van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;

Transcriptie

1 1/9 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 09/2018 van 21 februari 2018 Betreft: Aanvraag van de Dienst voor geneeskundige evaluatie en controle van het Rijksinstituut voor ziekte- en invaliditeitsverzekering om toegang te krijgen tot het gegeven foto van het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten in het kader van de uitoefening van zijn controle-opdracht (RN-MA ) Het Sectoraal comité van het Rijksregister (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna de wet van 19 juli 1991); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Dienst voor geneeskundige evaluatie en controle van het Rijksinstituut voor ziekte- en invaliditeitsverzekering ontvangen op 22/12/2017;

2 Beraadslaging RR 09/2018-2/9 Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 29/01/2018; Gelet op het verslag van de Voorzitter; Beslist op 21 februari 2018, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De Dienst voor geneeskundige evaluatie en controle van het Rijksinstituut voor ziekte- en invaliditeitsverzekering, hierna de aanvrager, vraagt toegang tot het gegeven foto van het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten, waarvan sprake in artikel 6bis, 1, 1 van de wet van 19 juli 1991 en dit in het kader van de uitoefening van zijn controle-opdracht. 2. Op grond van het Koninklijk besluit van 5 december 1986 tot regeling van de toegang tot het Rijksregister van de natuurlijke personen, in hoofde van de instellingen van openbaar nut die onder het Ministerie van Sociale Voorzorg en het Koninklijk besluit van 5 december 1986 tot regeling van het gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen door de instellingen van openbaar nut die onder het Ministerie van Sociale Voorzorg ressorteren, werd de aanvrager reeds gemachtigd voor het vervullen van zijn wettelijke taken, een permanente toegang te hebben tot bepaalde persoonsgegevens uit het Rijksregister en het Rijksregisternummer te gebruiken. 3. De aanvrager wenst zijn toegang tot het Rijksregister waarover hij reeds beschikt krachtens het Koninklijk besluit van 5 december 1986 tot regeling van de toegang tot het Rijksregister van de natuurlijke personen, in hoofde van de instellingen van openbaar nut die onder het Ministerie van Sociale Voorzorg uit te breiden naar het gegeven "foto van het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten voor de verwezenlijking van de doelen zoals reeds gemachtigd in voornoemd Koninklijk besluit van 5 december II. ONDERZOEK VAN DE AANVRAAG 4. Krachtens artikel 6bis, 3, van de wet van 19 juli 1991 komen alleen openbare overheden in aanmerking voor een toegang tot het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten.

3 Beraadslaging RR 09/2018-3/9 5. De aanvrager is een openbare overheid. De aanvraag is dus ontvankelijk. 6. Zoals hierboven vermeld is de aanvrager al gemachtigd om toegang te hebben tot het Rijksregister en moet het Comité enkel nagaan of het gegeven foto proportioneel is in het licht van het doeleinde waarvoor de aanvrager reeds gemachtigd is, met name voor het vervullen van zijn controle-opdracht (artikel 4, 1, 3, van de WVP). A. DOELEINDE 7. De aanvrager wenst toegang tot het gegeven foto van het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten, zoals weergegeven op de laatste desbetreffende kaart, ten behoeve van het inspecterend en administratief personeel, en dat om in het kader van de vervulling van hun wettelijke opdrachten (het vrijwaren van de belangen van de verplichte ziekteverzekering, zie verder) personen te kunnen identificeren. Het gegeven foto (foto van de laatste desbetreffende kaart) zal intern kunnen worden geraadpleegd via de webtoepassing Dolsis De aanvrager werd ingesteld door de gecoördineerde wet van 14 juli 1994 betreffende de verplichte verzekering voor geneeskundige verzorging en uitkeringen (hierna: "GVU-wet ) en moet bijdragen tot het optimaal gebruik van de middelen van de verplichte verzekering voor geneeskundige verzorging en uitkeringen. De aanvrager beschikt over inspecterend personeel met de hoedanigheid van arts-inspecteur, apotheker-inspecteur, verpleegkundige controleur en inspecteurs met een andere beroepskwalificatie. De aanvrager beschikt tevens over administratief personeel, dat het inspecterend personeel bijstaat. Het inspecterend personeel van de aanvrager is bevoegd om onderzoeken te verrichten en inbreuken door zorgverleners, rechthebbenden en gerechtigden op de GVU-wetgeving- en reglementering vast te stellen. Dat betreft onder meer de evaluatie van de prestaties in het licht van de problematiek van overconsumptie en de controle van de prestaties op het vlak van de realiteit en conformiteit met de geldende regelgeving (bijvoorbeeld niet-verleende maar wel aangerekende verstrekkingen). Het inspecterend personeel van de aanvrager is eveneens bevoegd om de geneeskundige controle van de prestaties van de uitkerings- en moederschapsverzekering te verrichten. Verder is het inspecterend personeel van de aanvrager bevoegd om inbreuken op het Sociaal Strafwetboek vast te stellen, zoals valsheid in geschriften en gebruik van valse stukken in het sociaal strafrecht, onjuiste en onvolledige verklaringen betreffende de sociale voordelen en oplichting in het sociaal strafrecht. Alle leden van het inspecterend personeel 1 Beraadslaging nr. 12/050 van 3 juli 2012, gewijzigd op 2 februari 2016, met betrekking tot de mededeling van persoonsgegevens aan de dienst voor administratieve controle en de dienst voor geneeskundige evaluatie en controle van het Rijksinstituut voor ziekte- en invaliditeitsverzekering door middel van de webtoepassing Dolsis van het sectoraal comité van de sociale zekerheid en van de gezondheid, afdeling Sociale Zekerheid.

4 Beraadslaging RR 09/2018-4/9 van de aanvrager zijn "sociaal inspecteur'' in de zin van het Sociaal Strafwetboek en beschikken in het kader van de inspecties over de bevoegdheden als bedoeld in de artikelen 23 tot 39 van het Sociaal Strafwetboek, waaronder de identificatie van personen (art. 146, 1 GVU-wet, art. 169 GVU-wet en art. 26 van het Sociaal Strafwetboek). 9. De toegang tot de foto uit het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten (foto van de laatste desbetreffende kaart) laat het inspecterend personeel van de aanvrager toe om de personen correct te identificeren bij het vervullen van hun opdrachten. Dankzij de toegang tot de foto kan het inspecterend personeel in het bijzonder: bij twijfel over de echtheid van de voorgelegde identiteitsdocumenten een eerste toetsing te kunnen doen; het probleem verhelpen van het vergeten zijn of niet bijhebben van de identiteitskaart of de identiteit van personen laten bevestigen tijdens een verhoor van verzekerden of getuigen (bijvoorbeeld: gevallen waar de prestaties naar alle waarschijnlijkheid door onbevoegde personen worden uitgevoerd bij de verzekerden en dus niet-aanrekenbaar zijn in het kader van de verplichte ziekteverzekering; zie bijvoorbeeld voor wat betreft de thuisverpleegkunde: art. 8, 1, eerste lid van de Nomenclatuur van de geneeskundige verstrekkingen (dat is de bijlage bij het Koninklijk besluit van 14 september 1984 tot vaststelling van de nomenclatuur van de geneeskundige verstrekkingen inzake de verplichte verzekering voor geneeskundige verzorging en uitkeringen); vooraleer ter plaatse te gaan zich vertrouwd maken met het gezicht van de te controleren persoon ten einde de controle ter plaatste te optimaliseren (in het kader van vaststellingen ter plaatse). In dat kader kan verder nog worden gewezen op artikel 26 van het Sociaal Strafwetboek, dat ingevolge artikel 169 GVU-wet ook van toepassing is ten aanzien van het inspectiepersoneel van de aanvrager, en dat bepaalt dat de sociaal inspecteurs de identiteit mogen opnemen van personen die zich op de arbeidsplaatsen bevinden alsook van eenieder van wie zij de identificatie nodig achten voor de uitoefening van het toezicht. 10. Het administratief personeel is niet bevoegd om ter plaatse te controleren. Zij zijn immers geen sociaal inspecteur en beschikken dus niet over de bevoegdheden uit het Sociaal Strafwetboek (verhoor afleggen, toegang tot bedrijfsruimten, etc. ; zie art. 146, 1 en art. 169 van de GVU-wet). Zij staan voor de rest de sociaal inspecteurs bij in het vervullen van hun wettelijke opdrachten en kunnen in dat kader wel bijvoorbeeld een onderzoeksdossier

5 Beraadslaging RR 09/2018-5/9 mee samen stellen. Wanneer de machtiging ook tot hen uitstrekt, dan kunnen zij ook de foto afdrukken, bijvoorbeeld in het kader van de voorbereidingen van een verhoor. Het is immers niet altijd mogelijk en wenselijk dat de sociaal inspecteur de foto tijdens de controle ter plaatse ophaalt via een mobiele toepassing, omdat de sociaal inspecteurs niet beschikken over een landsbrede internetconnectie op kosten van de aanvrager. Mocht dat wel het geval zijn, dan nog zouden er zich connectieproblemen en andere technische problemen kunnen voordoen. 11. Gelet op wat voorafgaat, stelt het Comité vast dat het doeleinde welbepaald en uitdrukkelijk omschreven is in de zin van artikel 4, 1, 2 van de WVP en artikel 5, tweede lid, WRR. De verwerking die eruit voortspruit is gerechtvaardigd op basis van artikel 5, c) en/of artikel 8, 2, b), WVP. B. PROPORTIONALITEIT B.1. Ten overstaan van de gegevens 12. Gelet op de uitleg onder punt A, stelt het Comité vast dat een toegang tot de foto, die is opgenomen in het Register van Identiteitskaarten en het Register van Vreemdelingenkaarten, in overeenstemming is met artikel 4, 1, 3 van de WVP. B.2. Betreffende de frequentie van de toegang en duur van de machtiging 13. De aanvrager wenst te beschikken over een permanente toegang voor onbepaalde duur vermits de controles op ieder moment uitgevoerd worden. De sociaal inspecteurs en het administratief personeel dat hen bijstaat moeten de mogelijkheid hebben om de foto te raadplegen telkens dit noodzakelijk blijkt voor de uitoefening van de controle-opdrachten. Deze opdracht van controle is niet in de tijd beperkt. 14. Omwille van de aard van hun activiteiten moeten de inspecteurs de mogelijkheid hebben om de foto te raadplegen telkens dit noodzakelijk blijkt. Het Comité oordeelt dat in het licht hiervan een permanente toegang voor onbepaalde duur gepast is (artikel 4, 1, 3, WVP). B.3. Betreffende de bewaartermijn 15. Van alle handelingen die het inspecterend personeel in het kader van een onderzoek stelt, wordt een schriftelijke weerslag in het dossier bewaard, zodat de burger of diens advocaat in het kader van het recht van verdediging kan nagaan of het onderzoek regelmatig gebeurd is en waar nodig één en ander kan tegenspreken. Bijvoorbeeld: of de juiste foto (van

6 Beraadslaging RR 09/2018-6/9 bijvoorbeeld een onbevoegde zorgverlener) wel werd voorgelegd aan de verhoorde persoon en of de sociaal inspecteur zich wel heeft gebaseerd op de juiste foto voor wat betreft de identificatie. 16. De foto zal niet langer bewaard worden dan nuttig voor het uitoefenen van de opdrachten van de aanvrager, die onder meer bestaan in het vrijwaren van de belangen van de verplichte ziekteverzekering in procedures voor de administratieve overheid, voor de rechtscolleges en bij het openbaar ministerie (art. 139, 6 en 7 GVU-wet; art. 142, 2, vierde lid GVU-wet; art. 74 en verder van het Sociaal Strafwetboek; artikelen 216bis en 216ter van het Wetboek van Strafvordering). Daarna worden de gegevens ofwel gearchiveerd, ofwel vernietigd. Het Comité stelt vast dat de bewaartermijn in overeenstemming is met artikel 4, 1, 5 van de WVP. B.4. Intern gebruik en/ of mededeling aan derden 17. De gegevens zullen door de sociaal inspecteurs en het administratief personeel dat de sociaal inspecteurs in hun opdrachten bijstaat, intern worden gebruikt in het raam van hun controleopdrachten. 18. Hoewel de aanvraag stelt dat er geen mededeling gebeurt aan derden gaat het Comité ervan uit dat de aanvrager genoopt kan worden om de informatie die hij bij de uitvoering van zijn opdrachten verzamelt door te geven aan gerechtelijke actoren, zoals een rechtscollege of het parket. 19. Binnen de perken van artikel 54 en 55 van het Sociaal Strafwetboek kunnen of moeten de gegevens worden overlegd en meegedeeld aan andere administraties en meewerkende instellingen van sociale zekerheid, wanneer die informatie voor hen nuttig blijkt te zijn. 20. Aangezien deze mededelingen kaderen binnen de opdrachten die de sociale inspecteurs en het administratief personeel dat de sociaal inspecteurs in hun opdrachten bijstaat dienen te verrichten voor de verwezenlijking van het voormelde doeleinde, zijn zij niet onverenigbaar.

7 Beraadslaging RR 09/2018-7/9 C. BEVEILIGING C.1. Consulent inzake informatiebeveiliging 21. De gemachtigde is verplicht een consulent inzake informatiebeveiliging en bescherming van de persoonlijke levenssfeer aan te stellen (art. 8 2 en art. 10 WRR). Het Comité stelt vast dat de identiteit van de consulent werd meegedeeld door de aanvrager. 22. Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband. 23. De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in die context relevante regelgeving. Deze capaciteiten stellen de consulent in staat zijn taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigden en van de informatiebeveiliging. De consulent dient deze kennis permanent op peil te houden. 24. De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de gemachtigde. Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten die hiermee onverenigbaar zijn. In het bijzonder kan de functie niet gecumuleerd worden met deze van eindverantwoordelijke voor de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur). 25. De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken. De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken. 26. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen. 27. De gemachtigde ondersteunt de consulent door hem beschikking te geven over de benodigde middelen en tijd voor het vervullen van zijn taken en het in stand houden van zijn deskundigheid. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent

8 Beraadslaging RR 09/2018-8/9 naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. C.2. Informatiebeveiligingsbeleid 28. Uit de documentatie die de aanvrager verstrekte, blijkt dat hij beschikt over een beleid inzake informatiebeveiliging en over een uitvoeringsplan daarvan. De aanvrager is een instelling die deel uitmaakt van het primaire netwerk van de Kruispuntbank van de Sociale Zekerheid. Het instituut beantwoordt aan de minimale normen van de Kruispuntbank van de Sociale Zekerheid. Het koninklijk besluit van 12 augustus 1993 houdende de organisatie van de informatieveiligheid bij de instellingen van sociale zekerheid legt de organisatorische structuur vast op basis waarvan alle instellingen van sociale zekerheid een echte "veiligheidscultuur" hebben ontwikkeld, waarbij een sleutelrol is weggelegd voor de consulent inzake informatiebeveiliging. 29. Het Comité heeft er akte van genomen. C.3. Personen die toegang hebben tot de informatie en lijst van die personen 30. De aanvrager vermeldt dat zijn inspecterend personeel en zijn administratief personeel, dat het inspecterend personeel bijstaat, toegang heeft tot de foto. 31. De aanvrager moet een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking van het Comité gehouden worden. 32. De personen die op deze lijst voorkomen moeten bovendien een verklaring ondertekenen waarin zij zich ertoe verbinden de vertrouwelijkheid en veiligheid van de informatiegegevens te bewaren. Alle personen die bij het uitoefenen van hun functies in de inzameling, de verwerking of de mededeling van de informatiegegevens tussenkomen, zijn gehouden tot het beroepsgeheim. Zij moeten alle nodige voorzorgsmaatregelen nemen ten einde de veiligheid van de opgenomen gegevens te verzekeren en te beletten in het bijzonder dat zij vervormd of beschadigd worden of medegedeeld worden aan personen die geen machtiging hebben gekregen om inzage ervan te nemen. Zij moeten zich vergewissen van het geëigende karakter van de programma's die voor de automatische verwerking van de gegevens dienen, alsook van de rechtmatigheid van de toepassing ervan. Zij moeten waken op de rechtmatigheid van de mededeling der gegevens (zie artikel 6quater van de wet van 19 juli 1991).

9 Beraadslaging RR 09/2018-9/9 OM DEZE REDENEN, Het Comité 1 machtigt de Dienst voor geneeskundige evaluatie en controle van het Rijksinstituut voor ziekteen invaliditeitsverzekering om voor het onder punt A vermelde doeleinde en volgens de in onderhavige beraadslaging bepaalde voorwaarden, voor onbepaalde duur, op permanente wijze toegang te hebben tot het gegeven foto van het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten, waarvan sprake in artikel 6bis, 1, 1 van de wet van 19 juli 1991; 2 bepaalt dat bij iedere latere wijziging in de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die via de vragenlijst betreffende de informatiebeveiliging aan het Comité werden verstrekt (aanduiding van een consulent inzake informatiebeveiliging en antwoorden op vragen betreffende organisatie van de beveiliging), de aanvrager een nieuwe, naar waarheid ingevulde vragenlijst betreffende de informatiebeveiliging aan het Comité moet toesturen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren; 3 bepaalt eveneens dat wanneer het de aanvrager een vragenlijst stuurt over informatiebeveiliging, die vragenlijst volledig en naar waarheid moet worden ingevuld en naar het Comité teruggestuurd. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon