van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;

Transcriptie

1 1/10 Sectoraal comité van het Rijksregister Beraadslaging RR nr 70/2014 van 10 september 2014 Betreft: Machtigingsaanvraag van de Orde van Vlaamse Balies om toegang te hebben tot de gegevens uit het Rijksregister en het nummer ervan te gebruiken m.b.t. haar leden (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Orde van Vlaamse Balies ontvangen op 17/06/2014;

2 Beraadslaging RR 70 /2014-2/10 Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 11/08/2014; Gelet op het technisch en juridisch advies ontvangen op 9 september 2014; Gelet op het verslag van de Voorzitter; Beslist op 10 september 2014, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De Orde van Vlaamse Balies, hierna de aanvrager, verzoekt om gemachtigd te worden toegang te hebben tot de gegevens uit het Rijksregister en het nummer ervan te gebruiken m.b.t. haar leden. De aanvrager werd gehoord door het Comité op 4 juni 2014 over de oorspronkelijke machtigingsaanvraag 1. Het Comité besliste dat de aanvrager in een aangepaste machtigingsaanvraag moest voorzien in de ontsluiting van het voorgestelde systeem tot oprichting van een authentieke bron advocaten via de Kruispuntbank van Ondernemingen (KBO), waarbij de aanvrager zou optreden als gegevensinitiator van KBO en dat zij zich dan opnieuw zou beraden. De aanvrager heeft gevolg gegeven aan deze zienswijze van het Comité en zijn nieuwe aanvraag in die zin opgesteld.. II. ONDERZOEK VAN DE AANVRAAG 2. Het Comité stelt vast dat de aanvrager reeds bij beraadslaging RR nr. 42/2013 van 8 mei 2013 gemachtigd werd om toegang te hebben tot een aantal informatiegegevens van het Rijksregister. Bovendien staat de aanvrager expliciet vermeld in artikel 5, 1ste lid, 6 van de WRR als potentiële begunstigde om gemachtigd te worden toegang te hebben tot de informatiegegevens van het Rijksregister of het nummer ervan te gebruiken. 3. Bijgevolg kan het onderzoek van het Comité zich beperken tot het nagaan of: 1 Zie dossier RN MA

3 Beraadslaging RR 70 /2014-3/10 de doeleinden waarvoor de toegang en het gebruik worden gevraagd welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van de artikelen 4, 1, 2, WVP en 5, tweede lid, WRR; de toegang en het gebruik proportioneel zijn, gelet op de doeleinden (artikel 4, 1, 3, WVP). A. DOELEINDEN 4. Deze machtigingsaanvraag heeft betrekking op de toegang tot bepaalde gegevens uit het Rijksregister van de leden-advocaten van de aanvrager, met name de gegevens bedoeld in artikel 3, 1ste lid, 1 t.e.m. 6 van de WRR en op het gebruik van het rijksregisternummer bedoeld in artikel 8 van de WRR van de leden-advocaten van de aanvrager met het oog op het realiseren van volgende doeleinden: -inschrijving: de inschrijving van advocaten op de lijst van stagiairs" en "tableau van advocaten" gebeurt via een van de 14 lokale Vlaamse balies. Hierbij worden er regelmatig fouten gemaakt (verkeerd ingeven van gegevens, dubbele inschrijvingen, enzoverder), en is er kans op fraude wegens de beperkte controlemogelijkheden. Ten einde erop toe te zien dat elke advocaat op unieke wijze geregistreerd wordt is het aangewezen dat het identificatienummer van het Rijksregister gebruikt wordt. Ook gegevens als naam, nationaliteit, geboorteplaats, geboortedatum en geslacht dragen bij tot een sterkere identificatie en controle ten opzichte van het aangeleverde diploma, en worden verder voor statistische doeleinden gebruikt. Ten einde de kans op fraude en op vergissingen te reduceren is het aangewezen dat in bepaalde gevallen deze identificatiegegevens kunnen worden geverifieerd met deze opgenomen in het Rijksregister. Dit doen de baliemedewerkers niet rechtstreeks, maar via de aanvrager; -tuchtprocedure: indien er tegen een advocaat een tuchtprocedure loopt, is het kantooradres vaak niet langer actueel. Vandaag wordt briefwisseling inzake tucht alsnog verstuurd naar het (oud) kantooradres, waarbij het kantoor de verantwoordelijkheid op zich neemt dit dossier door te sturen naar de geadresseerde. Nochtans kan dit niet worden afgedwongen, wat dus impliceert dat de huidige werkwijze soms tot problemen kan leiden. Omdat het de verantwoordelijkheid van de aanvrager is om het dossier rechtstreeks aan de betrokkene te kunnen bezorgen, is het nodig het privéadres (hoofdverblijfplaats) van deze persoon (advocaat of oud-advocaat) te kennen, evenals een eventuele datum van overlijden. De gewenste werkwijze houdt in dat hiervoor het gegeven 'hoofdverblijfplaats' (zoals bedoeld in artikel 3, 1ste lid, 5 van de WRR) en het gegeven 'plaats en datum van overlijden' (zoals bedoeld in artikel 3, 1ste lid, 6 van de WRR) opgevraagd wordt; -digitaal Platform Advocaten: het gebruik van het identificatienummer van het Rijksregister is tevens noodzakelijk voor identificatie van de advocaten die zich via sterke authenticatie,

4 Beraadslaging RR 70 /2014-4/10 bijvoorbeeld via de e-id, aanmelden op het geplande Digitaal Platform Advocaten. Momenteel is sterke authenticatie nog niet aanwezig, wat een beveiligingsrisico kan inhouden. Dit Digitaal Platform Advocaten zal onder meer voor elektronische opvolging zorgen van de functionaliteiten die kaderen binnen de opdracht van de aanvrager (artikel 495 Gerechtelijk Wetboek), zoals bijvoorbeeld juridische bijstand; -authentieke bron van advocaten: krachtens haar wettelijke taken zal de aanvrager instaan voor een authentieke bron van advocaten aan Vlaamse balies die volgende gegevens zal bevatten: rijksregisternummer (desgewenst versleuteld), naam en voornaam, ingeschreven balies, kantooradres(sen) per ingeschreven balie met aanduiding hoofdinschrijving (een advocaat kan maar aan één Belgische balie een hoofdinschrijving hebben), type inschrijving (stagiair, tableauadvocaat, EU-advocaat, B-advocaat) en status advocaat: actief of niet actief (met achterliggend meerdere statussen zoals schorsing of schrapping, doch niet ontsloten). Ten einde de authenticiteit te garanderen kunnen deze gegevens eventueel worden geverifieerd tegenover deze uit het Rijksregister. Deze authentieke gegevens kunnen dan tevens dienen om de advocaten via sterke authenticatie toegang te geven tot nieuwe applicaties (zoals deze van de Raad van State, het Grondwettelijk Hof, e.d.). Vandaag dienen deze toepassingen eigen mechanismen te ontwikkelen om de advocaten de juiste toegang te verlenen, wat uiteraard inefficiënt is; -uitwisseling van gegevens: gerechtelijke dossiers vormen een essentieel onderdeel van de informatie die leden- advocaten nodig hebben om hun taak als medewerker van het gerecht te kunnen vervullen. Het uitwisselen van deze dossiers - bijvoorbeeld arresten en vonnissen - tussen de FOD Justitie en de betrokken advocaten is derhalve gerechtvaardigd en zal leiden tot tijdswinst, verhoogde efficiëntie, verlaagde risico's en besparing van kosten (vervangingsvergoeding, portkosten,...) voor de advocaten. De uitwisseling zou verlopen via het rijksregisternummer van de betrokken advocaten. 5. Het Comité stelt vast dat de aanvrager, een publiekrechtelijk rechtspersoon, een beroepsregulerende overheid is, die de wettelijke opdracht heeft "te waken over de eer, de rechten en de gemeenschappelijke beroepsbelangen van zijn leden" (artikel 495 Gerechtelijk Wetboek). Het Comité stelt bovendien vast dat artikel 430 van het Gerechtelijk Wetboek stipuleert dat "Uiterlijk op 1 december van elk jaar wordt een tableau opgemaakt van de Orde van advocaten, een lijst van de advocaten die hun beroep uitoefenen onder de beroepstitel van een andere lidstaat van de Europese Unie en een lijst van de stagiairs, die hun kantoor in het werkingsgebied van de Orde hebben. Het tableau en de lijsten worden aangeplakt of bekendgemaakt door toedoen van de stafhouder, die ervoor zorgt dat zij worden bijgewerkt. De aanvrager heeft dus de wettelijke verplichting om een lijst van stagiairs, een tableau van advocaten en lijsten van EU en buitenlandse advocaten op te maken en bij te werken. Het

5 Beraadslaging RR 70 /2014-5/10 correct en ondubbelzinnig identificeren van de advocaten en hun kantooradres, zowel bij aanmelding aan de balie als online in het geplande Digitaal Platform Advocaten, is hierbij belangrijk om aan deze wettelijke verplichting te kunnen voldoen. De toegang tot de gevraagde gegevens en het gebruik van het identificatienummer van het Rijksregister voor de beoogde finaliteiten kaderen binnen voornoemde artikelen van het Gerechtelijk Wetboek en steunen zodoende op artikel 5, eerste lid c) WVP. Het Comité stelt tenslotte vast dat, gezien de functie van "kruispuntbank" van de Kruispuntbank van Ondernemingen (KBO), waar ook de advocaten sinds 2009 in zijn opgenomen, de aanvrager en Vlaamse balies de intentie hebben op te treden als initiator voor het KBO voor wat betreft de gegevens van de Vlaamse advocaten om zo bij te dragen tot het optimaliseren van de gegevens van de advocaten in het KBO. Hiervoor zullen de Vlaamse balies en de aanvrager de gegevens van haar authentieke bron op een coherente wijze afstemmen met het databestand van de KBO. 6. Gelet op wat voorafgaat stelt het Comité vast dat de nagestreefde doeleinden van de aanvrager welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn, zoals bedoeld in artikel 4, 1, 2 van de WVP en in artikel 5, 2 de lid van de WRR. B. PROPORTIONALITEIT 7. Artikel 4, 1, 3 van de WVP bepaalt dat de persoonsgegevens toereikend, ter zake dienend en niet overmatig mogen zijn uitgaande van de doeleinden waarvoor ze werden verkregen en verder verwerkt worden. B.1. Ten overstaan van de gegevens 8. De aanvrager vraagt machtiging om toegang te hebben tot de informatie bedoeld in artikel 3, 1 ste lid, 1 t.e.m 6 van de WRR, betreffende haar leden, nl.: Naam en voornamen; Geboorteplaats en datum; Geslacht; Nationaliteit; Hoofdverblijfplaats; Plaats en datum van overlijden. 9. Gegevens naam en voornamen en geboorteplaats en datum worden gevraagd ten einde de inschrijving op de lijst van stagiairs en op het tableau van advocaten vlot en met voldoende controle te kunnen laten gebeuren. 10. Gegeven geslacht wordt gebruikt bij de aanspreking in briefwisseling alsmede voor statistische gegevens.

6 Beraadslaging RR 70 /2014-6/ In het kader van de beroepsuitoefening is validatie van het gegeven nationaliteit noodzakelijk. 12. Gezien tuchtprocedures passen binnen de wettelijke opdracht van de aanvrager en gezien hiervoor vaak het kantooradres van de leden niet langer actueel is, is het gegeven hoofdverblijfplaats noodzakelijk. 13. Het gegeven plaats en datum van overlijden is volgens de aanvrager belangrijk in het kader van tuchtprocedures en tevens als noodzakelijk gegeven om de precieze bewaringstermijn voor de andere gegevens te kunnen vastleggen. Dat het gegeven datum van overlijden relevant blijkt te zijn omdat de aanvrager moet weten of het lid-advocaat in kwestie overleden is, kan het Comité aannemen (bv. al dan niet voorzetten van een lopende tuchtprocedure). Het Comité vraagt zich echter af of de plaats van overlijden 2 wel strikt noodzakelijk is, reden waarom ze de toegang tot dit subgegeven afwijst. 14. Het Comité is van oordeel dat de toegang tot de persoonsgegevens vermeld onder artikel 3, eerste lid, 1 t.e.m. 6 (echter enkel datum van overlijden) van de WRR in overeenstemming is met artikel 4, 1, 3 van de WVP. B.2. Ten overstaan van het identificatienummer 15. Het gebruik van identificatienummer van het Rijksregister is volgens de aanvrager nodig voor de identificatie van de advocaten die zich bijvoorbeeld via de e-id aanmelden op het geplande Digitaal Platform Advocaten. Ook bij het uitwisselen van gerechtelijke dossiers tussen de FOD Justitie en de betrokken advocaten is het identificatienummer van het Rijksregister van de betrokken advocaat het meest aangewezen identificatiemiddel. Het identificatienummer van het Rijksregister van de betrokken advocaat is ten slotte de meest aangewezen sleutel voor de gegevens bij het opzetten van een authentieke bron advocaten aan Vlaamse balies. 16. Het Comité is van oordeel dat het gebruik van het identificatienummer vermeld onder artikel 8 van de WRR in overeenstemming is met artikel 4, 1, 3 van de WVP. B.3. Ten overstaan van de frequentie van de toegang en de duur van de machtiging 17. De aanvrager wenst voor onbepaalde duur een permanente toegang te hebben. 2 Op pagina 6 van de aanvraag wordt overigens niet gesproken over de plaats van overlijden: Omdat het de verantwoordelijkheid van de OVB is om het dossier rechtstreeks aan de betrokkene te kunnen bezorgen, is het nodig het privéadres (hoofdverblijfplaats) van deze persoon (advocaat of oud-advocaat) te kennen, evenals een eventuele datum van overlijden.

7 Beraadslaging RR 70 /2014-7/ Aangezien het voor de aanvrager voor de verwezenlijking van voormelde doeleinden a priori niet mogelijk is om de toegangsfrequente tot de gevraagde gegevens te bepalen, is het Comité van oordeel dat een permanente toegang gepast is. 19. Een machtiging voor onbepaalde duur is eveneens noodzakelijk aangezien de wettelijke opdracht van de aanvrager niet in de tijd beperkt is. B.4. Ten overstaan van de bewaartermijn 20. Wat betreft de gegevens geboorteplaats en datum, geslacht en nationaliteit, is een bewaartermijn gepland tot 5 jaar na het overlijden, ten einde de overdracht van de lopende dossiers te kunnen garanderen. Wat betreft het gegeven 'hoofdverblijfplaats', is een bewaartermijn gepland tot 5 jaar na het overlijden, ten einde de tuchtprocedures te kunnen afwerken. 21. Wat betreft het gegeven naam en voornamen, is een bewaartermijn gepland tot 30 jaar na het overlijden, de verjaringstermijn van een dossier, en gezien de noodzaak tot het opbouwen en behouden van een historiek van de tableau voor de balie. 22. Wat betreft het gegeven plaats en datum van overlijden, is een bewaartermijn gepland tot 30 jaar na het overlijden, ten einde de andere gegevens na de voorziene bewaringstermijn te kunnen wissen. 23. Wat betreft het rijksregisternummer, is een bewaartermijn gepland tot 30 jaar na overlijden in het kader van de opvolging van lopende en afgesloten dossiers. 24. Het Comité neemt akte van deze bewaartermijnen en stelt vast dat zij in overeenstemming zijn met artikel 4, 1, 5 van de WVP. B.5. Interne toegang/gebruik en/of mededeling aan derden 25. Uit de aanvraag blijkt dat de toegang/het gebruik intern geschiedt, dit wil zeggen door medewerkers van de 14 Vlaamse balies onder toezicht van hun stafhouder en de aanvrager, en door medewerkers van de aanvrager onder toezicht van de voorzitter van de aanvrager. 26. Een van de doeleinden waarvoor het gebruik wordt gevraagd, met name als technische sleutel in het kader van de veilige en betrouwbare communicatie met externe partijen zoals de FOD Justitie, Raad van State, Grondwettelijk Hof, brengt met zich dat het identificatienummer van de betrokken advocaat wordt verstrekt aan die betrokken externen. 27. Voor zover deze externe mededeling van het identificatienummer kadert binnen het voormelde communicatiedoeleinde, stelt het Comité het passende karakter ervan vast.

8 Beraadslaging RR 70 /2014-8/10 B.6. Netwerkverbindingen 28. Volgens de aanvrager komt er bovendien een netwerkverbinding -verstrekking van persoonsgegevens (uit gerechtelijke dossiers) aan de hand van het identificatienummer - tot stand tussen aanvrager en de FOD Justitie. Het Comité neemt akte van deze netwerkverbinding en stelt vast dat deze geen aanleiding geeft tot bijzondere opmerkingen. De FOD Justitie beschikt immers over machtigingen om het rijksregisternummer te gebruiken, al zal het zaak zijn na te gaan of de bestaande machtigingen het voorliggend extern gebruik in relatie met de aanvrager rechtvaardigen. 29. Het Comité vestigt er volledigheidshalve de aandacht op dat: -indien er later andere netwerkverbindingen 3 mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; -het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. C. BEVEILIGING C.1. Veiligheidsconsulent 30. Uit de door de aanvrager meegedeelde evaluatievragenlijst voor de kandidaatveiligheidsconsulent blijkt dat hij beschikt over een veiligheidsconsulent, zoals voorgeschreven door artikel 10 WRR. 31. Het Comité heeft er akte van genomen. C.2. Informatiebeveiligingsbeleid 32. Uit de door de aanvrager meegedeelde conformiteitsverklaring inzake het informatiebeveiligingssysteem dat het voorwerp is van de machtigingsaanvraag voor toegang tot het Rijksregister blijkt dat hij beschikt over een informatiebeveiligingsbeleid. 33. Het Comité heeft er akte van genomen. 3 In de aanvraag (p. 7) is er immers sprake van uitwisseling van gegevens (o.a. met FOD Justitie). Of nog p. 15 van de aanvraag: Het identificatienummer van het rijksregister van de betrokken advocaat is het meest aangewezen als sleutel voor de uitwisseling van gerechtelijke dossiers, bijvoorbeeld met de FOD justitie.

9 Beraadslaging RR 70 /2014-9/10 C.3. Personen die toegang hebben tot de gegevens/het identificatienummer gebruiken en de lijst van die personen 34. Uit de aanvraag blijkt dat het gaat over de administratieve stafmedewerkers van de 14 Vlaamse balies aangesteld door en onder toezicht van hun stafhouder en de aanvrager en medewerkers van de aanvrager onder toezicht van hun voorzitter. 35. Het Comité heeft hiertegen geen bezwaar in het licht van artikel 4, 1, 3 van de WVP. Het vraagt echter dat de nodige maatregelen zouden genomen worden opdat in de schoot van de aanvrager en van de 14 Vlaamse balies enkel de behoorlijk gemachtigde personeelsleden toegang zouden hebben tot deze gegevens. 36. Zoals artikel 12 van de WRR het vereist, moet de aanvrager een lijst opstellen van de personen die toegang hebben tot het Rijksregister. Die lijst moet voortdurend worden bijgewerkt en ter beschikking worden gehouden van het Comité. 37. Bovendien moeten die personen een document ondertekenen waarin zij verklaren de beveiliging en de vertrouwelijkheid van de informatiegegevens te bewaren. OM DIE REDENEN, Het Comité, 1 machtigt de Orde van Vlaamse Balies om onder de voorwaarden vastgesteld in deze beraadslaging om voor onbepaalde duur en voor de verwezenlijking van de onder punt A voormelde doeleinden permanent toegang te hebben tot de gegevens bedoeld onder artikel 3, 1ste lid, 1 t.e.m. 6 (enkel datum van overlijden) van de WRR en het identificatienummer van het Rijksregister te gebruiken; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met het formulier inzake beveiliging aan het Comité werden verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de Orde van Vlaamse Balies, een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren;

10 Beraadslaging RR 70 / /10 3 bepaalt dat wanneer het Comité de Orde van Vlaamse Balies, een vragenlijst met betrekking tot de informatiebeveiligingsstatus toestuurt, deze laatste de lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Wnd. Administrateur, De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon