van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;

Transcriptie

1 1/7 Sectoraal comité van het Rijksregister Beraadslaging RR nr 34/2015 van 17 juni 2015 Betreft: Aanvraag ingediend door de Algemene Directie Statistiek van de FOD Economie om gemachtigd te worden om het rijksregisternummer te gebruiken in het raam van het register van statistische eenheden DBRIS (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Algemene Directie Statistiek-Statistics Belgium van de FOD Economie ontvangen op 26/02/2015; Gelet op de bijkomende informatie, ontvangen op 30/03/2015 en 8/06/2015; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 08/04/2015; Gelet op het verslag van de Voorzitter;

2 Beraadslaging RR 34 /2015-2/7 Beslist op 17 juni 2015, na beraadslaging, als volgt: I. ONDERWERP VAN DE AANVRAAG.. 1. De aanvraag strekt ertoe de Algemene Directie Statistiek-Statistics Belgium van de FOD Economie, hierna de aanvrager, te machtigen om het Rijksregisternummer te gebruiken in het raam van zijn DBRIS-register van statistische eenheden. II. ONDERZOEK VAN DE AANVRAAG 2. De aanvrager werd reeds gemachtigd om het Rijksregisternummer te gebruiken 3. Bijgevolg kan het Comité er zich bij zijn onderzoek toe beperken na te gaan of: het doeleinde waarvoor thans toegang tot het Rijksregister wordt gevraagd welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is, zoals bedoeld in artikel 4, 1, 2 van de WVP en artikel 5, tweede lid van de WRR; de informatiegegevens waartoe toegang wordt gevraagd proportioneel zijn (artikel 4, 1, 3 van de WVP). A. DOELEINDEN 4. De Europese verordening (EG) 177/2008 van het Europees Parlement en de Raad van 20 februari 2008 tot vaststelling van een gemeenschappelijk kader voor ondernemingsregisters voor statistische doeleinden en tot intrekking van Verordening (EEG) nr. 2186/93 van de Raad 1 verplicht de aanvrager, in zijn hoedanigheid van officiële Belgische statistische overheid, een register op te stellen met wettelijke ondernemingseenheden, lokale eenheden en groepen ondernemingen in de zin van de bijlage bij de verordening (EEG) nr. 696/93 (verordening inzake de statistische eenheden). 5. Het register van statistische eenheden (DBRIS) werd hiertoe gecreëerd. 6. De aanvraag bestaat er voor de dienst van de afgevaardigde voor de gegevensbescherming in om het Rijksregisternummer te gebruiken om toegang te krijgen tot de functietabel (table TFUNCTIE) van "wijzig extract KBO". 1 Publicatieblad, 5 maart 2008

3 Beraadslaging RR 34 /2015-3/7 7. De functietabel van de Kruispuntbank van Ondernemingen bevat de verschillende functies van een natuurlijke persoon die in de schoot van een onderneming wordt geïdentificeerd aan de hand van zijn Rijksregisternummer. 8. Het precieze doeleinde van de aanvraag bestaat erin het Rijksregisternummer te mogen gebruiken voor het realiseren van een koppeling (kruising) tussen de functietabel van de Kruispuntbank van Ondernemingen en een tweede tabel, afkomstig van de FOD Financiën. 9. Het resultaat van de kruising tussen deze twee tabellen zal de aanvrager toelaten het DBRIS register aan te vullen: door alle ondernemingen KBO toe te voegen die zonder deze koppeling als inactief zouden aangeduid zijn, namelijk deze zonder BTW omzetcijfer, zonder tewerkstelling, zonder neerlegging van een balans en waarvoor de koppeling toelaat een natuurlijke persoon te vinden met een activiteitsspoor bij de personenbelastingen (luik 2) met de functie van oprichter of zaakvoerder van de onderneming; door de natuurlijke personen die actief zijn volgens het bestand van de personenbelastingen (luik 2) te integreren in de activiteitssectoren van de vrije beroepen en waarvoor de koppeling geen KBO-nummer oplevert. 10. De ondernemingen natuurlijke persoon die ingevolge deze koppeling in DBRIS worden toegevoegd zullen geïdentificeerd woorden door het serienummer. Het Rijksregisternummer zal dus niet voorkomen in de DBRIS tabellen. 11. De logische sleutels die toelaten dit serienummer opnieuw te associëren met het Rijksregisternummer zullen onder het toezicht geplaatst worden van de afgevaardigde voor de gegevensbescherming. 12. Het Comité oordeelt dat deze doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2 van de WVP en artikel 5, 2 de lid van de WRR.

4 Beraadslaging RR 34 /2015-4/7 B. PROPORTIONALITEIT B.1. Gebruik van het Rijksregisternummer 13. De aanvrager wenst het Rijksregisternummer van de natuurlijke personen die een economische activiteit als "zelfstandige" uitoefenen te gebruiken om de kruising te realiseren tussen twee werktabellen. 14. Deze kruising is noodzakelijk om het DBRIS register te vervolledigen. Deze kruising berust op het genereren van een betekenisloos nummer (koppelings- of serienummer) dat verkregen wordt op basis van het Rijksregisternummer. Alleen dit serienummer zal in de DBRIS databank opgeslagen worden. 15. Het Rijksregisternummer is een uniek nummer dat toelaat een persoon met grote nauwkeurigheid te identificeren en misverstanden uitsluit die zich zouden kunnen voordoen ingevolge homonymie of schrijffouten. 16. Het Comité besluit dat gebruik van het Rijksregisternummer in het licht van het beoogde doeleinde en de geplande gegevensverwerkingprocedure conform artikel 4, 1, 3 van de WVP is. B.2. Betreffende de duur van de machtiging 17. De aanvrager wenst een machtiging voor onbepaalde duur aangezien zijn opdrachten niet beperkt werden in de tijd. 18. Het Comité stelt vast dat een machtiging van onbepaalde duur bijgevolg gepast is (artikel 4, 1, 3 van de WVP). B.3. Betreffende de bewaringstermijn 19. Het Comité herinnert eraan dat de gegevens niet langer mogen worden bewaard dan nodig is om de doeleinden te verwezenlijken waarvoor zij werden ingezameld (artikel 4, 1, 5 van de WVP). 20. De aanvrager wenst de gegevens voor een onbepaalde duur te bewaren. 21. Hierover ondervraagd verduidelijkte de aanvrager het volgende.

5 Beraadslaging RR 34 /2015-5/7 22. Het Rijksregisternummer zal gecodeerd worden in de databanken van de aanvrager. Het Rijksregisternummer zal opgeslagen worden in een afzonderlijke tabel. Deze tabel zal enkel een lijst bevatten met Rijksregisternummers. 23. De decodering van de RRnrs. kan worden vereist om een koppeling uit te voeren in het raam van het Koninklijk besluit van 13 juni 2014 (tot vaststelling van, enerzijds, de specifieke reglementaire, administratieve, technische en organisatorische maatregelen teneinde de naleving van de voorschriften over de bescherming van individuele gegevens of de gegevens over individuele eenheden en over de statistische geheimhouding te verzekeren en van, anderzijds, de voorwaarden waaronder het Nationaal Instituut voor de Statistiek kan handelen als tussenpersoon bij een latere verwerking voor statistische doeleinden). Om de gecodeerde RRnrs. te kunnen decoderen is het onontbeerlijk de lijst met de (echte) nationale nummers afzonderlijk te bewaren. Een concordantietabel zal aldus toelaten de overeenstemming te bewaren tussen de echte RRnrs. en de gecodeerde RRnrs. De levensduur van deze lijst met RRnrs. kan dus niet worden bepaald. B.4. Intern gebruik en/of mededeling aan derden 24. In zijn aanvraagformulier vermeld de aanvrager dat de gevraagde gegevens uitsluitend intern gebruikt zullen worden door de Dienst van de afgevaardigde voor gegevensbescherming. 25. Het Comité neemt hiervan akte. B.5. Netwerkverbindingen 26. Volgens de aanvrager zal er geen enkele netwerkverbinding tot stand komt op basis van het Rijksregisternummer. 27. Het Comité meent evenwel dat er wel degelijk een netwerkverbinding zal bestaan. Er zal immers een geautomatiseerde permanente gegevensuitwisseling plaatsvinden tussen de functietabel van de Kruispuntbank van Ondernemingen en een tweede tabel, afkomstig van de FOD Financiën, waarbij het Rijksregisternummer zal gebruikt worden als primaire sleutel.

6 Beraadslaging RR 34 /2015-6/7 C. BEVEILIGING C.1. Consulent inzake informatiebeveiliging 28. De identiteit van de consulent inzake informatiebeveiliging werd meegedeeld. Het Comité heeft betrokkene reeds in verschillende dossiers erkend als consulent inzake informatiebeveiliging. C.2. Informatiebeveiligingsbeleid 29. Uit de door de aanvrager verstrekte informatie blijkt dat hij geen evaluatie van de risico's en de beveiligingsnoden heeft uitgevoerd en geen logging van de toegangen bewaart. 30. Het Comité eist dat deze twee beveiligingsvoorwaarden worden vervuld. C.3. Personen die toegang hebben tot de gegevens en de lijst van deze personen 31. Het Comité vestigt de aandacht van de aanvrager op het feit dat hij een lijst dient bij te houden zoals voorgeschreven door artikel 12 van de WRR. Die lijst zal voortdurend worden bijgewerkt en ter beschikking worden gehouden van het Comité. 32. De personen die op die lijst voorkomen zullen bovendien een verklaring moeten ondertekenen waarin zij zich ertoe verbinden de vertrouwelijkheid en veiligheid van de informatiegegevens te bewaren. OM DEZE REDENEN Het Comité 1 machtigt de Algemene Directie Statistiek van de FOD Economie, om voor onbepaalde duur het Rijksregisternummer te gebruiken voor het verwezenlijken van de onder punt B vermelde doeleinden en onder de in onderhavige beraadslaging vastgestelde voorwaarden; Onderhavige machtiging zal evenwel slechts in werking treden nadat het Comité op basis van door de aanvrager verstrekte documenten en inlichtingen heeft vastgesteld dat een evaluatie van de risico's en de beveiligingsnoden heeft plaatsgevonden en in een logging van de toegangen werd voorzien;

7 Beraadslaging RR 34 /2015-7/7 2 bepaalt dat bij iedere latere wijziging in de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die via de vragenlijst betreffende de informatiebeveiliging aan het Comité werden verstrekt (aanduiding van een consulent inzake informatiebeveiliging en antwoorden op vragen betreffende de organisatie van de beveiliging), de aanvrager een nieuwe, naar waarheid ingevulde vragenlijst betreffende de informatiebeveiliging aan het Comité moet toesturen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren; 3 bepaalt eveneens dat wanneer het Comité de aanvrager een vragenlijst stuurt over informatiebeveiliging, die vragenlijst volledig en naar waarheid moet worden ingevuld en naar het Comité teruggestuurd. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. Voor de Wnd. Administrateur, afw. De Voorzitter, (get.) An Machtens Wnd. Afdelingshoofd ORM (get.) Mireille Salmon