Gelet op de aanvraag van de Orde van Vlaamse Balies, ontvangen op 31/07/2015;

Transcriptie

1 1/7 Sectoraal comité van het Rijksregister Beraadslaging RR nr 56/2015 van 30 september 2015 Betreft: Machtigingsaanvraag van de Orde van Vlaamse Balies om het Rijksregisternummer te gebruiken m.b.t. de medewerkers van haar leden (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Orde van Vlaamse Balies, ontvangen op 31/07/2015; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 07/08/2015; Gelet op het technisch en juridisch advies ontvangen op 29/09/2015; Gelet op het verslag van de Voorzitter;

2 Beraadslaging RR 56 /2015-2/7 Beslist op 30 september 2015, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De Orde van Vlaamse Balies, hierna de aanvrager, verzoekt om gemachtigd te worden het rijksregisternummer te gebruiken m.b.t. de medewerkers van haar leden (advocaten aangesloten bij een balie die deel uitmaakt van de aanvrager), zodat ook zij het Rijksregister kunnen raadplegen via het Digitaal Platform voor de Advocaat van de aanvrager.. II. ONDERZOEK VAN DE AANVRAAG 2. Het Comité stelt vast dat de aanvrager een uitbreiding beoogt van de reeds toegekende machtiging RR nr. 70/2014 van 10 september om niet enkel het Rijksregisternummer van haar leden, maar tevens dat van de medewerkers van haar leden te mogen gebruiken wanneer deze laatsten het Rijksregister raadplegen via het voornoemd digitaal platform van de aanvrager. Impliciet beoogt de aanvrager dus eigenlijk ook een uitbreiding van machtiging RR nr. 42/2013 van 8 mei dat de aanvrager immers enkel machtigde om haar ledenadvocaten (en niet hun medewerkers) via haar tussenkomst toegang te verlenen tot bepaalde gegevens uit het Rijksregister. 3. Bijgevolg kan het onderzoek van het Comité zich beperken tot het nagaan of: de doeleinden waarvoor het gebruik wordt gevraagd welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van de artikelen 4, 1, 2, WVP en 5, tweede lid, WRR; het gebruik proportioneel is, gelet op de doeleinden (artikel 4, 1, 3, WVP). A. DOELEINDEN 4. Het gebruik van het Rijksregisternummer van de medewerker van de advocaat is nodig om de medewerker mits sterke authenticatie toegang te verlenen tot het digitaal platform en voor het opslaan van dit nummer in een logfile, om ten alle tijde de identiteit van de gebruiker te kunnen achterhalen in geval van betwisting rond de rechtmatigheid van een raadpleging. 1 Machtigingsaanvraag van de Orde van Vlaamse Balies om toegang te hebben tot de gegevens uit het Rijksregister en het nummer ervan te gebruiken m.b.t. haar leden. 2 Vraag van de Orde van Vlaamse Balies en de Orde van de Franstalige en Duitstalige Balie van België tot uitbreiding van de beraadslaging RR nr. 22/2012 van 14 maart 2012 waarbij aan de Orde van de Franstalige en Duitstalige Balie van België (OFDB) machtiging verleend werd om hun advocaten via haar tussenkomst toegang te verlenen tot het Rijksregister.

3 Beraadslaging RR 56 /2015-3/7 5. Het Comité stelt vast dat de nagestreefde doeleinden van de aanvrager welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn, zoals bedoeld in artikel 4, 1, 2 van de WVP en in artikel 5, 2 de lid van de WRR. B. PROPORTIONALITEIT 6. Artikel 4, 1, 3 van de WVP bepaalt dat de persoonsgegevens toereikend, ter zake dienend en niet overmatig mogen zijn uitgaande van de doeleinden waarvoor ze werden verkregen en verder verwerkt worden. B.1. Ten overstaan van het Rijksregisternummer 7. Het Comité is van oordeel dat het gebruik van het Rijksregisternummer in overeenstemming is met artikel 4, 1, 3 van de WVP. Het Comité was overigens zelf vragende partij 3 dat de aanvrager in haar logfiles het Rijksregisternummer zou registreren van degene die effectief de raadpleging van het Rijksregister uitvoerde via het platform, hetzij het Rijksregisternummer van de advocaat, hetzij dat van zijn medewerker. B.2. Ten overstaan van de duur van de machtiging 8. De aanvrager wenst een machtiging voor onbepaalde duur. 9. Het Comité is van oordeel dat een machtiging voor onbepaalde duur gepast is aangezien de tussenkomst van de aanvrager als tussenpersoon voor de raadplegingen van het Rijksregister door de medewerkers van advocaten niet in de tijd beperkt is. B.3. Ten overstaan van de bewaartermijn 10. Dienaangaande stelt de aanvrager dat het zeer moeilijk zou zijn om na enige tijd systematisch het Rijkregisternummer uit de logfiles te verwijderen. 11. Het Comité wijst erop dat in het algemeen loggings gedurende ten minste 10 jaar bewaard dienen te worden 4. Zij wijst eveneens op randnummer 26 van de aan de aanvrager toegekende machtiging RR nr. 42/2013 die eveneens melding maakt van die 10 jaar. 12. Een bewaartermijn van 10 jaar is in overeenstemming met artikel 4, 1, 5 van de WVP. B.4. Intern gebruik en/of mededeling aan derden 3 Zie de brief van 30 maart 2015 die het Comité aan de aanvrager richtte in de nasleep van machtiging RR nr. 42/ Zie bv. aanbeveling RR nr. 01/2015 van 18 februari 2015.

4 Beraadslaging RR 56 /2015-4/7 13. Uit de aanvraag blijkt dat het gebruik intern geschiedt. Er gebeurt geen mededeling aan derden. Het intern gebruik beperkt zich tot de applicatieverantwoordelijke en system administrator van de aanvrager en enkele medewerkers van de onderaannemer van de aanvrager. 14. Dergelijk beperkt intern gebruik is in overeenstemming met artikel 4, 1, 3 van de WVP. B.5. Netwerkverbindingen 15. Uit de door de aanvrager meegedeelde inlichtingen blijkt dat er momenteel geen enkele informatie wordt uitgewisseld met derden op basis van het Rijksregisternummer als primaire sleutel en dat er bijgevolg geen netwerkverbinding tot stand komt. 16. Het Comité neemt hiervan akte. Volledigheidshalve benadrukt het dat: -indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; -het Rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. C. BEVEILIGING C.1. Consulent inzake informatiebeveiliging 17. Uit de door de aanvrager meegedeelde evaluatievragenlijst voor de kandidaatbeveiligingsconsulent blijkt dat hij beschikt over een beveiligingsconsulent, zoals voorgeschreven door artikel 10 WRR. 18. Het Comité heeft er akte van genomen. C.2. Informatiebeveiligingsbeleid 19. Uit de door de aanvrager meegedeelde conformiteitsverklaring inzake het informatiebeveiligingssysteem blijkt dat hij beschikt over een informatiebeveiligingsbeleid. Huidige aanvraag bevat tevens de algemene voorwaarden inzake het gebruik van het platform en het privacybeleid van de aanvrager (zie tevens hierna). 20. Het Comité heeft er akte van genomen.

5 Beraadslaging RR 56 /2015-5/7 C.3. Personen die het Rijksregisternummer gebruiken en de lijst van die personen 21. Uit de aanvraag blijkt dat het gaat over de applicatieverantwoordelijke en system administrator van de aanvrager en enkele medewerkers van de onderaannemer van de aanvrager: zij hebben toegang tot de logfiles en enkel zij gebruiken dus het Rijksregisternummer. 22. Het Comité heeft hiertegen geen bezwaar in het licht van artikel 4, 1, 3 van de WVP. 23. Naar analogie met wat is voorgeschreven door artikel 12 van de WRR voor de toegang tot het Rijksregister, beveelt het Comité de aanvrager aan een lijst op te stellen van de personen die het Rijksregisternummer zullen gebruiken voor de voormelde doeleinden. Deze lijst moet voortdurend bijgewerkt worden en ter beschikking gehouden worden van het Comité. 24. Bovendien moeten die personen een document ondertekenen waarin zij verklaren de beveiliging en de vertrouwelijkheid van de informatiegegevens te bewaren. D. ONDERAANNEMING 25. Het Comité vestigt de aandacht van de aanvrager op het feit dat elke opdracht van onderaanneming 5 in de zin van de WVP moet omkaderd worden door een overeenkomst die beantwoordt aan de voorschriften van artikel 16 van de WVP en dat artikel 5, 1ste lid, 3 van de WRR de onderaannemer verplicht de nodige maatregelen, die hij heeft genomen om de WVP te respecteren, te melden aan de personen voor wie hij als onderaannemer optreedt. E. BIJKOMENDE WAARBORGEN 26. Onderhavige aanvraag bevat tenslotte enkele bijkomende waarborgen rond het raadplegen van het Rijksregister via dit platform door medewerkers van de leden van de aanvrager. Deze werden door de aanvrager genomen op vraag van het Comité van 30 maart Het Comité neemt er akte van dat: -de algemene voorwaarden van het platform aandacht besteden aan de verantwoordelijkheden van de gebruikers (leden van de aanvrager en medewerkers van die leden); 5 Zoals blijkt uit de aanvraag, meer bepaald uit punt 1 van de algemene voorwaarden inzake het platform (versie 16 april 2015).

6 Beraadslaging RR 56 /2015-6/7 -een lid van de aanvrager de rechten aan zijn medewerkers moet toekennen en ontnemen, de medewerkers van de advocaten krijgen bijgevolg nooit automatisch toegang tot het digitaal platform; -ongeoorloofd gebruik wordt, zoals bij de leden-advocaten, door de logging en tracing van de aanvragen en door de veiligheidsconsulent gecontroleerd; -de aanvrager nog onderzoekt of zij de toegang voor de medewerkers van haar leden in de tijd kan beperken Het Comité beklemtoont dat de toegang door de medewerkers van advocaten tot de gegevens en de verwerkingsmogelijkheden, beperkt moet blijven tot hetgeen die personen nodig hebben voor de uitoefening van hun taken of tot hetgeen noodzakelijk is voor de behoeften van de dienst. Het kan niet de bedoeling zijn deze toegang systematisch te delegeren naar alle medewerkers (bv. niet t.a.v. een kortstondige interimaris, bv. wel t.a.v. een medewerker met wie de advocaat een zekere vertrouwensrelatie heeft). Doorslaggevend element is dat rekening wordt gehouden met de verantwoordelijkheid waarmee de medewerker is belast en de geheimhoudingsplicht. OM DEZE REDENEN het Comité 1 breidt de beraadslaging RR nr. 42/2013 en RR nr. 70/2014 uit en machtigt de Orde van Vlaamse Balies om het Rijksregisternummer van de medewerkers van haar leden-advocaten te gebruiken onder de in onderhavige beraadslaging vermelde voorwaarden voor het verwezenlijken van de onder punt A vermelde doeleinden; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met het formulier inzake beveiliging aan het Comité werden verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de Orde van Vlaamse Balies, een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren; 6 Het Comité opperde in de brief van 30 maart 2015 dat De toegangsrechten verleend aan medewerkers zouden een bepaalde geldigheidsduur moeten hebben, waarna deze vernieuwd moeten worden.

7 Beraadslaging RR 56 /2015-7/7 3 bepaalt dat wanneer het Comité de Orde van Vlaamse Balies, een vragenlijst met betrekking tot de informatiebeveiligingsstatus toestuurt, deze laatste de lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon