Brussel, COMMISSIE VOOR DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER BERAADSLAGING RR Nr 26 / 2005 VAN 6 JULI 2005

Transcriptie

1 KONINKRIJK BELGIE Brussel, Adres : Hoogstraat, 139, B-1000 Brussel Tel. : +32(0)2/ commission@privacy.fgov.be Fax.: : +32(0)2/ COMMISSIE VOOR DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER BERAADSLAGING RR Nr 26 / 2005 VAN 6 JULI 2005 O. Ref. : SA2 / RN / 2005 / 023/006berdef BETREFT : Beraadslaging betreffende de aanvraag van de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict) om gemachtigd te worden toegang te hebben tot de informatiegegevens van het Rijksregister en om het identificatienummer van het Rijksregister te gebruiken voor gebruikersbeheer en communicatie met burgers en medewerkers De Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen ; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, inzonderheid artikel 31bis ; Gelet op de wet van 25 maart 2003 tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en van de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, inzonderheid artikel 19, 3 ; Gelet op het Koninklijk Besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18 ; Gelet op de aanvraag van de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict), ontvangen op 10 mei 2005 en de bijkomende informatie ontvangen op 1 juni 2005 ; Gelet op de aanvraag van het juridisch en technisch advies op 6 juni 2005 ; Gelet op het verslag van de voorzitter ; Beslist op 6 juli 2005, na beraadslaging, als volgt : I. VOORWERP VAN DE AANVRAAG De aanvraag heeft tot doel om de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict), hierna de aanvrager genoemd, te machtigen om : BER RR 26/2005-1/7

2 - toegang te hebben tot de informatiegegevens van het Rijksregister van de natuurlijke personen, meer in het bijzonder tot deze vermeld in artikel 3, eerste lid, 1, 2 en 5, van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna WRR) ; - het identificatienummer van het Rijksregister te gebruiken (art. 8 WRR) ; met het oog op het gebruikersbeheer en de communicatie met de burgers en de medewerkers. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR). Overeenkomstig art. 5, eerste lid, 2, WRR wordt de machtiging om toegang te verkrijgen tot of om mededeling te verkrijgen van de informatiegegevens bedoeld in artikel 3, eerste en tweede lid en om het identificatienummer van het Rijksregister te gebruiken (artikel 8 WRR) verleend door het sectoraal comité van het Rijksregister (de Commissie) aan openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het sectoraal comité. Het koninklijk besluit van 11 mei 2001 houdende oprichting van de Federale Overheidsdienst Informatie- en communicatietechnologie, stipuleert in artikel 2 : 1. De Federale Overheidsdienst Informatie- en communicatietechnologie heeft, binnen de filosofie van de virtuele matrix, tot opdracht : 1 het uitwerken van een gemeenschappelijke strategie inzake E-Government, en het opvolgen van de naleving ervan ; 2 het bevorderen en bewaken van de homogeniteit en consistentie van het beleid met deze gemeenschappelijke strategie ; 3 het begeleiden van de federale overheidsdiensten bij de implementatie van deze gemeenschappelijke strategie ; 4 het uitwerken van de nodige normen, standaarden en basisarchitectuur voor een efficiënte inzet van informatie- en communicatietechnologie ter ondersteuning van deze strategie, en het opvolgen van de naleving ervan ; 5 het uitwerken van projecten en diensten die potentieel federale overheidsdiensten overkoepelend zijn en deze gemeenschappelijke strategie ondersteunen ; 6 het beheren van de samenwerking met andere overheden inzake E- Government en informatie- en communicatietechnologie. De opdracht van de aanvrager situeert zich o.a. in de uitbouw van het E-government. Met betrekking tot het E-government werd in de voorbereidende werken van de artikelen 133 en 134 van de Programmawet van 8 april 2003 het volgende gezegd : De uitbouw van het E-government veronderstelt de reorganisatie van de relaties en processen zowel tussen de overheidsdiensten onderling als tussen de BER RR 26/2005-2/7

3 overheidsdiensten en de burgers, met het oog op het aanbieden van diensten op een zo efficiënt mogelijke manier, met een minimum aan administratieve lasten, door het gebruik van de nieuwe technologieën. Eén van de fundamentele doelstellingen van het E-government is het aanbieden van elektronische diensten aan de burgers via portalen of websites. Het gebruik van een aantal van deze diensten vereist de elektronische identificatie en authentisering van de burger. (doc Kamer, zitting 50, nr. 2343/1, blz 68) De aanvrager vervult dus een taak van algemeen belang en komt bijgevolg in aanmerking om toegang te hebben tot de informatiegegevens van het Rijksregister en om het identificatienummer van het Rijksregister te gebruiken. A.2. Wet van 8 december 1992 (WVP). Op grond van artikel 4 WVP vormen de informatiegegevens en het identificatienummer van het Rijksregister persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens dienen bovendien toereikend, terzake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. B. FINALITEIT De aanvrager wenst de toegang en het gebruik met het oog op gebruikersbeheer. Het gebruikersbeheer omvat 3 stadia : - de identificatie: toekennen van een unieke set van data die toelaat te weten wie een persoon is ; - authentificatie: het proces van verificatie om na te gaan of hetgeen beweerd wordt correct is (b.v. de identiteit wordt gecontroleerd aan de hand van een paswoord) ; - autorisatie: de toelating om een bepaalde actie te vervullen of om een bepaalde dienst te gebruiken. De elektronische identificatie en authentisering moet gebeuren op een beveiligde en zekere manier. Zowel de burger als de overheid moeten zeker zijn van de identiteit van de andere partij omdat de elektronisch aangeboden diensten o.a. te maken kunnen hebben met het toekennen van rechten, met het doorsturen van confidentiële gegevens. Op termijn zal de elektronische identiteitskaart de functies van identificatie en authentificatie vervullen. In afwachting van de algemene verspreiding ervan, moet ervoor gezorgd worden dat met het oog op de elektronische dienstverlening en communicatie tussen de overheid en de burger, een betrouwbare en veilige identificatie en authentificatie mogelijk zijn op basis waarvan de toegang tot bepaalde diensten of acties wordt verleend (autorisatie). Artikel 133 van de Programmawet van 8 april 2003 biedt reeds de mogelijkheid om een gebruikersnummer toe te wijzen aan natuurlijke personen die de door de overheid aangeboden elektronische diensten wensen te gebruiken. In het licht daarvan voorziet artikel 134 van deze wet in een toegang tot de informatiegegevens van het Rijksregister teneinde de juistheid van een aantal meegedeelde gegevens de controleren. Eens het nummer toegekend is, moet men de betrokkene authentificeren, d.i. nagaan of de persoon is wie hij beweert te zijn, telkens hij toegang wenst tot een elektronische dienst waarbij het vereist is om te weten wie zich aanmeldt. Op basis van dit proces kan dan al dan niet toegang verleend worden tot min of meer beveiligde diensten aangeboden door de overheid. BER RR 26/2005-3/7

4 Om de autorisatie te kunnen verlenen moeten de gebruikersgegevens bewaard worden zodat op elk ogenblik tot authentificatie kan overgegaan worden en het recht op toegang tot een elektronische dienst kan bepaald worden. Het hiervoor beschreven proces is niet alleen van toepassing op de burger die gebruik wenst te maken van een elektronische dienst. Het geldt evenzeer voor de overheid waar meer in het bijzonder zal moeten gecontroleerd worden of een bepaalde ambtenaar toegang kan krijgen tot een toepassing die gegevens van de burgers opvangt en verwerkt. De aanvrager wenst deze dienst van gebruikersbeheer als overkoepelende dienst aan te bieden aan de andere Belgische overheden, aan de openbare en private instellingen van Belgisch recht en hun onderaannemers die, voor de vervulling van hun taken van algemeen belang die hen toevertrouwd zijn door of krachtens een wet, decreet of ordonnantie, een veilig gebruikersbeheer nodig hebben. Op die manier wordt vermeden dat de burgers en medewerkers van instellingen en organisaties zich meerdere keren zouden moeten registreren. Bovendien kan een gebruiker zich dan op dezelfde manier en eenmalig identificeren en authentificeren voor meerdere elektronische diensten, wat het gebruikersvriendelijkheid van de toepassing verhoogd. De Commissie stelt vast dat de hierboven vermelde en nagestreefde doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2, WVP en artikel 5, tweede lid, WRR. C. PROPORTIONALITEIT C.1. Ten overstaan van de gegevens De aanvrager wenst toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 1, 2 en 5, WRR, namelijk : - de naam en voornamen ; - de geboorteplaats en datum ; - de hoofdverblijfplaats. Deze gegevens zijn minimale identificatiegegevens die absoluut noodzakelijk zijn om een persoon met voldoende zekerheid te identificeren. Het is in het belang van de gebruiker dat niemand anders zich kan voordoen als de gebruiker en derhalve toegang krijgt tot diensten en informatie die niet voor hem bestemd zijn. De Commissie stelt vast dat de toegang voor wat de persoonsgegevens vermeld in artikel 3, eerste lid, 1 tot en met 3 en 5, WRR betreft, in overeenstemming is met artikel 4, 1, 3, WVP. C.2. Gebruik van het identificatienummer Het is essentieel voor de goede werking van het systeem, dat de gebruikers correct geïdentificeerd worden. Dit betekent dat misverstanden die kunnen ontstaan n.a.v. homonymie en foutieve schrijfwijzen moeten uitgesloten worden teneinde de verdere stappen van authentificatie en autorisatie niet te hypothekeren. Aan de hand van het identificatienummer van het Rijksregister, dat een uniek nummer is, kan een persoon in combinatie met zijn naam, geboortedatum en adres zonder enige marge van vergissing geïdentificeerd worden. De Commissie stelt vast dat het gebruik van het identificatienummer, rekening houdend met de doeleinden, in overeenstemming is met artikel 4, 1, 3, WVP. BER RR 26/2005-4/7

5 C.3. Ten opzichte van de frequentie en de duur waarvoor de toegang/gebruik gevraagd wordt C.3.1. Er wordt een permanente toegang gevraagd. Telkens wanneer een persoon te kennen geeft dat hij een gebruikersnummer wenst met het oog op het gebruiken van de elektronische dienstverlening, zullen diens identiteitsgegevens moeten gecontroleerd worden. Dit leidt tot een quasi dagelijkse stroom van gegevens die moeten gecontroleerd worden. In het licht hiervan stelt de Commissie vast dat een permanente toegang vereist is opdat de aanvrager zijn doeleinden zou kunnen realiseren (artikel 4, 1, 3, WVP). C.3.2. Zowel de toegang als het gebruik worden voor onbepaalde duur gevraagd. De identificatie en authentificatie zullen een essentieel onderdeel blijven van E-government, een toekomstgericht project dat op termijn in belangrijke en blijvende mate de contacten tussen de overheid en de burger zal beïnvloeden. De Commissie stelt vast dat in het licht van de doeleinden waarvoor de toegang en het gebruik worden gevraagd, een machtiging voor onbepaalde duur noodzakelijk is (art. 4, 1, 3 WVP). Zij behoudt zich evenwel het recht voor om, na de algemene invoering van de elektronische identiteitskaart, aan de aanvrager te vragen om aan te tonen dat de toegang en het gebruik met het oog op het gebruikersbeheer nog vereist is. C.4. Ten opzichte van de bewaartermijn De aanvrager bewaart de gegevens van de betrokkene zolang dit nodig is voor de identificatie en de authentificatie met het oog op E-government. Er kan dus geen concrete tijdspanne als bewaartermijn opgegeven worden. De aanvrager stelt wel dat hij de gegevens zal verwijderen wanneer een gebruiker zich uitschrijft. De Commissie stelt vast dat de gegevens door de aanvrager bewaard worden zolang dit nodig is voor het uitvoeren van de beheerstaken met het oog op E-government. De Commissie stelt vast dat dit overeenstemt met de vereiste van artikel 4, 1, 5, WVP. C.5. Intern gebruik en/ of mededeling aan derden In de eerste plaats zal de aanvrager de informatiegegevens van het Rijksregister en het identificatienummer van het Rijksregister gebruiken met het oog op de identificatie, de authentificatie en de autorisatie van de eigen gebruikers. De aanvrager zal dit gebruikersbeheer ook ter beschikking stellen van andere Belgische overheden, aan de openbare en private instellingen van Belgisch recht en hun onderaannemers die voor de vervulling van hun taken van algemeen belang die hen toevertrouwd zijn door of krachtens een wet, decreet of ordonnantie, een veilig gebruikersbeheer nodig hebben. Deze kunnen de dienst gebruiken indien er met het oog op het aanbieden van elektronische communicatie, gebruikersbeheer van de burger of ambtenaar nodig is. De facto zal het systeem van de instantie die beroep doet op het gebruikersbeheer van de aanvrager, de mededeling van de naam en het identificatienummer van het Rijksregister van de burger of ambtenaar krijgen. In het licht daarvan zal de aanvrager de dienst slechts ter beschikking stellen van instanties die beschikken over een machtiging om het identificatienummer van het Rijksregister te gebruiken. BER RR 26/2005-5/7

6 De aanvrager verbindt er zich toe om deze instanties contractueel maatregelen met betrekking tot de bescherming van de gegevens op te leggen. De Commissie wenst dat de aanvrager, met het oog op de transparantie van het systeem, een lijst, houdende de identiteit van alle instanties die zijn dienst van gebruikersbeheer benutten, bijhoudt. Deze lijst zal voortdurend bijgewerkt worden en zal ter beschikking gehouden worden van de Commissie voor de bescherming van de persoonlijke levenssfeer. De Commissie wijst in dit verband op artikel 8, 2, WRR waarbij de instanties die gemachtigd zijn om het identificatienummer van het Rijksregister te gebruiken, verplicht zijn om een consulent inzake informatieveiligheid aan te wijzen. Deze bepaling is ook van toepassing op de instanties die nog over een machtiging oude stijl om het identificatienummer van het Rijksregister te mogen gebruiken beschikken, dus een machtiging verleend bij koninklijk besluit. De Commissie zal binnen afzienbare tijd overgaan tot een controle dienaangaande. C. 6. Netwerkverbindingen Uit de uitleg verstrekt door de aanvrager blijkt dat het identificatienummer uitsluitend gebruikt wordt ter verificatie van de identiteit. Het resultaat daarvan wordt ter beschikking gesteld van de instantie die de dienst voor gebruikersbeheer gebruikt. Dit betekent dat er geen netwerkverbindingen tot stand komen waardoor gegevens van verschillende instanties gekoppeld worden op basis van dit nummer. D. BEVEILIGING D.1. Consulent inzake informatieveiligheid De persoon die voor de aanvrager als consulent inzake informatieveiligheid optreedt, vervult deze functie reeds n.a.v. de machtiging nr. 20/2005 van 25 mei 2005 die aan de aanvrager werd verleend. D.2. Veiligheidsplan De aanvrager bezorgde een omstandig veiligheidsplan opgesteld door de consulent inzake informatieveiligheid. Het betrokken plan maakte ook deel uit van het dossier op basis waarvan de machtiging nr. 20/2005 werd verleend en dat dus door de Commissie reeds als zijnde voldoende werd bestempeld. D.3. Personen die het identificatienummer van het Rijksregister mogen gebruiken en lijst van deze personen De personen die instaan voor het beheer van de applicatie en de databases zullen toegang hebben tot het identificatienummer van het Rijksregister omdat het door de applicatie wordt gebruikt met het oog op identificatie en authentificatie. Er moet, in toepassing van artikel 12 WRR, een lijst van deze personen worden opgesteld die voortdurend wordt bijgewerkt. Deze lijst zal ter beschikking worden gehouden van de Commissie voor de bescherming van de persoonlijke levenssfeer. De betrokken personen moeten daarenboven een schriftelijke verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens waartoe zij toegang krijgen, te bewaren. BER RR 26/2005-6/7

7 Deze vereisten gelden zowel voor de personeelsleden van de aanvrager als voor de personeelsleden van de instanties die een beroep doen op het gebruikersbeheer van de aanvrager. De Commissie neemt er akte van dat de aanvrager dit ook contractueel zal regelen. OM DEZE REDENEN, machtigt de Commissie de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict) om met het oog op de verwezenlijking van de in punt B omschreven doeleinden en onder de voorwaarden omschreven in de beraadslaging, om permanent en voor onbepaalde duur - toegang te hebben tot de informatiegegevens van het Rijksregister van de natuurlijke personen, meer in het bijzonder tot deze vermeld in artikel 3, eerste lid, 1, 2 en 5, WRR ; - het identificatienummer van het Rijksregister te gebruiken. De Commissie behoudt zich het recht voor om, na de algemene invoering van de elektronische identiteitskaart, aan de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict) te vragen om aan te tonen dat de toegang en het gebruik met het oog op het gebruikersbeheer nog vereist is. beslist de Commissie dat wanneer zij de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict) een lijst met minimale veiligheidsvereisten toestuurt deze laatste deze lijst waarheidsgetrouw zal moeten invullen en terugbezorgen aan de Commissie. In het licht van dit antwoord zal de verleende machtiging eventueel herbekeken worden. De administrateur, De voorzitter, Jo BARET Michel PARISSE BER RR 26/2005-7/7