Sectoraal comité van het Rijksregister

Transcriptie

1 1/8 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 51/2008 van 10 december 2008 Betreft: aanvraag van de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict) om toegang te bekomen tot de informatiegegevens van het Rijksregister en het identificatienummer ervan te gebruiken teneinde de Nationale Loterij te begeleiden om zijn producten aan te passen aan de nieuwe media (RN/MA/2008/024) Het Sectoraal comité van het Rijksregister (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna "WVP"), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict), ontvangen op 16/05/2008; Gelet op de aanvraag van het technisch en juridisch advies, gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 18/06/2008; Gelet op het technisch en juridisch advies, ontvangen op 17/07/2008;

2 Ber RR 51/2008-2/8 Gelet op de beslissing van het Comité van 30 juli 2008 waarbij de behandeling van dit dossier werd geschorst teneinde het advies in te winnen van de Commissie voor de Bescherming van de Persoonlijke Levenssfeer i.v.m. de problematiek van de wettelijke basis voor tussenkomst van Fedict; Gelet op het advies nr. 38/2008 van de Commissie van 26 november 2008; Gelet op het verslag van de wnd Voorzitter; Beslist op 10/12/2008, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG De aanvraag heeft tot doel om de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict), hierna de aanvrager genoemd, te machtigen om: toegang te bekomen tot de informatiegegevens vermeld in artikel 3, eerste lid, 2 en 5, WRR; het identificatienummer van het Rijksregister te gebruiken; teneinde de Nationale Loterij te begeleiden om zijn producten aan te passen aan de nieuwe media. II. ONDERZOEK VAN DE AANVRAAG De aanvrager werd reeds bij beraadslagingen nrs. 20/2005, 26/2005, 25/2006 en 19/2008 gemachtigd om toegang te hebben tot een aantal informatiegegevens van het Rijksregister en/of het identificatienummer te gebruiken. Bijgevolg kan het onderzoek van het Comité zich inzake beperken tot het nagaan of: het doeleinde waarvoor thans het gebruik gevraagd wordt, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP; de toegang tot de gegevens en het gebruik van het identificatienummer proportioneel zijn in het licht van het doeleinde (artikel 4, 1, 3, WVP).

3 Ber RR 51/2008-3/8 A. FINALITEIT 1. De Nationale Loterij, een naamloze vennootschap van publiek recht, heeft tot doel in het algemeen belang en volgens handelsmethodes o.a. openbare loterijen, kansspelen, weddenschappen en wedstrijden te organiseren (artikel 6 van de wet van 19 april 2002 tot rationalisering van de werking en het beheer van de nationale loterij). 2. De beheersovereenkomst tussen de Nationale Loterij en de Belgische Staat, dat werd goedgekeurd bij koninklijk besluit van 4 april 2003 houdende de goedkeuring van het beheerscontract tussen de Belgische Staat en de Nationale loterij, naamloze vennootschap van publiek recht, omschrijft de opdracht van de Nationale Loterij onder meer als volgt: "Art. 4. De Nationale Loterij is belast met de organisatie, in het algemeen belang en volgens handelsmethodes, van de openbare loterijen, weddenschappen, wedstrijden en kansspelen overeenkomstig de bepalingen van de Wet van 19 april Bij het uitvoeren van deze taak handelt de Nationale Loterij als een sociaal verantwoordelijke, professionele aanbieder van speelplezier." Art. 5. De Nationale Loterij dient doelgericht het spelgedrag in België te kanaliseren en speelplezier te verschaffen aan een brede groep mensen door het aanbieden van recreatieve spelen. De Nationale Loterij moet erover waken via haar productbeleid geen risico tot gokverslaving teweeg te brengen. Zij dient actief en autonoom bij te dragen tot de preventie en behandeling van de gokverslaving door initiatieven in die zin te ondersteunen. 3. Krachtens artikel 6 van de beheersovereenkomst verbindt de Nationale Loterij er zich toe om openbare loterijen, kansspelen, weddenschappen en wedstrijden aan te bieden over het volledig Belgisch grondgebied aan alle inwoners van het Rijk. Daarbij zal gebruik gemaakt worden van de nieuwste technieken indien deze kunnen bijdragen tot het verbeteren van de aangeboden producten (artikel 7). Artikel 23 bepaalt in dat verband dat de Nationale Loterij kan gebruik maken van partnerships met andere organisaties om haar operaties efficiënter te maken of om in te spelen op nieuwe technologieën en evoluties in de markt. 4. Het is met het oog op het aanbieden van haar producten online en dus het uitvoeren van haar wettelijke opdracht en het naleven van de beheersovereenkomst, dat de Nationale Loterij een

4 Ber RR 51/2008-4/8 samenwerking heeft opgezet met de aanvrager waarbij deze laatste als "trusted third party" zal fungeren. 5. De Nationale Loterij zal haar online producten aanbieden aan personen die: in België woonachtig zijn ( cfr. artikel 6, eerste lid, van de beheersovereenkomst); meerderjarig zijn Het is de aanvrager die zal controleren of de persoon die zich online aanmeldt voor een product van de Nationale Loterij, voldoet aan die criteria of niet. In de mate dat de beoogde controle erop gericht is om de Nationale Loterij in staat te stellen om haar online producten overeenkomstig de reglementaire bepalingen ter zake aan te bieden, stelt het Comité vast dat het nagestreefde doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van art. 4, 1, 2, WVP. Deze vaststelling doet geen afbreuk aan de beschouwingen die in de beraadslaging RR nr. 14/2006 van 24 mei 2006 werden gemaakt voor wat betreft het aspect gokverslaving beperken en kwetsbare personen beschermen. B. PROPORTIONALITEIT B.1 Ten overstaan van de gevraagde gegevens De aanvrager wenst toegang te bekomen tot de informatiegegevens vermeld in artikel 3, eerste lid, 2 (niet de geboorteplaats) en 5, WRR, namelijk: de geboortedatum (niet de geboorteplaats); de hoofdverblijfplaats. Het Comité stelt vast dat: De online producten van de Nationale loterij zijn alleen toegankelijk voor meerderjarigen. Om zich ervan te vergewissen dat dit ook daadwerkelijk het geval is, biedt de controle ervan in de authentieke bron die het Rijksregister toch is, de beste garantie. Vermits de aanvrager als "trusted 1 Artikel 15, tweede lid, van de beheersovereenkomst bevat een verwijzing naar het feit dat de producten van de Nationale Loterij niet mogen verkocht worden aan minderjarigen. In de Koninklijke besluiten die de uitgiftevoorschriften bepalen van loterijbiljetten, bijvoorbeeld "Indiana Jones", en van speciale lottotrekkingen wordt telkens bepaald dat het minderjarigen verboden is om deel te nemen.

5 Ber RR 51/2008-5/8 third party" instaat voor de verificatie ervan, is een toegang tot de "geboortedatum" dan ook gepast. Naast de leeftijdsvereiste wordt er een territoriale vereiste gesteld, namelijk alleen personen die in België woonachtig zijn zullen kunnen gebruik maken van de dienst. Een toegang tot het gegeven "hoofdverblijfplaats" biedt de aanvrager de mogelijkheid om dit element snel en efficiënt te controleren. Een toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 2 (niet de geboorteplaats) en 5, WRR is in overeenstemming met artikel 4, 1, 3, WVP. B.2. Ten overstaan van het identificatienummer van het Rijksregister B.2.1. Het is de bedoeling dat de personen die gebruik wensen te maken van de online-diensten van de Nationale Loterij, op het beginscherm hun identificatienummer van het Rijksregister invoeren. Het is aan de hand van dit nummer dat de aanvrager in het Rijksregister zal controleren of de betrokkene aan de voorwaarden voldoet om toegang te krijgen tot de online producten van de Nationale Loterij. Het identificatienummer is daartoe het meest geschikte instrument. Het is een uniek nummer dat toelaat iemand heel nauwkeurig te identificeren, zeker wanneer het gebruikt wordt in combinatie met bijvoorbeeld de naam en de voornaam. Vergissingen die kunnen ontstaan door o.a. homonymie en schrijffouten worden uitgesloten. Het gebruik van het identificatienummer bij de raadpleging van het Rijksregister heeft daarenboven het voordeel dat onmiddellijk de gegevens van de juiste persoon getoond worden. B.2.2. Zoals reeds werd opgemerkt zal de aanvrager inzake als "trusted third party" optreden. Dit ligt in de lijn van het standpunt dat door de Commissie werd ingenomen in de beraadslaging FO nr.05/2007 van 21 maart 2007 (randnummer 32). Het is de aanvrager die het identificatienummer zal gebruiken en de gegevens in het Rijksregister zal raadplegen en controleren. Zijn opdrachtgever, de Nationale Loterij, zal vanwege de aanvrager uitsluitend de melding krijgen naar aanleiding van de aanmelding van een persoon "ja" (= voldoet aan de voorwaarden) of "neen" (voldoet niet aan de voorwaarden). Op die manier wordt de Nationale Loterij in staat gesteld om online conform aan de reglementaire vereisten te werken, zonder dat zij daartoe over een toegang tot het Rijksregister of over het identificatienummer moet beschikken.

6 Ber RR 51/2008-6/8 Het identificatienummer dat op het aanmeldingsscherm wordt ingevoerd, wordt uitsluitend door de aanvrager gebruikt. Dit nummer komt bij hem terecht en wordt vervolgens door hem gebruikt om in het Rijksregister de leeftijd en de woonplaats te controleren. Het nummer wordt volgens de bijkomende informatie van 3 juli 2008, niet door de Nationale Loterij gebruikt of bewaard. Volledigheidshalve vestigt het Comité er de aandacht op dat men zonder machtiging dit nummer niet mag opvragen (zelfs wanneer de betrokkene instemt). Het door de aanvrager gewenste gebruik van het identificatienummer is, in het licht van het opgegeven doeleinde, in overeenstemming met artikel 4, 1, 3, WVP. B.3. Ten opzichte van de frequentie van de toegang en de duur van de machtiging B.3.1. De aanvrager wenst een permanente toegang. Telkens wanneer een persoon zich aanmeldt moet de aanvrager immers de voorwaarden checken. Het Comité is van oordeel dat het doeleinde vereist dat de aanvrager in staat is om op elk moment de leeftijd en de woonplaats van de persoon die zich aanmeldt te controleren. Een permanente toegang is dan ook gepast opdat de aanvrager zijn werkzaamheden naar behoren zou kunnen uitvoeren (artikel 4, 1, 3, WVP). B.3.2. De aanvrager wenst een machtiging tot de EID en de kaartlezer veralgemeend zijn. Dit wordt voorzien tegen Daarna zullen de 2 voorwaarden aan de hand van de EID en de kaartlezer kunnen gecontroleerd worden. In het licht hiervan is het Comité van oordeel dat een machtiging tot 31 december 2010 gepast is. (artikel 4, 1, 3, WVP). B.4. Ten opzichte van de bewaringstermijn De aanvrager meldt dat hij geen persoonsgegevens zal bewaren. Het Comité neemt hiervan akte. Dit neemt niet weg dat de aanvrager de logs van de raadpleging moet bewaren, dus minstens 10 jaar, teneinde te kunnen traceren wie,wat, over wie, wanneer en waarom geraadpleegd heeft.

7 Ber RR 51/2008-7/8 B.5. Intern gebruik en/of mededeling aan derden De aanvrager zal geen gegevens uit het Rijksregister noch het identificatienummer van een persoon meedelen aan de Nationale Loterij. Deze laatste zal alleen op de hoogte gesteld worden van het resultaat van de controleoperatie. Het Comité neemt hiervan akte. B.6. Netwerkverbindingen Uit de uitleg verstrekt door de aanvrager blijkt dat er geen netwerkverbindingen tot stand komen waardoor gegevens van verschillende instanties gekoppeld worden op basis van het identificatienummer van het Rijksregister. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij gemachtigd werden om dit nummer te gebruiken. C. VEILIGHEID C.1. Consulent inzake informatieveiligheid De aanvrager beschikt over een consulent inzake informatieveiligheid die door de Commissie (loco het Sectoraal comité van het Rijksregister) evenals door het Comité werd aanvaard (zie beraadslagingen nrs. 20/2005 van 25 mei 2005 en 26/2005 van 6 juli 2005 en 19/2008 van 7 mei C.2. Veiligheidsbeleid De aanvrager beschikt over een veiligheidsbeleid waarvan reeds akte werd genomen n.a.v. de beraadslagingen nrs. 20/2005 van 25 mei 2005, 26/2005 van 6 juli 2005 en 25/2006 van 6 september 2006.

8 Ber RR 51/2008-8/8 C.3. Personen die toegang hebben tot de informatiegegevens en die het identificatienummer van het Rijksregister mogen gebruiken en lijst van deze personen De personen die instaan voor het beheer van de applicatie en de databases zullen toegang hebben tot de gegevens en identificatienummer van het Rijksregister. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Rijksregister en die het nummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren. OM DEZE REDENEN het Comité 1 machtigt de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict) onder de voorwaarden bepaald in deze beraadslaging en met het oog op het doeleinde vermeld in punt A om tot 31 december 2010: een permanente toegang te hebben tot de informatiegegevens vermeld in artikel 3, eerste lid, 2 (niet de geboorteplaats) en 5, WRR; het identificatienummer van het Rijksregister te gebruiken. 2 bepaalt dat wanneer het Comité aan de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict), een vragenlijst met betrekking tot de informatieveiligheidstatus toestuurt, dit laatste deze lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. Voor de Administrateur m.v., De wnd Voorzitter, (get.) Patrick Van Wouwe (get.) Frank Robben