het koninklijk besluit van 3/05/1999 houdende bepaling van de algemene minimumvoorwaarden waaraan het medisch dossier, bedoeld in artikel 15 van de wet op de ziekenhuizen, gecoördineerd op 7 augustus 1987, moet voldoen. 33. Van zodra een dossier niet meer operationeel is, moet de gekozen bewaringswijze aan de gegevens slechts een beperkte beschikbaarheid en toegankelijkheid verlenen. Een dergelijke bewaringswijze moet toelaten om een antwoord te bieden op andere mogelijke doeleinden van deze bewaring, zoals de naleving van de wettelijke voorschriften inzake verjaring of de uitvoering van een administratieve controle. 34. De dienst(en) van de aanvrager die instaa(t)(n) voor de facturering en /of de invordering zal(zullen) voor het doeleinde van facturering de gegevens niet langer bewaren dan het einde van de invorderingsprocedure, noch langer dan de wettelijke verjaringstermijn van de rechtsvorderingen van de zorgverstrekkers voor de door hen geleverde prestaties, die op dit ogenblik krachtens

8 Beraadslaging RR 14/2018-8/13 artikel 2277bis Burgerlijk Wetboek twee jaar bedraagt, te rekenen vanaf het einde van de maand waarin de prestaties werden geleverd. C.5. Intern gebruik en/of mededeling aan derden eventuele ontvangers 35. De voormelde gegevens zullen in de eerste plaats intern gebruikt worden. 36. Mededeling van identificatiegegevens van een patiënt aan diens behandelende beroepsbeoefenaars, alsook mededeling aan mutualiteiten, deurwaarders of advocaten voor de invordering van kosten gemaakt door de aanvragers, vormen een externe mededeling die niet onverenigbaar is. Dit is eveneens het geval voor de eventuele terugvordering van kosten bij het bevoegde OCMW die een mededeling inhoudt van de identificatiegegevens van de patiënt aan het bevoegde OCMW. 37. Voorts wordt melding gemaakt van gebeurlijke mededelingen van voormelde gegevens aan: - WIV in het kader van healthdata.be 4 ; - Agentschap Zorg en Gezondheid (rapportering van infectieziekten en vaccinatiebeleid) 5 ; - Collaboratief Zorgplatform Vlaanderen 6. In de mate dat deze mededelingen door of krachtens de wet zijn opgelegd en gemachtigd zijn door het Sectoraal comité van de Sociale Zekerheid en van de Gezondheid geven deze geen aanleiding tot bijzondere opmerkingen. D. Modaliteiten voor de toegang tot het Rijksregister 38. Het Comité verwijst naar de wet van 21 augustus 2008 houdende oprichting en organisatie van het ehealth-platform en diverse bepalingen. Een van de opdrachten van het ehealth-platform bestaat in de gratis terbeschikkingstelling aan de actoren van de gezondheidszorg van een samenwerkingsplatform voor de beveiligde uitwisseling van gegevens, met inbegrip van een systeem voor de organisatie en de logging van de elektronische uitwisseling van gegevens en een systeem voor preventieve controle op de elektronische toegang tot gegevens. Wat de informatiebeveiliging en de bescherming van de privacy betreft is het ehealth-platform onderworpen aan een specifieke controle van een in de schoot van de Commissie voor de bescherming van de persoonlijke levenssfeer 4 Zie beraadslaging SCSZG nr. 15/009 van 17 februari 2015, laatste gewijzigd op 16 mei Zie artikelen 39 e.v. van het decreet van 21 november 2003 betreffende het preventieve gezondheidsbeleid met betrekking initiatieven om (uitbreiding van) schadelijke effecten, veroorzaakt door biotische factoren te voorkomen en tegen te gaan; artikel 2 van het besluit van de Vlaamse regering van 7 mei 2004 tot oprichting van het intern verzelfstandigd agentschap " Zorg en Gezondheid; het ministerieel besluit van 29 januari 2015 tot het bepalen van het vaccinatieschema voor Vlaanderen; beraadslaging RR nr. 10/2004 van 5 april Beraadslaging SCSZG nr. 13/012 van 19 februari 2013 en beraadslaging SCSZG nr. 14/016 van 18 februari 2014.

9 Beraadslaging RR 14/2018-9/13 opgericht sectoraal comité. De toepassing van deze maatregelen benadrukt het belang van een passende beveiliging in het raam van de uitwisseling van persoonsgegevens tussen de actoren uit de gezondheidszorg. De wetgever heeft de minimale veiligheidsmaatregelen gedefinieerd alsook een specifieke controle hierop, zonder evenwel te eisen dat iedere uitwisseling van persoonsgegevens tussen de actoren zou gebeuren via het ehealth-platform. Het ehealth-platform heeft voor de uitvoering van zijn opdrachten eveneens expliciet een toegang gekregen tot de gegevens van het Rijksregister. 39. Het Comité is van mening dat de toegang tot het Rijksregister door de actoren uit de gezondheidszorg (andere dan de burger zelf die al over geijkte kanalen beschikt om toegang te krijgen tot zijn eigen gegevens in het Rijksregister) voortaan moet gebeuren in overeenstemming met de minimale controle- en veiligheidsmaatregelen die opgelegd worden aan het ehealth-platform. 40. Het Comité meent dat de toegang tot het Rijksregister moet gebeuren, hetzij via het ehealthplatform, hetzij via een ander platform dat vergelijkbare waarborgen inzake informatiebeveiliging biedt, onder meer op het gebied van logging en preventieve controle op de toegangen, en dat zich eveneens onderwerpt aan een specifieke controle door het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid dat ingesteld is bij de Commissie voor de bescherming van de persoonlijke levenssfeer. E. VEILIGHEID E.1. Consulent inzake informatieveiligheid 41. De gemachtigde is verplicht een consulent inzake informatiebeveiliging en bescherming van de persoonlijke levenssfeer aan te stellen (art. 8, 2 en art. 10 WRR). Het Comité stelt vast dat de identiteit van de consulent werd meegedeeld. 42. Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband: De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in de context relevante regelgeving. Deze capaciteiten stellen de consulent in staat diens taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden. De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de gemachtigde.

10 Beraadslaging RR 14/ /13 Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten hiermee onverenigbaar. In het bijzonder kan de functie niet gecumuleerd worden met deze van eindverantwoordelijke voor de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur). De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken. De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen. De gemachtigde ondersteunt de consulent door hem beschikking te geven over de benodigde middelen en tijd voor het vervullen van diens taken en het in stand houden van zijn deskundigheid. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 43. Het Comité houdt zich het recht voor toezicht uit te oefenen op de naleving van deze verplichtingen. 44. De identiteit van de consulent inzake informatieveiligheid wordt ook meegedeeld aan het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid. 45. Gelet op het specifieke activiteitsdomein van de aanvrager zal alle in dit verband nuttige informatie ook moeten meegedeeld worden aan het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid zodat dit in alle onafhankelijkheid de informatiebeveiliging kan beoordelen. E.2. Informatieveiligheidsbeleid 46. Uit de door de aanvrager meegedeelde conformiteitsverklaring inzake het informatiebeveiligingssysteem blijkt dat deze beschikt over een informatiebeveiligingsbeleid. 47. Het Comité heeft er akte van genomen.

11 Beraadslaging RR 14/ / De aanvrager dient een gedetailleerde policy uit te werken en toe te passen op het vlak van gebruikers- en toegangsbeheer, die waarborgt dat enkel zorgverleners die een therapeutische relatie hebben met de patiënt toegang hebben tot de relevante persoonsgegevens over die patiënt. Die policy dient in overeenstemming te zijn met de regelgeving en wordt ook voorgelegd aan het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid voorafgaand aan de inwerkingtreding van de machtiging. 49. Alle informatie in verband met de hierboven vermelde punten zal ook moeten worden meegedeeld aan het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid zodat het in alle onafhankelijkheid alle facetten van de informatiebeveiliging kan beoordelen. E.3. Personen die toegang hebben tot de gegevens en het identificatienummer gebruiken, en lijst van deze personen 50. De aanvrager moet een lijst opstellen van de personeelsleden die om functionele redenen (voor de taken waarmee zij werden belast) effectief over een toegang tot de informatiegegevens van het Rijksregister zullen beschikken en het Rijksregisternummer zullen gebruiken. Deze lijst moet voortdurend bijgewerkt worden en ter beschikking gehouden worden van het Comité en van het Sectoraal Comité van de Sociale Zekerheid en de Gezondheid (zie artikel 12 WRR). 51. Het aantal aldus aangeduide personen moet tot een strikt minimum beperkt worden. Bovendien zal de aanvrager de personen die op de lijst voorkomen een verklaring laten ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de gegevens te bewaren. E.4. Onderaanneming 52. Indien bij de uitvoering van de gegevensverwerkingen voor de voormelde doeleinden beroep gedaan wordt op een onderaannemer, zal de aanvrager diens samenwerking met een goede onderaannemer moeten omkaderen door het afsluiten van een overeenkomst die voldoet aan de voorschriften van artikel 16 WVP. F. PROCEDURE 53. De aanvrager moeten een door de bevoegde organen behoorlijk ondertekende verbintenis waarmee ze verklaren de voorwaarden van onderhavige beraadslaging na te leven, richten aan de Sectorale Comités van de Sociale Zekerheid en van de Gezondheid en dat van het Rijksregister.

12 Beraadslaging RR 14/ / Deze verbintenis moet vergezeld zijn van een kopie van de van kracht zijnde statuten. Iedere verbintenis tot gelijkvormigheid die aan het Comité wordt gestuurd impliceert een verklaring op eer dat de bijgevoegde statuten de geactualiseerde van kracht zijnde statuten zijn; 55. Het Sectoraal comité van de Sociale Zekerheid en van de Gezondheid zal in zijn naam en in naam van het Sectoraal comité van het Rijksregister een ontvangstmelding van de aanvraag bezorgen. 56. De aanvrager zal slechts toegang verkrijgen tot het Rijksregister nadat deze een gunstig advies heeft bekomen vanwege het Sectoraal comité van de Sociale Zekerheid en van de Gezondheid betreffende de veiligheidsmaatregelen en de door hen voorgestelde consulent inzake informatieveiligheid. 57. Het Sectoraal comité van het Rijksregister deelt aan de aanvrager de datum mee vanaf wanneer de onderhavige machtiging uitwerking krijgt. OM DEZE REDENEN, Het Comité, 1 machtigt het Instituut voor Tropische Geneeskunde, onder de voorwaarden van de onderhavige beraadslaging, om voor onbepaalde duur: een permanente toegang te hebben tot de informatiegegevens vermeld in artikel 3, eerste lid, 1 tot 3, 5 en 6 (de plaats van overlijden uitgezonderd), WRR; het Rijksregisternummer te gebruiken. Deze machtiging zal uitwerking krijgen nadat de procedure vermeld in hoofding F met goed gevolg werd afgerond. 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met de formulieren terzake aan het Comité en het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid werden verstrekt (aanstelling van een consulent inzake informatieveiligheid en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), het Instituut voor Tropische Geneeskunde een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moeten invullen en aan het Comité en het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid moeten bezorgen. Deze laatsten melden de ontvangst ervan en behouden het recht om daarop later eventueel te reageren;

13 Beraadslaging RR 14/ /13 3 bepaalt dat wanneer het Comité of het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid een vragenlijst betreffende de informatiebeveiliging stuurt aan de begunstigde van onderhavige machtiging, deze laatste die vragenlijst waarheidsgetrouw moet invullen en terugsturen aan het Comité en het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid. Deze laatsten zullen de ontvangst bevestigen en hierop reageren indien hiertoe aanleiding bestaat. 4 bepaalt dat het Instituut voor Tropische Geneeskunde voortdurend de contactgegevens van de aangeduide veiligheidsconsulent ter beschikking van het Comité en het Sectoraal comité van de Sociale Zekerheid en van de Gezondheid houden, alsook in voorkomend geval, alle nuttige informatie betreffende het veiligheidsbeleid van de begunstigde van de onderhavige machtiging. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon