Gelet op de vraag tot herziening van de Federale Overheidsdienst ICT (Fedict), ontvangen op 27/04/2016;

Transcriptie

1 1/14 Sectoraal comité van het Rijksregister Beraadslaging RR nr 83/2016 van 19 oktober 2016 Betreft: aanvraag van de Federale Overheidsdienst ICT (Fedict) tot herziening van de beraadslaging RR nr. 06/2016 inzake cross border identificatie en authenticatie (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de beraadslaging RR nr. 06/2016 van 10/02/2016; Gelet op de vraag tot herziening van de Federale Overheidsdienst ICT (Fedict), ontvangen op 27/04/2016; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 27/06/2016; Gelet op het technisch en juridisch advies ontvangen op 26/07/2016;

2 Beraadslaging RR 83/2016-2/14 Gelet op het verslag van de Voorzitter; Gelet op de beslissingen van het Comité van 27/07/2016 en 14/09/2016 om de behandeling van dit dossier te schorsen in afwachting van het advies van de Commissie voor de bescherming van de persoonlijke levenssfeer m.b.t. het voorontwerp van wet inzake elektronische identificatie (gelieerd aan de verordening (EU) nr. 910/2014); Beslist op 19 oktober 2016, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De aanvraag heeft tot doel om Fedict, hierna de aanvrager genoemd, te machtigen om: toegang te hebben tot de informatiegegevens vermeld in artikel 3, eerste lid, 1 tot 5, WRR; het Rijksregisternummer te gebruiken; met het oog op cross border authentication. 2. Bij beraadslaging RR nr. 06/2016 weigerde het Comité de aanvrager toegang tot de gevraagde informatiegegevens van het Rijksregister. Het gebruik van het Rijksregisternummer werd wel gemachtigd, mits in achtneming van een aantal randvoorwaarden. 3. Bij schrijven van 21/04/2016 verzocht de aanvrager het Comité om voormelde beraadslaging te herzien. Hij vestigt daartoe de aandacht op de volgende elementen: het is niet uitgesloten dat ook nog andere elektronische identificatiemiddelen dan de eid en de elektronische vreemdelingenkaart worden aangemeld die niet noodzakelijk een chip bevatten waarop persoonsgegevens zijn opgeslagen; wanneer de eid of de elektronische vreemdelingenkaart op niet verbonden wijze wordt gebruikt, is het onmogelijk om de chip uit te lezen; Federal Authentication Service (FAS) is technisch niet uitgerust om de chip van kaarten uit te lezen; er zal indien nodig een aparte STORK ID per land worden aangemaakt, maar het is het ontvangende land dat bepaalt of de STORK ID ook per toepassing binnen dat land zal verschillen. 4. Voor de duidelijkheid zal het Comité de initiële aanvraag opnieuw analyseren, rekening houdend met de door de aanvrager in zijn schrijven van 21/04/2016 aangehaalde argumenten.

3 Beraadslaging RR 83/2016-3/14 II. ONDERZOEK VAN DE AANVRAAG 5. Het Comité verleende reeds een aantal machtigingen aan de aanvrager om toegang te hebben tot een aantal informatiegegevens van het Rijksregister en/of het Rijksregisternummer ervan te gebruiken. 6. Bijgevolg kan het onderzoek van het Comité zich inzake beperken tot het nagaan of: het doeleinde waarvoor thans het gebruik gevraagd wordt, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP; de toegang tot de gegevens en het gebruik van het Rijksregisternummer proportioneel zijn in het licht van het doeleinde (artikel 4, 1, 3, WVP). A. DOELEINDE 7. Op 23 juli 2014 werd de verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad betreffende elektronische identificatie en vertrouwensdiensten voor elektronisch transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EC, hierna de verordening, uitgevaardigd. Deze trad in werking op 17/09/ Artikel 6 van de verordening bepaalt: 1. Wanneer een elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie vereist is op grond van nationaal recht of door gangbare bestuursrechtelijke praktijk om toegang te krijgen tot een onlinedienst aangeboden door een openbare instantie in een lidstaat, moet het elektronisch identificatiemiddel dat uitgegeven is in een andere lidstaat worden erkend in de eerste lidstaat ten behoeve van de grensoverschrijdende onlineauthenticatie van die dienst, mits aan de volgende voorwaarden is voldaan: a) het elektronisch identificatiemiddel is uitgegeven op grond van een stelsel voor elektronische identificatie dat is opgenomen in de lijst die de Commissie uit hoofde van artikel 9 heeft bekendgemaakt; b) het betrouwbaarheidsniveau van het elektronisch identificatiemiddel is gelijk aan of hoger dan het betrouwbaarheidsniveau dat de bevoegde openbare instantie als 1 Zie artikel 52.1 van de verordening.

4 Beraadslaging RR 83/2016-4/14 voorwaarde stelt voor onlinetoegang tot die dienst in de eerste lidstaat, mits het betrouwbaarheidsniveau van dat elektronisch identificatiemiddel in overeenstemming is met het betrouwbaarheidsniveau substantieel of hoog; c) de openbare instantie in kwestie gebruikt het betrouwbaarheidsniveau substantieel of hoog voor de toegang tot die onlinedienst. Die erkenning vindt plaats uiterlijk twaalf maanden nadat de Commissie de lijst als bedoeld in de eerste alinea, onder a), heeft bekendgemaakt ( ). 9. Dit artikel moet uiterlijk tegen 18/09/2018 verplicht worden toegepast 2. Voor die datum kan reeds op vrijwillige basis tot wederzijdse erkenning worden overgegaan. Deze verordening viseert de identificatie en authenticatie zowel in de overheidssector als in de private, dus commerciële, sector Artikel 12 van de verordening, van toepassing sedert 17/09/2014 4, voorziet daartoe in samenwerking en interoperabiliteit en geeft aan waarin deze bestaan. Artikel 3 van het Uitvoeringsbesluit (EU) 2015/296 van de Commissie van 24 februari 2015 tot vaststelling van procedurele voorschriften betreffende de samenwerking tussen de lidstaten op het gebied van elektronische identificatie overeenkomstig artikel 12, lid 7, van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt, hierna het uitvoeringsbesluit, bepaalt dat om de samenwerking tussen de lidstaten overeenkomstig artikel 12, leden 5 en 6, van de verordening te bevorderen, elke lidstaat één loket aanwijst. 11. De aanvrager werd als loket aangeduid. Aangezien de opdrachten die aan de aanvrager door zijn oprichtingsbesluit 5 werden toebedeeld, niet uitdrukkelijk tot de Belgische context werden beperkt, kan worden besloten dat deze rol als loket, zoals bedoeld in artikel 3 van het uitvoeringsbesluit, binnen zijn reglementaire opdrachten valt. 12. Om de cross border identificatie en authenticatie in de praktijk om te zetten zal er gewerkt worden op basis van de filosofie die in het kader van het Stork-project werd uitgetest, waarbij niet uitgesloten wordt dat: 2 Zie artikel 52.2.c) van de verordening. 3 Zie overweging 2 van de verordening: Deze verordening heeft tot doel het vertrouwen in elektronische transacties in de interne markt te vergroten door te voorzien in een gemeenschappelijke grondslag voor veilige elektronische interactie tussen burgers, bedrijven en overheden, en bijgevolg ook de doeltreffendheid van publieke en private onlinediensten, e-business en elektronische handel in de Unie te verhogen. 4 Zie artikel 52.2.a) van de verordening. 5 Koninklijk besluit van 11 mei 2001 houdende de oprichting van de Federale Overheidsdienst Informatie- en communicatietechnologie.

5 Beraadslaging RR 83/2016-5/14 deze benadering in de toekomst wordt bijgestuurd in functie van de technologische evolutie; er op basis van de verordening andere mogelijkheden tot cross border authenticatie worden ontwikkeld. 13. Zoals de zaken nu staan, zal er een gedistribueerde architectuur worden uitgewerkt die een geïntegreerde dienstverlening over de grenzen van de lidstaten mogelijk maakt door gebruik te maken van de specificaties en infrastructuren die momenteel in elke lidstaat worden gehanteerd. Dit betekent dat de bestaande systemen voor elektronische identificatie en authenticatie van de lidstaten met elkaar worden verbonden tot een geheel. 14. Volgens de aanvraag ziet de situatie er schematisch momenteel als volgt uit: 15. Volgens de aanvraag zijn de belangrijkste componenten in het hierboven afgebeelde scenario, de volgende: SP (Service Provider): De Service Provider is gelokaliseerd in lidstaat S en verleent diensten die door een gebruiker worden aangevraagd;

6 Beraadslaging RR 83/2016-6/14 PEPS (Pan-European Proxy Service): Uitgangspunt is dat een lidstaat S gebruik maakt van een PEPS-S in de lidstaat waar de Service Provider is gevestigd, met het oog op de identificatie en authenticatie van de gebruiker. Een tweede PEPS (PEPS-C) is aanwezig in lidstaat C (de lidstaat waar de burger is geregistreerd); V-IDP (Virtual Identity Provider): de PEPS van Lidstaat S heeft toegang tot de Middleware (MW) van andere lidstaat via een V-IDP (rechtstreeks verbonden met de PEPS-S); SP-WARE: de V-IDP maakt gebruik van SP-WARE om toegang te krijgen tot de Middleware van een lidstaat; MW (Middleware): deze software is eigen aan elke lidstaat en wordt gebruikt om toegang te krijgen tot de eid-kaart van de gebruiker; IDP (Identity Provider): lidstaat C maakt gebruik van de Identity Provider (eigen aan de lidstaat) om de authenticatie uit te voeren. 16. Het Comité stelt vast dat dit eigenlijk dezelfde architectuur en de werkwijze is als deze die in het kader van Stork werd opgezet. In afwachting van gemeenschappelijke afspraken voor iedereen die deelneemt, zal de aanvrager met de andere betrokken PEPS overeenkomsten sluiten waarin afspraken worden gemaakt m.b.t informatiebeveiliging, bescherming van de persoonlijke levenssfeer. 17. Cross border identificatie en authenticatie zal ertoe leiden dat de daartoe vereiste gegevens van Belgen en niet-eu-burgers die over een Belgische elektronische vreemdelingenkaart beschikken en die toegang wensen tot een elektronische dienst die door een EU-lidstaat wordt aangeboden, in België worden opgevraagd. 18. De Belgische PEPS is gelokaliseerd bij de aanvrager. Hij zal instaan voor de authenticatie aan de hand van een toegang tot de Identity Provider. In België vervult CSAM-FAS de rol van Identity Provider. Wanneer een Belgische burger of een niet-eu-burger met een Belgische elektronische vreemdelingenkaart zich aanmeldt bij een toepassing van een andere EU-lidstaat zal deze laatste contact opnemen met de Belgische PEPS. Die verifieert de identiteit (identificatie en authenticatie) via CSAM-FAS. Daarbij wordt gebruik gemaakt van het Rijksregisternummer zoals bij elke identificatieverificatie via CSAM-FAS. Het Rijksregisternummer wordt vertaald in een unieke STORK ID. In beginsel wordt het Rijksregisternummer niet verstuurd, maar wel de STORK ID. 19. Naar aanleiding van de identificatie en authenticatie is het mogelijk dat de buitenlandse toepassing ook de verstrekking wenst van een aantal andere minimale identificatiegegevens. 20. Concreet zal er per land een maximale set aan gegevens worden afgesproken. In die overeenkomst zal het betrokken land de proportionaliteit van de gevraagde gegevens moeten aantonen. Vervolgens wordt per authenticatie vastgesteld welke gegevens uit die set verplicht zijn en

7 Beraadslaging RR 83/2016-7/14 welke optioneel. Wanneer een burger niet akkoord is met de verstrekking van de verplichte gegevens, impliceert dit dat hij afziet van het gebruik van de toepassing. Is hij niet akkoord met het verstrekken van de optionele gegevens, dan kan hij de toepassing gebruiken. De optionele gegevens worden in dat geval niet doorgegeven. De facto zal de aanvrager op vraag en met akkoord van de burger bepaalde gegevens uit het Rijksregister ophalen via zijn FSB (Federal Service Bus) en vervolgens aan de PEPS van een ander land bezorgen. 21. Voor een EU-inwoner die toegang wenst tot een Belgische elektronische dienst, zullen de vereiste gegevens in de corresponderende EU-lidstaat worden opgevraagd en vervolgens worden bezorgd aan de betrokken toepassing in België. 22. Het Comité stelt vast dat het doeleinde welbepaald en uitdrukkelijk omschreven is. Het is tevens gerechtvaardigd vermits de verwerkingen die eruit voorspruiten gesteund zijn artikel 5, eerste lid, a), WVP enerzijds en artikel 5, eerste lid, c), WVP anderzijds. B. PROPORTIONALITEIT B.1. Ten overstaan van de gegevens 23. De aanvrager wenst toegang te verkrijgen tot de informatiegegevens vermeld in artikel 3, eerste lid, 1 tot 5, WRR, namelijk: de naam en voornamen; de geboorteplaats en datum; het geslacht; de nationaliteit; de hoofdverblijfplaats. 24. In de bijlage van de uitvoeringsverordening (EU) 2015/1501 van de Commissie van 8 september 2015 betreffende de interoperabiliteit bedoeld in artikel 12, lid 8 van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad betreffende elektronische identificatie en vertrouwensdiensten voor elektronisch transacties in de interne markt, (hierna uitvoeringsverordening (EU) 2015/1501) wordt het minimale pakket persoonsgegevens dat een natuurlijke persoon op een unieke wijze vertegenwoordigd, vastgesteld 6. 6 Artikel 12, vierde lid, d), van de verordening.

8 Beraadslaging RR 83/2016-8/ Daarin wordt bepaald dat dit pakket de volgende verplichte attributen bevat: de huidige familienaam of familienamen, de huidige voornaam of voornamen en de geboortedatum. Er wordt verder bepaald dat het een of meer aanvullende attributen kan (= optioneel) bevatten, namelijk de voornaam of voornamen en familienaam of familienamen bij geboorte, de geboorteplaats, het huidig adres en geslacht. 26. De verplicht mee te sturen identificatiegegevens zijn opgenomen op de chip van de eid en de elektronische vreemdelingenkaart. In theorie zouden deze gegevens kunnen worden uitgelezen en vervolgens meegestuurd. Dit is echter geen optie gelet op het feit dat: naar alle waarschijnlijkheid ook andere elektronische identificatiemiddelen dan de eid en de elektronische vreemdelingenkaart zullen worden aangemeld die niet noodzakelijk over een chip beschikken en zo ze erover beschikken bevat de chip niet noodzakelijk de vereiste persoonsgegevens.; de eid en de elektronische vreemdelingenkaart ook op een niet-verbonden manier zullen worden gebruikt waardoor het uitlezen van de chip niet mogelijk is; FAS geen faciliteiten heeft om een chip uit te lezen. 27. De meest praktische manier om die gegevens mee te sturen, is dus een beroep te doen op de relevante authentieke bron, namelijk het Rijksregister. De aanvrager zal de verplichte gegevens alleen ophalen uit het Rijksregister. Hij haalt ze niet op voor eigen gebruik maar voor mededeling aan buitenlandse overheids- en/of privé-instanties. Men zou kunnen stellen dat er een mededeling van informatiegegevens van het Rijksregister wordt georganiseerd ten behoeve van instanties die op basis van de actuele WRR niet in aanmerking komen om dergelijke mededeling te verkrijgen. In de huidige stand van de wetgeving staat dit register niet open voor het buitenland en evenmin voor de commerciële sector. In het licht hiervan oordeelt de Commissie dat het noodzakelijk is om de mededeling van de gegevens uit het Rijksregister aan buitenlandse spelers wettelijk te regelen om iedere discussie te vermijden. 28. In afwachting van een dergelijke wettelijke regeling, rust op de aanvrager wel de verplichting om n.a.v. een cross border gebruik van een elektronisch identificatiemiddel, het door de uitvoergingsverordening (EU) 2015/1501 opgelegde minimale pakket persoonsgegevens te verstrekken aan de betrokken buitenlandse instanties.

9 Beraadslaging RR 83/2016-9/ Krachtens artikel 6, 3, van de wet van 19 juli heeft de houder van een eid via deze kaart inzage van de hem betreffende informatiegegevens die zijn opgenomen in het Rijksregister. Daarnaast bepaalt artikel 2, eerste lid, van het koninklijk besluit van 16 juli 1992 betreffende het verkrijgen van informatie uit het bevolkingsregister en uit het vreemdelingenregister, dat iedereen een uittreksel uit het bevolkingsregister of vreemdelingenregister m.b.t. de hem betreffende gegevens kan verkrijgen. Via de toepassing mijn dossier van het Rijksregister kan de houder van een eid dit uittreksel in elektronische vorm verkrijgen. Dit uittreksel bevat onder meer de gegevens die deel uitmaken van het verplichte pakket en van het optionele pakket. 30. Theoretisch heeft een in België gedomicilieerde burger de middelen in handen om n.a.v. de elektronische cross-border identificatie de verplicht of optioneel mee te sturen gegevens op gevalideerde wijze te verstrekken. De praktische organisatie daarvan ligt niet voor de hand en daarenboven rust de verplichting om die gegevens te verstrekken op de aanvrager. 31. Door de aanvrager toe te laten de vereiste gegevens op te halen uit het Rijksregister nadat de betrokkene vooraf zijn geïnformeerde toestemming heeft gegeven, wordt het mogelijk om in de context van een cross border identificatie gebruik te maken van de regeling m.b.t het elektronisch uittreksel enerzijds en wordt de aanvrager in staat gesteld zijn verplichting m.b.t. het mee te sturen verplicht of optioneel pakket te vervullen anderzijds. Het Comité beklemtoont dat deze benadering slechts een tijdelijk oplossing kan zijn. Zoals reeds aangestipt in punt 27, is inzake een wettelijke tussenkomst op korte termijn noodzakelijk. 32. De gegevens tot dewelke toegang wordt gevraagd zijn dezelfde als deze tot dewelke toegang werd verleend bij beraadslaging RR nr. 55/2010 met het oog op het pilootproject STORK. Rekening houdend met de gegevensinhoud van het verplichte en het optionele pakket, zoals vastgesteld door de uitvoeringsverordening (EU) 2015/1501, stelt het Comité vast dat het gegeven nationaliteit niet wordt vermeld. Bij gebrek aan andere verantwoording moet de toegang tot dit gegeven als niet ter zake dienend worden bestempeld (artikel 4, 1, 3, WVP). B.2. Ten overstaan van het gebruik van het Rijksregisternummer B.2.1. Gebruik door de aanvrager met het oog op het identificatie- en authenticatieproces 7 Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen.

10 Beraadslaging RR 83/ / Voor de aanbieders van een elektronische dienst is het essentieel dat zij niet alleen de gebruikers van het EU-land waarin zij zijn gevestigd correct kunnen identificeren en authenticeren maar ook de gebruikers van andere EU-landen. De aanbieders moeten zeker zijn van de identiteit van de persoon die hun elektronische dienst wenst te gebruiken. 34. In België geschiedt de identificatie en authenticatie aan de hand van de eid, de elektronische vreemdelingenkaart (het federaal token zal worden afgebouwd). Daartoe wordt in dit proces gebruik gemaakt van het Rijksregisternummer van de betrokkene zodat vergissingen, te wijten aan o.a. schrijffouten en homonymie, kunnen worden uitgesloten. 35. Het door de aanvrager gewenste gebruik van het Rijksregisternummer is, in het licht van de opgegeven doeleinde, in overeenstemming met artikel 4, 1, 3, WVP. B.2.2. Aanmaken STORK ID 36. In de bijlage van de uitvoeringsverordening (EU) 2015/1501 wordt tevens bepaald dat het minimale gegevenspakket ook een unieke identificatiecode bevat, vastgesteld door de lidstaat van verzending volgens technische specificatie voor grensoverschrijdende identificatie, zodanig dat deze zo lang mogelijk stabiel blijft. 37. Uit de aanvraag blijkt dat de aanvrager als PEPS zal op basis van het Rijksregisternummer een unieke code, een zogenaamde STORK ID, zal aanmaken die als unieke identificatiecode kan fungeren. 38. Voor zover het een toepassing betreft uit de private/commerciële sector zou dit erop neerkomen dat bijvoorbeeld buitenlandse bedrijven over een gecodeerd Rijksregisternummer beschikken (de aanvrager houdt een concordantietabel bij) terwijl dit momenteel voor Belgische bedrijven uitgesloten is. In het verslag van de eidas Technical Sub-group van 22/06/2015 wordt m.b.t. deze unieke identificatiecode gesteld: The third part a combination of readable characters. This uniquely identifies the identity asserted in the country of origin but does not necessarily reveal any discernible correspondence with the subject's actual identifier (for example, username, fiscal number etc). 39. Op basis hiervan oordeelt het Comité dat voor zover er al een unieke identificatiecode ten overstaan van toepassingen uit de private/commerciële sector moet worden verstrekt, daarbij geen gebruik mag worden gemaakt van het Rijksregisternummer.

11 Beraadslaging RR 83/ / Wanneer het een overheidstoepassing betreft, verwijst het Comité naar hetgeen zij dienaangaande opmerkte in de beraadslaging RR nr. 55/2010: 18. Binnen de EU-context zijn m.b.t. bepaalde materies verordeningen uitgevaardigd waarin wordt bepaald dat de autoriteiten en organen van de EU-lidstaten elkaar behulpzaam zijn alsof het de toepassing van hun eigen wetgeving betrof. In de mate dat in dergelijke materie een Belgische autoriteit krachtens haar nationale regelgeving hetzij verplicht is om het identificatienummer te gebruiken, hetzij gemachtigd is om het te gebruiken, stelt de mededeling van het identificatienummer van het Rijksregister aan een autoriteit of orgaan van een andere EU-lidstaat in beginsel geen probleem, voor zover deze een gelijkaardig niveau van beveiliging garandeert als in België. 19. Dit betekent dat de aanvrager het identificatienummer van het Rijksregister in ongecodeerde vorm verstrekt aan autoriteiten en organen van een EU-lidstaat wanneer dit zoals hiervoor onder punt 18 aangestipt kadert in de uitvoering van een EUverordening. 41. Er zal evenwel niet altijd een dergelijke verordening voorhanden zijn. In dat geval kan het door de aanvrager voorgestelde alternatief, namelijk de aanmaak van een STORK ID, worden gebruikt, met dien verstande dat er een verschillend STORK ID wordt aangemaakt al naargelang het land (zo niet zouden op termijn op basis van het STORK ID op Europees vlak netwerkverbindingen kunnen worden gecreëerd). B.3. Ten overstaan van de duur van de machtiging en de frequentie van de toegang 42. Er wordt een permanente toegang gevraagd. Het Comité is van oordeel dat een permanente toegang inzake gepast is gelet op het feit dat, zoals in de aanvraag terecht wordt aangestipt, de aard van de werkzaamheden waarvoor deze toegang wordt gevraagd, vereist dat er op gelijk welk ogenblik een raadpleging mogelijk is (artikel 4, 1, 3, WVP). 43. Er wordt een machtiging voor onbepaalde duur gevraagd gelet op het feit dat het systeem voor cross border identificatie en authenticatie opgezet in uitvoering van de verordening, niet in de tijd beperkt is. 44. In het licht hiervan oordeelt het Comité dan een machtiging van onbepaalde duur gepast is (artikel, 1, 3, WVP).

12 Beraadslaging RR 83/ /14 B.4. Ten opzichte van de bewaringstermijn 45. Wat de gegevens betreft die uit het Rijksregister worden opgehaald, meldt de aanvrager dat hij louter als doorgeefluik fungeert en deze niet bewaart. Het Comité neemt hiervan akte. 46. Voor wat het Rijksregisternummer betreft meldt de aanvrager dat hij dit in de loggings bewaart en dit gedurende ten minste 10 jaar. Aan de hand daarvan kan de aanvrager: de raadplegingen van de gegevens in het Rijksregister controleren; ingeval van discussie of problemen de verrichtte identificatie en authenticatie achterhalen. 47. Een loggingsysteem laat toe om achteraf de uitgevoerde verrichtingen te controleren op o.a. eventuele onregelmatigheden of misbruiken. Vermits dergelijke onregelmatigheden of misbruiken een strafbaar feit kunnen uitmaken oordeelde het Comité reeds bij herhaling dat een bewaartermijn van 10 jaar in het licht van artikel 4, 1, 5, WVP aanvaardbaar is. B.5. Intern gebruik en/ of mededeling aan derden 48. De aanvrager gebruikt naar eigen zeggen de opgehaalde gegevens niet. Hij bezorgt ze, eventueel na bewerking, aan de burger die ze opgevraagd heeft. Het is deze laatste die uiteindelijk beslist of hij zijn eigen gegevens al dan niet doorstuurt. 49. Het Comité neemt hiervan akte maar stipt aan dat de aanvrager wel het Rijksregisternummer van de betrokkene intern gebruikt met het oog op de traceerbaarheid van de verrichting. B.6. Netwerkverbindingen 50. In de aanvraag wordt geen gewag gemaakt van netwerkverbindingen. Het Comité neemt hiervan akte. 51. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later, behoudens machtiging door een ander Sectoraal comité, netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het Rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden waarvoor zij eveneens gemachtigd werden dit nummer te gebruiken.

13 Beraadslaging RR 83/ /14 C. INFORMATIEBEVEILIGING C.1. De consulent inzake informatiebeveiliging 52. Het Comité stelt vast dat de aanvrager over een consulent inzake informatiebeveiliging beschikt. C.2. Het informatiebeveiligingsbeleid 53. Uit de meegedeelde stukken blijkt dat de aanvrager beschikt over een informatiebeveiligingsbeleid en een plan ter uitvoering ervan. 54. Het Comité heeft er akte van genomen. C.3. Personen die toegang hebben tot de informatiegegevens/ het Rijksregisternummer gebruiken en lijst van deze personen 55. Uit de aanvraag leidt het Comité af dat: de personeelsleden van de aanvrager op zich geen toegang hebben tot de informatiegegevens. Het betreft een geautomatiseerde raadpleging n.a.v. het proces van identificatie en authenticatie van de betrokkene. De personeelsleden van de aanvrager staan wel in voor de procesbewaking; het Rijksregisternummer wordt opgenomen en bewaard in de loggings met het oog op de controle en traceerbaarheid. Dit impliceert dat de personeelsleden van de aanvrager die instaan voor controle en antwoorden op vragen i.v.m. traceerbaarheid dit nummer zullen gebruiken. 56. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die het Rijksregisternummer gebruiken. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking van het Comité gehouden worden. 57. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren.

14 Beraadslaging RR 83/ /14 OM DEZE REDENEN, het Comité 1 trekt de beraadslaging RR nr. 06/2016 met ingang van heden in; 2 machtigt de Federale Overheidsdienst ICT voor de verwezenlijking van het doeleinde vermeld onder punt A en onder de voorwaarden uiteengezet in deze beraadslaging, voor onbepaalde duur: permanent toegang te hebben tot de informatiegegevens van het Rijksregister vermeld in artikel 3, eerste lid, 1 tot 3 en 5, WRR; het Rijksregisternummer te gebruiken; 3 weigert het meer gevraagde; 4 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de gemachtigde een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren; 5 bepaalt dat wanneer het Comité de gemachtigde een vragenlijst met betrekking tot de informatiebeveiligingsstatus toestuurt, deze laatste de lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon