Betreft: organisatie van de registratie van spelers via Fedict bij de Nationale Loterij (RN-MA )

Transcriptie

1 1/14 Sectoraal comité van het Rijksregister Beraadslaging RR nr 72/2016 van 14 september 2016 Betreft: organisatie van de registratie van spelers via Fedict bij de Nationale Loterij (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Nationale Loterij nv van publiek recht, ontvangen op 13/07/2016; Gelet op de bijkomende informatie ontvangen op 26/07/2016; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 17/08/2016; Gelet op het technisch en juridisch advies ontvangen op 09/09/2016;

2 Beraadslaging RR 72/2016-2/14 Gelet op het verslag van de Voorzitter; Beslist op 14 september 2016, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De Nationale Loterij, een naamloze vennootschap van publiek recht, wenst een aanpassing door te voeren in de wijze waarop de personen die zich wensen te registreren met het oog op het gebruik van haar online spelen. De registratieprocedure verandert niet wezenlijk. De Federale Overheidsdienst voor Informatie- en Communicatietechnologie, hierna Fedict, blijft terzake als trusted third party fungeren. Er worden meer in het bijzonder bijkomende controle-elementen ingevoerd, namelijk: voortaan zal naast het Rijksregisternummer ook het nummer van de identiteitskaart ingegeven worden (het verband tussen beide en de geldigheid van de identiteitskaart wordt geverifieerd); Fedict controleert net zoals voorheen of de betrokkene in België woonachtig is en meerderjarig is; nieuw is dat: o wordt gecontroleerd of bij de gegevens horende betrokkene niet overleden is; o aan de hand van de geautomatiseerde mededeling van de wijzigingen van de datum van overlijden en van de hoofdverblijfplaats, de account van een overleden persoon of van een persoon die niet langer in België woonachtig is, wordt afgesloten. 2. De controle van het verband tussen een Rijksregisternummer en een nummer van de identiteitskaart, evenals van de geldigheid van deze laatste, is slechts mogelijk voor zover Fedict toegang krijgt tot het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten, meer in het bijzonder tot het gegeven vermeld in artikel 6bis, 1, 1, en 2, e), van de wet van 19 juli De controle of iemand nog in leven is vereist een toegang tot het informatiegegeven van het Rijksregister vermeld in artikel 3, eerste lid, 6 (niet de plaats van overlijden) WRR. 3. Om op geautomatiseerde wijze de mededeling van de wijzigingen van de datum van overlijden en van de hoofdverblijfplaats te ontvangen, zal het Rijksregisternummer van de bij de Nationale Loterij geregistreerde personen worden opgenomen in een verwijzingsrepertorium onder de inhoudelijke verantwoordelijkheid van Fedict. 1 Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen.

3 Beraadslaging RR 72/2016-3/14 II. ONDERZOEK VAN DE AANVRAAG VOOR WAT FEDICT BETREFT 4. Fedict werd reeds bij herhaling door het Comité gemachtigd 2. Bijgevolg kan het onderzoek van het Comité zich inzake beperken tot het nagaan of: het doeleinde waarvoor thans het gebruik gevraagd wordt, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP; de toegang tot de gegevens en het gebruik van het Rijksregisternummer proportioneel zijn in het licht van het doeleinde (artikel 4, 1, 3, WVP). A. FINALITEIT 5. Voor wat Fedict betreft is en blijft het doeleinde eigenlijk identiek aan datgene dat in de beraadslaging RR nr. 51/2008 werd vermeld (alleen de referenties naar de bepalingen van het beheerscontract zijn aan actualisering toe). 6. De Nationale Loterij, een naamloze vennootschap van publiek recht, heeft tot doel in het algemeen belang en volgens handelsmethodes o.a. openbare loterijen, kansspelen, weddenschappen en wedstrijden te organiseren (artikel 6 van de wet van 19 april 2002 tot rationalisering van de werking en het beheer van de nationale loterij). 7. Het beheerscontract tussen de Nationale Loterij en de Belgische Staat, dat werd goedgekeurd bij koninklijk besluit 30 augustus 2016 houdende goedkeuring van het beheerscontract tussen de Belgische Staat en de Nationale Loterij, naamloze vennootschap van publiek recht, omschrijft de opdracht van de Nationale Loterij onder meer als volgt: "Art. 2. De Nationale Loterij wordt ermee belast, in het algemeen belang en volgens handelsmethodes, de openbare loterijen, weddenschappen, wedstrijden en kansspelen te organiseren, overeenkomstig de bepalingen van de wet. Bij de uitvoering van deze taak handelt de Nationale Loterij als een sociaal verantwoordelijke en professionele aanbieder van spelplezier. 2 Ter illustratie kan verwezen worden naar de beraadslagingen RR nrs. 20/2005, 26/2005, 25/2006 en 19/2008.

4 Beraadslaging RR 72/2016-4/14 Art. 3. ( ) De Nationale Loterij dient het spelgedrag in België doelgericht te kanaliseren en spelplezier te verschaffen aan een brede groep mensen door recreatieve spelen aan te bieden. De Nationale Loterij verbindt zich ertoe actief en autonoom bij te dragen tot de bij te dragen tot de preventie en bestrijding van gokverslaving en behandeling van gokverslaving door middel van volgende handelingen steunen ( ). 8. Krachtens artikel 4 van het beheerscontract verbindt de Nationale Loterij er zich toe om openbare loterijen, kansspelen, weddenschappen en wedstrijden aan te bieden over het volledig Belgisch grondgebied aan alle inwoners van het Rijk. Daarbij zal gebruik gemaakt worden van de nieuwste technieken indien deze kunnen bijdragen tot het verbeteren van de aangeboden producten. Artikel 41 bepaalt in dat verband dat de Nationale Loterij kan partnerships met andere openbare loterijen, privéorganisaties en -vennootschappen aangaan om haar handelingen efficiënter te maken of op nieuwe technologieën en marktevoluties in te spelen.. 9. Het is met het oog op het aanbieden van haar producten online en dus het uitvoeren van haar wettelijke opdracht en het naleven van de beheersovereenkomst, dat de Nationale Loterij een samenwerking heeft opgezet met Fedict, waarbij deze laatste als "trusted third party" fungeert. 10. De Nationale Loterij zal haar online producten aanbieden aan personen die: in België woonachtig zijn ( cfr. artikel 4, eerste lid, van de beheersovereenkomst); meerderjarig zijn Het is Fedict dat zal controleren of de persoon die zich online aanmeldt voor een product van de Nationale Loterij, voldoet aan die criteria of niet, en na verloop van tijd nog steeds voldoet aan deze criteria (niet overleden zijn, nog in België wonen). De Nationale Loterij ontvangt niet de detailgegevens zelf maar een resultaat: ja/neen, overleden, niet (meer) in België woonachtig. 12. In de mate dat de beoogde controle erop gericht is om de Nationale Loterij in staat te stellen om haar online producten overeenkomstig de reglementaire bepalingen ter zake aan te bieden, stelt het Comité vast dat het nagestreefde doeleinde welbepaald en uitdrukkelijk omschreven. De verwerkingen die eruit voorspruiten zijn gestoeld op artikel 5, eerste lid, en gerechtvaardigd ( artikel 4, 1, 2, WVP). 3 Zie in dit verband de artikelen 9 en 22 van het beheerscontract.

5 Beraadslaging RR 72/2016-5/14 B. PROPORTIONALITEIT B.1 Ten overstaan van de gevraagde gegevens van het Rijksregister 13. Fedict wenst toegang te bekomen tot de informatiegegevens vermeld in artikel 3, eerste lid, 1, 2 (niet de geboorteplaats), 5 en 6 (niet de plaats van overlijden) WRR, namelijk: de naam en de voornamen; de geboortedatum (niet de geboorteplaats); de hoofdverblijfplaats; de datum van overlijden (niet de plaats van overlijden). 14. Het Comité stelt vast dat: De naam en de voornamen samen met het Rijksregisternummer basisinformatie vormen ter controle van de identiteit. De online producten van de Nationale loterij alleen toegankelijk zijn voor meerderjarigen. Om zich ervan te vergewissen dat dit ook daadwerkelijk het geval is, biedt de controle ervan in de authentieke bron die het Rijksregister is, de beste garantie. Vermits Fedict als "trusted third party" instaat voor de verificatie ervan, is een toegang tot de "geboortedatum" dan ook gepast. Naast de leeftijdsvereiste wordt er een territoriale vereiste gesteld, namelijk alleen personen die in België woonachtig zijn kunnen gebruik maken van de dienst. Een toegang tot het gegeven "hoofdverblijfplaats" biedt Fedict de mogelijkheid om dit element snel en efficiënt te controleren. Personen die niet voldoen aan de leeftijds- en/of geografische vereisten proberen soms aan de hand van het Rijksregisternummer van overledenen een account aan te maken. Door een controle van de datum van overlijden, wordt een dergelijk misbruik uitgesloten. 15. Een toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 1 en 2 (niet de geboorteplaats), 5 en 6 (niet de plaats van overlijden) WRR is in overeenstemming met artikel 4, 1, 3, WVP. 16. Er wordt tevens om de geautomatiseerde mededeling verzocht van de wijzigingen van de gegevens hoofverblijfplaats en datum van overlijden. Op basis van deze informatie kunnen de

6 Beraadslaging RR 72/2016-6/14 accounts van personen die overleden zijn of die niet langer in België woonachtig zijn, worden afgesloten. Aldus wordt vermeden dat accounts van overleden personen door derden onrechtmatig worden gebruikt (door een minderjarige, middel om speellimiet te omzeilen), of dat personen aan wie de Nationale Loterij geen diensten meer mag verstrekken wegens het niet langer woonachtig zijn in België, nog verder kunnen spelen. Daartoe zullen de Rijksregisternummers van de spelers worden geïntegreerd in een verwijzingsrepertorium onder de inhoudelijke verantwoordelijkheid van Fedict. 17. Het Comité stelt vast dat met het oog op de controle van de vereisten die zowel door de wet als door het beheerscontract aan de Nationale Loterij worden opgelegd, de geautomatiseerde mededeling van de wijzigingen in overeenstemming is met 4, 1, 3, WVP voor zover de informatie die Fedict op basis van die wijzigingen meedeelt aan de Nationale Loterij beperkt is tot overleden of niet meer woonachtig in België. B.2. Ten overstaan van de gegevens van het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten 18. Krachtens artikel 6bis, 3, van de wet van 19 juli 1991 komen alleen openbare overheden in aanmerking voor een toegang tot het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten. 19. Fedict is een openbare overheid. De aanvraag is dus ontvankelijk. 20. Er wordt toegang gevraagd tot twee gegevens vermeld in artikel 6bis, 1, 1, evenals het gegeven vermeld in artikel 6bis, 1, 2, e), van de wet van 19 juli 1991, namelijk het Rijksregisternummer en het volgnummer van de identiteitskaart en de geldigheid van deze laatste. Door n.a.v. van de registratie naast het Rijksregisternummer ook het nummer van de identiteitskaart op te vragen, wil men de kansen op misbruik verder minimaliseren omdat het minder vanzelfsprekend is dat een derde over een correcte combinatie van deze 2 gegevens beschikt. 21. Het Comité stelt vast dat een toegang tot deze 2 gegevens Fedict toelaat om te controleren dat de titularis van het Rijksregisternummer en de titularis van het nummer van de identiteitskaart dezelfde persoon is. Het draagt bij tot het vermijden van frauduleuze registraties. Dit sluit natuurlijk niet uit dat een derde die in het bezit komt van een gestolen of verloren eid over de nodige informatie beschikt om tot een registratie over te gaan. Door de geldigheid van de betrokken identiteitskaart te controleren, wordt dergelijk misbruik uitgesloten. Een toegang tot de het Rijksregisternummer en het volgnummer van de identiteitskaart vermeld in artikel 6bis, 1, 1, evenals het gegeven vermeld in artikel artikel 6bis, 1, 2, e), van de wet van 19 juli 1991 is in overeenstemming met artikel 4, 1, 3, WVP.

7 Beraadslaging RR 72/2016-7/14 B.3. Ten overstaan van het Rijksregisternummer 22. Het is de bedoeling dat de personen die gebruik wensen te maken van de online-diensten van de Nationale Loterij, op het beginscherm hun Rijksregisternummer invoeren. Het is aan de hand van dit nummer dat Fedict in het Rijksregister zal controleren of de betrokkene aan de voorwaarden voldoet om toegang te krijgen tot de online producten van de Nationale Loterij. 23. Het Rijksregisternummer is daartoe het meest geschikte instrument. Het is een uniek nummer dat toelaat iemand heel nauwkeurig te identificeren, zeker wanneer het gebruikt wordt in combinatie met bijvoorbeeld de naam en de voornaam. Vergissingen die kunnen ontstaan door o.a. homonymie en schrijffouten worden uitgesloten. Het gebruik van het Rijksregisternummer bij de raadpleging van het Rijksregister heeft daarenboven het voordeel dat onmiddellijk de gegevens van de juiste persoon getoond worden. 24. Zoals reeds werd opgemerkt zal Fedcit inzake als "trusted third party" optreden. Dit ligt in de lijn van het standpunt dat door de Commissie voor de bescherming van de persoonlijke levenssfeer werd ingenomen in de beraadslaging FO nr. 05/2007 van 21 maart 2007 (randnummer 32). Het is Fedict die het Rijksregisternummer zal gebruiken en de gegevens in het Rijksregister zal raadplegen en controleren. 25. Zijn opdrachtgever, de Nationale Loterij, zal vanwege Fedict uitsluitend de melding krijgen naar aanleiding van de aanmelding van een persoon "ja" (= voldoet aan de voorwaarden) of "neen" (voldoet niet aan de voorwaarden). Op die manier wordt de Nationale Loterij in staat gesteld om online conform aan de reglementaire vereisten te werken, zonder dat zij daartoe zelf over een rechtstreekse toegang tot het Rijksregister moet beschikken. 26. Het Rijksregisternummer dat op het aanmeldingsscherm wordt ingevoerd, wordt door Fedict gebruikt om in het Rijksregister de leeftijd, de woonplaats en datum van overlijden te controleren. Volledigheidshalve vestigt het Comité er de aandacht op dat men zonder machtiging dit nummer niet mag opvragen (zelfs wanneer de betrokkene instemt). 27. Het door Fedict gewenste gebruik van het Rijksregisternummer is, in het licht van het opgegeven doeleinde, in overeenstemming met artikel 4, 1, 3, WVP.

8 Beraadslaging RR 72/2016-8/14 B.4. Ten opzichte van de frequentie van de toegang en de duur van de machtiging 28. Fedict wenst een permanente toegang. Telkens wanneer een persoon zich aanmeldt moet het immers de voorwaarden checken. 29. Het Comité is van oordeel dat het doeleinde vereist dat Fedict in staat is om op elk moment de leeftijd, de woonplaats en de datum van overlijden van de persoon die bij het opgegeven Rijksregisternummer hoort, te controleren. Een permanente toegang is dan ook gepast opdat Fedict zijn werkzaamheden naar behoren zou kunnen uitvoeren (artikel 4, 1, 3, WVP). 30. Er wordt een machtiging van onbepaalde duur gevraagd omdat niet kan worden bepaald hoelang de Nationale Loterij krachtens de wet belast blijft met de organisatie van online loterijspelen. 31. Het Comité stelt vast dat de gehanteerde werkwijze, die er ongetwijfeld voor zorgt dat een aantal personen die niet gerechtigd zijn om deel te nemen tegen de lamp lopen, niet sluitend is. Een transversale oplossing dringt zich op die gebaseerd is op de eid of een afgeleide ervan. Het is aangewezen dat daarover overleg wordt gepleegd met de Kansspelcommissie, die waakt over de naleving van de wet van 7 mei 1999 op de kansspelen, de kansspelinrichtingen en de bescherming van de spelers. In het licht hiervan is het Comité van oordeel dat de machtiging geldt tot dat met de Kansspelcommissie een werkbare transversale oplossing is uitgewerkt en beschikbaar is. (artikel 4, 1, 3, WVP). B.5. Ten opzichte van de bewaringstermijn 32. Fedict zal de geraadpleegde gegevens niet bewaren. Het Comité neemt hiervan akte. 33. Met het oog op de geautomatiseerde mededeling van de wijzigingen zal Fedict het Rijksregisternummer van de spelers die zich aanmelden, opnemen en bewaren in het verwijzingsrepertorium, en dit zolang de betrokkene zijn account niet afsluit of deze laatste ambtshalve wordt afgesloten wegens overlijden of omdat hij niet langer in België woonachtig is. Wanneer Fedict op de hoogte wordt gesteld dat de account is afgesloten, wordt het Rijksregisternummer uit het verwijzingsrepertorium verwijderd. 34. Dit neemt niet weg dat Fedict de logs van de raadpleging moet bewaren, dus minstens 10 jaar, teneinde te kunnen traceren wie, wat, over wie, wanneer en waarom geraadpleegd heeft.

9 Beraadslaging RR 72/2016-9/14 B.6. Intern gebruik en/ of mededeling aan derden 35. Fedict zal geen gegevens uit het Rijksregister noch uit het Register van de Identiteitskaarten en het Register van de Vreemdelingekaarten meedelen aan de Nationale Loterij. Deze laatste zal alleen op de hoogte gesteld worden van het resultaat van de controleoperatie. Het Comité neemt hiervan akte. 36. Het is de bedoeling dat de account van overleden personen of personen die niet meer in België woonachtig zijn gesloten wordt. Die informatie zal door Fedict aan de Nationale Loterij worden geleverd aan de hand van het Rijksregisternummer. Dit impliceert dat de Nationale Loterij ook het Rijksregisternummer van haar geregistreerde spelers opslaat, wat niet het geval was in de werkwijze die tot nu toe werd gehanteerd. Het gebruik van het Rijksregisternummer door de Nationale Loterij wordt hierna behandeld in het luik voor wat de Nationale Loterij betreft. B.7. Netwerkverbindingen 37. Uit de aanvraag blijkt dat aan de hand van het Rijksregisternummer door Fedict informatie zal worden verstrekt aan de Nationale Loterij voor wie eerstgenoemde optreedt als trusted third party. 38. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later netwerkverbindingen mochten tot stand komen, Fedict het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het Rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij gemachtigd werden om dit nummer te gebruiken. C. BEVEILIGING C.1. Consulent inzake informatiebeveiliging 39. De consulent inzake informatiebeveiliging van Fedict is gekend bij het Comité. C.2. Informatiebeveiligingsbeleid 40. Fedict bezorgde de nodige informatie hieromtrent. Het Comité heeft er akte van genomen.

10 Beraadslaging RR 72/ /14 C.3. Personen die toegang hebben tot de informatiegegevens en die het Rijksregisternummer mogen gebruiken en lijst van deze personen 41. De personen die instaan voor het beheer van de applicatie en de databases zullen toegang hebben tot de gegevens en het Rijksregisternummer. 42. Fedict moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Rijksregister en die het nummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. 43. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren. VOOR WAT DE NATIONALE LOTERIJ BETREFT A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 44. Overeenkomstig de artikelen 5, eerste lid, 2 en 8 WRR komen openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het Comité, in aanmerking om gemachtigd te worden om het Rijksregisternummer te gebruiken. 45. De Nationale Loterij werd bij artikel 4 van de wet van 19 april 2002 tot rationalisering van de werking en het beheer van de Nationale Loterij, omgevormd van een openbare instelling tot een naamloze vennootschap van publiek recht. Hij heeft tot doel in het algemeen belang en volgens handelsmethodes o.a. openbare loterijen, kansspelen, weddenschappen en wedstrijden te organiseren (artikel 6). Deze activiteiten worden door artikel 7 van voormelde wet gekwalificeerd als taken van openbare dienst. 46. Hieruit blijkt dat de Nationale Loterij door de wet werd belast met een taak van algemeen belang en bijgevolg in aanmerking komt om gemachtigd te worden om het Rijksregisternummer te gebruiken.

11 Beraadslaging RR 72/ /14 A.2. Wet van 8 december 1992 (WVP) 47. Op grond van artikel 4 WVP vormt het Rijksregisternummer een persoonsgegeven, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. B. DOELEINDE 48. De interactie tussen Fedict en de Nationale Loterij geschiedt met het oog op de realisatie van eenzelfde doeleinde. Voor de omschrijving van het doeleinde en de beoordeling ervan verwijst het Comité dan ook naar de uiteenzetting in de randnummers C. PROPORTIONALITEIT C.1. Ten overstaan van het Rijksregisternummer 49. De Nationale Loterij heeft vastgesteld dat het reeds gebeurd is dat: de account van overleden personen werden overgenomen door een derde die bijgevolg de registratieprocedure niet heeft doorlopen en voor wie er dus geen leeftijds- en woonplaatscontrole gebeurde; een account verder wordt gebruikt nadat de betrokkene uit België vertrokken is. 50. In het licht van de bepalingen van het beheerscontract is het aan de Nationale Loterij om maatregelen te nemen om dergelijke ongeoorloofde toegang tot haar online spelen te vermijden. 51. Het is de bedoeling om aan de hand van de wijzigingen van de datum van overlijden en van de hoofdplaats de onregelmatige accounts te sluiten. Daartoe wenst de Nationale Loterij, in tegenstelling tot vroeger, het Rijksregisternummer van de geregistreerde spelers op te slaan zodat zij, op basis van de informatie verstrekt door Fedict (zie randnummers 16 en 17) de juiste accounts kan afsluiten. 52. Het Comité stelt vast dat het Rijksregisternummer een uniek nummer is dat toelaat iemand heel nauwkeurig te identificeren, zeker wanneer het gebruikt wordt in combinatie met bijvoorbeeld de naam en de voornaam. Vergissingen die kunnen ontstaan door o.a. homonymie en schrijffouten worden uitgesloten. Bijgevolg oordeelt het Comité dat het gebruik van het Rijksregisternummer in het licht van het nagestreefde doeleinde in overeenstemming is met artikel 4, 1, 3, WVP.

12 Beraadslaging RR 72/ / Uit veiligheidsoverwegingen bepaalt het Comité dat de Nationale Loterij het Rijksregisternummer alleen in een versleutelde gegevensbank mag opslaan. Het neemt er nota van dat in de conformiteitsverklaring wordt vermeld dat op de versleutelde gegevensbank waarin het Rijksregisternummer zal worden opgenomen een zes-ogen principe van toepassing is: er zijn 3 rollen vastgesteld met aparte rechten (database administrator, versleuteraar en applicatietoegangsbeheerder). Dit biedt normaal voldoende garanties tegen ongeoorloofde ontsleuteling. Deze ontsleuteling is enkel toegestaan n.a.v. de toezending door Fedict van de Rijksregisternummers van de personen die overleden zijn of die die niet meer in België wonen. C.2. Ten overstaan van de duur van de machtiging 54. Zie randnummers 30 en 31. C.3. Ten overstaan van de bewaartermijn 55. Op basis van de elementen waarover het Comité beschikt stelt zij vast dat de bewaring van het versleuteld Rijksregisternummer slechts verantwoord is zolang een account openstaat. Van zodra een account wordt gesloten hetzij door de betrokkene zelf, hetzij door de Nationale Loterij ambtshalve, moet het bijhorend Rijksregisternummer uit de versleutelde gegevensbank worden verwijderd /vernietigd in het licht van artikel 4, 1, 5, WVP). C.4. Intern gebruik en/of mededeling aan derden 56. De Nationale Loterij gebruikt het versleuteld Rijksregisternummer uitsluitend intern. Het Comité neemt hiervan akte. C.5. Netwerkverbindingen 57. Zie randnummers D. BEVEILIGING D.1. Consulent inzake informatiebeveiliging 58. De identiteit van de consulent inzake informatiebeveiliging werd meegedeeld. Het Comité heeft er akte van genomen.

13 Beraadslaging RR 72/ /14 D.2. Informatiebeveiligingsbeleid 59. Uit de door de Nationale Loterij meegedeelde stukken blijkt dat zij over een informatiebeveiligingsbeleid beschikt evenals een plan in toepassing ervan. Het Comité neemt er akte van. D.3. Personen die het Rijksregisternummer gebruiken en lijst van deze personen 60. De processen zijn geautomatiseerd en het Rijksregisternummer is opgenomen in een versleutelde gegevensbank. Alleen wanneer dit nodig is met het oog op het afsluiten van accounts op basis van de door Fedict meegedeelde wijzigingen zal deze databank worden ontsleuteld zodat op aan de hand van het Rijksregisternummer de bijhorende account wordt afgesloten. Alleen de personen die toezicht uitoefenen op dit proces zullen, in geval van problemen, desgevallend het Rijksregisternummer gebruiken. Voor het overige verwijst het Comité naar de randnummers 42 en 43. OM DEZE REDENEN het Comité 1 heft de beraadslaging RR nr. 51/2008, zoals uitgebreid bij beraadslaging RR nr. 01/2010 en verlengd bij beraadslagingen RR nr. 46/2010 en 67/2011, op; 2 machtigt a) Federale Overheidsdienst voor Informatie- en Communicatietechnologie tot dat met de Kansspelcommissie een werkbare transversale oplossing voor de sector is uitgewerkt en beschikbaar is, om voor het in deze beraadslaging omschreven doeleinde en onder de voorwaarden vastgesteld in deze beraadslaging en meer in het bijzonder deze bepaald in randnummer 17: permanent toegang te hebben tot: o de informatiegegevens van het Rijksregister vermeld in artikel 3, eerste lid, 1 en 2 (niet de geboorteplaats), 5 en 6 (niet de plaats van overlijden) WRR evenals op geautomatiseerde wijze de wijzigingen te ontvangen van de gegevens hoofverblijfplaats en datum van overlijden ; o het Rijksregisternummer en het volgnummer van de identiteitskaart vermeld in artikel 6bis, 1, 1, evenals het gegeven vermeld in artikel artikel 6bis, 1, 2, e), van de wet van 19 juli 1991; het Rijksregisternummer te gebruiken;

14 Beraadslaging RR 72/ /14 b) de Nationale Loterij, een naamloze vennootschap van publiek recht, tot dat met de Kansspelcommissie een werkbare transversale oplossing voor de sector is uitgewerkt en beschikbaar is, om voor het in deze beraadslaging omschreven doeleinde en onder de voorwaarden vastgesteld in deze beraadslaging en meer in het bijzonder deze vermeld in randnummer 53 het Rijksregisternummer te gebruiken; 3 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de gemachtigden een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moeten invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren; 4 bepaalt dat wanneer het Comité de gemachtigden een vragenlijst met betrekking tot de informatiebeveiligingsstatus toestuurt, deze laatsten de lijst waarheidsgetrouw moeten invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon