van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;

Transcriptie

1 1/11 Sectoraal comité van het Rijksregister Beraadslaging RR nr 108/2014 van 10 december 2014 Betreft: algemene machtiging om het rijksregisternummer te gebruiken bij aanwending van het Federal Authentication Service systeem van FEDICT middels de eid voor het gebruikers- en toegangsbeheer van informaticatoepassingen uitgewerkt door bepaalde instellingen belast met een opdracht van algemeen belang Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 26/11/2014; Gelet op het verslag van de Voorzitter; Beslist op 10 december 2014, na beraadslaging, als volgt:.

2 Beraadslaging RR 108 /2014-2/11 I. VOORWERP EN CONTEXT VAN DE ALGEMENE MACHTIGING 1. Gelet op de talrijke verzoeken om het rijksregisternummer te gebruiken bij de aanwending van het FAS (Federal Authentication Service) van FEDICT, besliste het Comité dit soort gebruik van het nummer te onderzoeken om daarna desgevallend een algemene machtiging uit te werken aangezien dergelijke machtiging zal kunnen tegemoetkomen aan de huidige én toekomstige aanvragen ter zake maar ook aan de behoeften die FEDICT heeft ondervonden bij haar gebruikers omdat het gebruik van dit systeem in combinatie met de eid, noodzakelijkerwijs het rijksregisternummer vereist. 2. Het FAS is een systeem van de FOD Informatie- en Communicatietechnologie, waarmee personen zich kunnen authenticeren zodat ze online toegang krijgen tot de beveiligde, openbare informaticatoepassingen. 3. Dit systeem kan worden gebruikt door alle overheidsdiensten en instellingen - ook de ondernemingen of personen belast met een opdracht van algemeen belang - die een beveiligde authenticatieprocedure voor hun informaticatoepassingen willen opzetten middels het afsluiten van een gebruikersverdrag met de FOD Informatie- en Communicatietechnologieën. 4. Het FAS-systeem kent vandaag drie verschillende authenticatiemethodes, ondergebracht in drie niveaus: QAA L2: - Identifier en paswoord QAA L3: - Identifier, paswoord en token (of ander certificaat, sms) - STORK L3 QAA L4 - Elektronische identiteitskaart verbonden met pincode - Elektronische identiteitskaart niet verbonden - STORK L4 5. Het Comité onderzoekt in deze beraadslaging de methode waarbij gebruik wordt gemaakt van de elektronische identiteitskaart met pincode. 6. De toegang tot deze informaticatoepassingen gebeurt met de eid. Wanneer de identificatie geslaagd is, verstrekt het FAS deze positieve authenticatie-informatie via de mededeling van

3 Beraadslaging RR 108 /2014-3/11 het rijksregisternummer aan de gebruiker van het systeem zodat deze de gebruikers en toegangen tot die informaticatoepassing waarop die authenticatie betrekking heeft, zou kunnen beheren. Indien nodig zou het rijksregisternummer desgevallend kunnen geassocieerd worden met de naam en de voornaam. 7. Het rijksregisternummer wordt uitsluitend geregistreerd om op elk ogenblik de identiteit te kunnen terugvinden van diegene die toegang had tot de online applicatie. 8. Het Comité ontving al verzoeken die ertoe strekten gebruik te maken van het FAS-systeem van FEDICT en waarover het zich steeds gunstig heeft uitgesproken 1. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 9. Overeenkomstig de artikelen 5, eerste lid, 2 WRR verleent het Comité machtiging om toegang te verkrijgen tot de informatiegegevens bedoeld in artikel 3, eerste lid, WRR en om het identificatienummer van het Rijksregister te gebruiken aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. 10. Aangezien de aansluitende leden van deze algemene machtiging overheids- dan wel private instellingen zijn als bedoeld in punt 3 en dat hun aansluitingsverzoek strekt tot de aanwending van het FAS-systeem via de eid om te beschikken over een beveiligde 1 Zie daarvoor de volgende RR beraadslagingen: nr. 29/2013 van 17 april 2013 aanvraag van de Vlaamse Overheid - Departement Leefmilieu, Natuur en Energie om het identificatienummer van het Rijksregister te gebruiken met het oog op gebruikers- en toegangsbeheer voor e-government toepassingen en tot aanpassing van beraadslaging RR nr. 34/2011; nr. 31/2014 van 9 april 2014 betreffende de aanvraag van de Federale Overheidsdienst Personeel en Organisatie voor aanwending van het Rijksregister in het kader van de registratie en authenticatie van de gebruikers van de federale e- Procurement toepassingen, nr. 48/2014 van 9 juli 2014 betreffende de aanvraag van het Vlaams Infrastructuurfonds voor Persoonsgebonden Aangelegenheden van het Departement Welzijn, Volksgezondheid en Gezin tot machtiging om het identificatienummer van het Rijksregister te gebruiken voor het gebruikers- en toegangsbeheer van de Inter-VWA-applicatie; nr. 61/2014 van 30 juli 2014 betreffende de aanvraag van Toerisme Vlaanderen om toegang te krijgen tot de informatiegegevens van het Rijksregister en om het identificatienummer ervan te gebruiken met het oog op de opvolging van subsidieaanvragen en de uitbouw van het gebruikers- en toegangsbeheersysteem; nr. 62/2014 van 30 juli 2014 betreffende de aanvraag van de NV Infrabel om het identificatienummer van het Rijksregister te gebruiken met het oog op de organisatie van het toegangs- en gebruikersbeheer van de toepassing Crisscomm en nr. 89/2014 van 29 oktober 2014 betreffende de aanvraag van de FOD Justitie om het Rijksregisternummer te gebruiken met het oog op het e-deposit pilootproject.

4 Beraadslaging RR 108 /2014-4/11 authenticatieprocedure voor hun informaticatoepassingen die zij gebruiken om hun opdrachten van algemeen belang uit te voeren, zullen hun verzoeken als ontvankelijk worden beschouwd als bedoeld in artikel 5, 1 ste lid, 2 en artikel 8 van de WRR. A.2. Wet van 8 december 1992 (WVP) 11. De informatiegegevens van het Rijksregister zijn persoonsgegevens waarvan de verwerking krachtens artikel 4 van de WVP slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen toereikend, ter zake dienend en niet overmatig te zijn uitgaande van de doeleinden waarvoor ze worden verwerkt. B. DOELEINDEN 12. Het doeleinde dat in het kader van deze algemene machtiging moet worden nagestreefd, is de beveiligde identificatie via het rijksregisternummer van personen (als burger, lid, klant, ) voor wie de informaticatoepassingen bestemd zijn en die openbare of private instellingen hebben uitgebouwd om hun opdracht van openbare dienstverlening te kunnen uitoefenen, alsmede hun authenticatie via het FAS -systeem. 13. De bedoelde informaticatoepassingen hebben gewoonlijk als doel om de betrokken personen de mogelijkheid te bieden gemakkelijker hun dossier in te kijken, de nodige wijzigingen op te volgen of aan te brengen, om verzoeken in te dien of documenten te versturen. 14. De partijen die bij deze beraadslaging aansluiten, moeten het/de nagestreefde doeleinde(n) omschrijven evenals de betrokken informaticatoepassingen zodat kan worden vastgesteld dat dit/deze doeleinde(n) welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is/zijn als bedoeld in artikel 4, 1, 2 van de WVP en tenminste één van de littera van artikel 5 van de WVP naleven. C. PROPORTIONALITEIT C.1. Het rijksregisternummer

5 Beraadslaging RR 108 /2014-5/ Om te vermijden dat onbevoegde personen toegang hebben tot de informatie via de informaticatoepassing van de aangeslotene bij deze beraadslaging, moeten de bevoegde personen heel precies geïdentificeerd worden zodat hen een gepast toegangsrecht kan worden toegekend. 16. Dit betekent dat iedere vergissing ingevolge homoniemen of spelfouten moet worden uitgesloten om te vermijden dat de identificatie en authenticatie in een verdere fase in gevaar worden gebracht. De elektronische authenticatie en machtiging moeten veilig en beveiligd gebeuren. De instelling die haar informaticatoepassing of webservice ter beschikking stelt, moet zeker zijn van de identiteit van de persoon die er gebruik wenst van te maken omdat hij via deze kanalen toegang kan hebben tot een bepaald aantal persoonsgegevens enerzijds en bepaalde verrichtingen kan uitvoeren anderzijds. 17. Het unieke rijksregisternummer kan een persoon met zekerheid identificeren en alle raadplegingen en verrichtingen opsporen. 18. Gelet op de hierboven, toegelichte doeleinden en onder voorbehoud van verificatie van de omschrijvingen die de aansluitende partijen in die zin zullen verstrekken, is het gebruik van het rijksregisternummer conform artikel 4, 1, 3 van de WVP. C.2. Duur van de machtiging 19. Gezien dit FAS-systeem van FEDICT niet de bedoeling heeft om in de tijd te worden beperkt, is de voorliggende algemene machtiging bedoeld voor onbeperkte duur. 20. De duur van de opdrachten van openbare dienstverlening waarmee de instellingengebruikers van het FAS-systeem werden belast, moet overigens ook worden onderzocht. Indien deze desgevallend in de tijd beperkt moeten worden, moet worden gesteld dat de betrokken instelling de algemene machtiging kan doen gelden mits de andere voorwaarden van deze beraadslaging zijn nageleefd tot de opdracht van openbare dienstverlening of de informaticatoepassing die voor dit doel werd ontwikkeld, is verlopen. 21. Gelet op deze elementen, is een machtiging van onbepaalde duur gepast (artikel 4, 1, 3 van de WVP). C.3. Bewaartermijn

6 Beraadslaging RR 108 /2014-6/ Het rijksregisternummer moet bewaard worden zolang het noodzakelijk is de ter beschikking gesteld informaticatoepassing of de webservice te gebruiken. De duur van de bewaartermijn hangt dus enerzijds af van de activiteitenperiode van een welbepaalde gebruiker en anderzijds van de geldende bewaartermijnen. 23. Overigens, als het rijksregisternummer van de gebruikers wordt bewaard in de loggings ter garantie van de opspoorbaarheid van de raadplegingen of de gedane verrichten, is de bewaartermijn van het rijksregisternummer in principe minimum 10 jaar 2. Het moet voor het toegangs- en gebruikersbeheer inderdaad mogelijk zijn om onregelmatigheden of misbruiken vast te stellen. Gelet op het feit dat een misbruik van verwerkingen op persoonsgegevens strafbaar is, is het aangewezen dergelijke loggings gedurende tenminste 10 jaar te bewaren. 24. Rekening houdend met wat voorafgaat, stelt het Comité vast dat het moeilijk is om een concrete bewaartermijn voorop te stellen. Op voorwaarde dat de aangeslotene, overeenkomstig de wet van 24 juni 1955 betreffende de archieven, de accounts en de dossiers archiveert of vernietigt die niet langer actief zijn, handelt hij in overeenstemming met artikel 4, 1, 5 van de WVP. C.4. Intern gebruik en/of mededeling aan derden 25. Uit de werking van het FAS-systeem blijkt dat er geen enkele externe mededeling zal plaatsvinden van het rijksregisternummer. Het rijksregisternummer stuurt alleen de gebruiker (burger, klant, lid) van de toepassing door naar het FAS van FEDICT zodat deze nadat ze geïdentificeerd en geauthentiseerd zijn, kan overgaan tot het beheren van de toegangen en de gebruikers. 26. Zoals reeds vermeld onder punt 12 van deze beraadslaging, benadrukt het Comité dat het rijksregisternummer slechts mag worden gebruikt in het kader van de toepassingen en webdiensten van de betrokken instellingen die werden ontworpen in het kader van en voor hun opdrachten van openbare dienstverlening. De instellingen mogen dit rijksregisternummer eveneens uitsluitend in dit kader bewaren. 27. Ook mogen de openbare of private instellingen het rijksregisternummer desgevallend verbinden aan een tweede intern, identificatienummer. Volgens het Comité betekent de bewaring van deze identificatiemiddelen niet dat het rijksregisternummer gebruikt wordt. 2 Zie hiervoor de beraadslaging RR nr. 70/2012 van 5 september 2012 aanvraag tot herziening van de beraadslaging RR nr. 34/2012, punt 18.

7 Beraadslaging RR 108 /2014-7/11 C.5. Netwerkverbindingen 28. Zoals eerder uiteengezet, zal indien de authenticatie geslaagd is, het FAS automatisch de naam, de voornaam en het rijksregisternummer doorzenden naar de aanvrager. 29. Het Comité stelt overigens vast dat het rijksregisternummer eveneens wordt gebruikt voor de uitwisseling van informatie die noodzakelijk is voor de praktische verwezenlijking van het gebruikers- en toegangsbeheer als omschreven onder punt A. De geplande netwerkverbindingen zijn bijgevolg aanvaardbaar. 30. Om volledig te zijn, vestigt het Comité de aandacht op het feit dat: de toekomstige aangeslotenen nader moeten omschrijven of zulks het geval is; indien er later (andere)netwerkverbindingen mochten tot stand komen, deze het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het identificatienummer van het Rijksregister slechts gebruikt mag worden in relaties met derden voor zover dit kadert binnen de doeleinden waarvoor zij eveneens gemachtigd werden dit nummer te gebruiken. D. BEVEILIGIGING D.1. Consulent inzake Informatiebeveiliging 31. In toepassing van artikel 10 van de WRR en als het rijksregisternummer in het belang van een openbare dienst wordt gebruikt, moet een consulent inzake informatiebeveiliging aangeduid worden binnen de openbare of private instelling, gebruiker van het FAS-systeem van FEDICT, die gemachtigd zal worden om toegang te hebben tot de informatie van het Rijksregister. De consulent inzake informatiebeveiliging moet in volledige onafhankelijkheid kunnen oordelen over de veiligheid van de informatie. 32. De identiteit van de consulent inzake informatiebeveiliging moet tegelijk met de aanvraag voor aansluiting bij voorliggende algemene machtiging aan het Sectoraal Comité worden meegedeeld 3. D.2. Informatiebeveiligingsbeleid 3 zie deze link:

8 Beraadslaging RR 108 /2014-8/ De instellingen die aansluiten bij deze beraadslaging moeten ook beschikken over een beveiligingsbeleid en aan het Comité de ad hoc documenten bezorgen die aantonen dat hun beveiligingssysteem in overeenstemming is met de vereisten als omschreven in de conformiteitsverklaring inzake het beveiligingssysteem. Dit formulier is online beschikbaar op de website van de Commissie 4. D.3. personen die toegang hebben tot de gegevens, het rijksregister gebruiken en lijst van die personen 34. Uit de betrokken informaticatoepassingen en webservices blijkt dat de beheerders van de klanten-, burger,- ledendossiers toegang kunnen hebben tot het rijksregisternummer en de basisinformatie (naam en voornamen) van de betrokken personen voor de uitvoering van hun taken maar dat zij daar als zodanig geen gebruik van maken. 35. In ieder geval moet deze toegang tot het rijksregisternummer een wettelijke basis hebben waarin de doeleinden die de betrokken instelling nastreeft gerechtvaardigd worden en waarmee de proportionaliteit van het verkrijgen van het rijksregisternummer ter verwezenlijking van dit doeleinde kan worden vastgesteld. 36. Zoals artikel 12 van de WRR het vereist, moet de aansluitende instelling een lijst opstellen van de personen die toegang hebben tot het Rijksregister. Die lijst zal voortdurend worden bijgewerkt en ter beschikking worden gehouden van het Comité. 37. De personen op die lijst moeten daarnaast een verklaring ondertekenen waarin zij zich ertoe verbinden de vertrouwelijkheid en veiligheid van de informatiegegevens waar zij toegang tot hebben, te bewaren. E. UITBOUW VAN HET GEBRUIKERS- EN TOEGANGSBEHEERSSYSTEEM 38. Indien de aangesloten instellingen - voor de identificatie en authenticatie met behulp van de eid beroep doen op FAS (Federal Authentication Service) van FEDICT - tot de doelgroep behoren, bedoeld in de wet van 15 augustus 2012 houdende oprichting en organisatie van 4 Zie deze link:

9 Beraadslaging RR 108 /2014-9/11 een federale dienstenintegrator 5, en zij zelf het toegangsbeheer willen organiseren door een gegevensbank op te richten waarin de personen zijn opgenomen die bevoegd zijn om toegang te hebben tot de informatie,en die bijgewerkt zal worden via een auto-registratie, herinnert het Comité er ook aan dat net zoals in de beraadslaging nr. 62/2014 van 30 juli 2014, deze aangesloten instelling gebruiker van FAS, beroep moet doen op het GGAsysteem (beheer van toegangsbeheerders) dat integraal deel uitmaakt van CSAM (Common secure acces management) omdat de openbare diensten dit systeem moeten integreren in het gebruikers- en toegangsbeheer. 39. De Commissie oordeelde in de hiernavolgende aanbevelingen overigens dat een sectoraal comité zich niet diende uit te spreken over de technische modaliteiten m.b.t. de organisatie van het gebruikers-en toegangsbeheer, omdat de beginsels inzake de organisatie van dergelijk beheer en het bevragen van authentieke bronnen overeenkomstig de goede praktijk eerst door de Commissie wordt behandeld: de aanbeveling nr.01/2008van 24 september 2008 met betrekking tot het toegangsen gebruikersbeheer in de overheidssector; aanbeveling uit eigen beweging nr. 09/2012 van 23 mei 2012 in verband met authentieke gegevensbronnen in de overheidssector; aanbeveling uit eigen beweging nr. 03/2009 van 1 juli 2009 in verband met integratoren in de overheidssector. 40. Het Comité gaat akkoord met het feit dat gebruikmaking van het GGA-Systeem de norm moet worden binnen het gebruikers- en toegangsbeheer voor de e-governmentapplicaties, dit om het risico op onrechtmatige toegang tot de gegevens te beperken. Bijgevolg moet de aansluitende partij die tegemoet komt aan de voorwaarden, bedoeld onder punt 38 van deze beraadslaging, voor zijn toegangsbeheer gebruik maken van het GGA-systeem. OM DIE REDENEN Het Comité 1 machtigt de openbare en private instellingen als omschreven onder de punten 3 en 9 van deze beraadslaging, om het rijksregisternummer te gebruiken wanneer ze gebruik maken van het FAS- 5 Artikel 2, 10 " participerende overheidsdienst " : elke federale overheidsdienst, elke federale programmatorische overheidsdienst, de federale politie, het Ministerie van Landsverdediging en elke instantie of elke dienst, al dan niet met rechtspersoonlijkheid, die van de federale overheid afhangt, en elke persoon en instantie door de Koning aangewezen in uitvoering van artikel 46, die één of meerdere authentieke bronnen of gegevensbronnen ontsluit of die gegevens ophaalt via de federale dienstenintegrator.

10 Beraadslaging RR 108 / /11 systeem van FEDICT, waarmee zij de toegangen tot en de gebruikers van de informaticatoepassingen of webservices zouden kunnen beheren, die zij hebben ontwikkeld in het kader van hun opdracht van algemeen belang en die zij ten dienste stellen van de burgers, hun klanten of aangesloten leden, onder de voorwaarden uiteengezet in deze algemene beraadslaging onder de punten 6, 7, 10, 11, 14, 18, 20, 21, 22, 23, 24, 25, 26, 29, 30, 32, 33, 35, 36, 37 en 40 en meer in het bijzonder: aansluiting vragen bij de algemene machtiging en gebruik maken van het rijksregisternummer onder de voorwaarden als omschreven onder punt B van deze beraadslaging; de openbare of private instellingen mogen het rijksregisternummer uitsluitend bewaren in het kader van hun opdrachten van openbare dienstverlening die de grondslag vormen van de informaticatoepassing of webservice waarbij noodzakelijk beroep moet worden gedaan op het FAS-systeem en het gebruik van het rijkregisternummer; bij de aansluitingsaanvraag verduidelijken of de bedoelde opdrachten van algemeen belang of informaticatoepassingen beperkt worden in de tijd; verduidelijken of er netwerkverbindingen tot stand komen; beschikken over een consulent inzake informatiebeveiliging en een beveiligingsbeleid; een lijst opstellen en voortdurend bijwerken van de personen die gebruik maken van het rijksregisternummer en die lijst ter beschikking houden van het Comité; deze personen een verklaring laten ondertekenen waarin zij zich ertoe verbinden de veiligheid en vertrouwelijkheid van de informatie waar zij toegang tot hebben, te bewaren; het GGA-systeem gebruiken voor het toegangsbeheer voor de aangesloten partijen die behoren tot de doelgroep bedoeld in de wet van 15 augustus 2012 betreffende oprichting en organisatie van een federale dienstenintegrator; De openbare en private instellingen op wie deze beraadslaging van toepassing is, worden in een lijst opgenomen, die samen met deze beraadslaging zal gepubliceerd worden op de website van de Commissie. 2 dat FEDICT de instellingen pas toegang zal verlenen tot het FAS-systeem als deze instellingen hebben voldaan aan de vereisten als omschreven in deze beraadslaging; 3 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatieveiligheid die een impact kan hebben op de antwoorden uit het veiligheidsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de veiligheid), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatieveiligheid naar waarheid moet invullen en aan het

11 Beraadslaging RR 108 / /11 Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren 4 bepaalt dat wanneer het Comité een vragenlijst over het veiligheidsniveau van de informatie toestuurt, de aanvrager deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren. Voor de Wnd. Administrateur, afw. De Voorzitter, (get.) An Machtens Wnd. Afdelingshoofd ORM (get.) Mireille Salmon