Sectoraal comité van het Rijksregister

Transcriptie

1 1/7 Sectoraal comité van het Rijksregister Beraadslaging RR nr 27/2009 van 18 mei 2009 Betreft: aanvraag van het Vlaams Parlement tot aanpassing en uitbreiding van beraadslaging nr. 08/2004 met het oog op beheer van toegangskaarten (RN/MA/2009/012) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Voorzitter van het Vlaams Parlement ontvangen op 13/03/2009 en de bijkomende informatie ontvangen op 06/04/2009; Gelet op beraadslaging nr. 08/2004 van 15/03/2004; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 07/04/2009; Gelet op het verslag van de Wnd. Voorzitter;

2 Beraadslaging RR 27/2009-2/7 Beslist op 18 mei 2009, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG Het Vlaams Parlement, hierna de aanvrager, werd bij beraadslaging nr. 08/2004 van 15 maart 2004, gemachtigd om toegang te hebben tot een aantal informatiegegevens van het Rijksregister en het identificatienummer ervan te gebruiken met het oog op personeelsbeheer, controle van de benoemingsvoorwaarden, onderzoek van geloofsbrieven.. De aanvraag strekt ertoe om voormelde machtiging aan te passen, meer in het bijzonder: de lijst van instellingen waarvan de aanvrager de benoemingsvoorwaarden van kandidaten voor een functie bij die instellingen controleert, te actualiseren; de doeleinden uit te breiden waarvoor het identificatienummer van het Rijksregister gebruikt mag worden. Het onderzoek van het Comité kan zich dus beperken tot het nagaan of: de gewenste actualisering verantwoord is; het doeleinde waarvoor uitbreiding wordt gevraagd welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van de artikelen 4, 1, 2, WVP en 5, tweede lid, WRR; het gebruik van het identificatienummer dat met het oog daarop gevraagd wordt, proportioneel is (artikel 4, 1, 3, WVP). II. ONDERZOEK VAN DE AANVRAAG A. Actualisering van de lijst van instellingen In beraadslaging nr. 08/2004 wordt verwezen naar een lijst van instellingen opgenomen in de aanvraag waarvan de aanvrager de benoemingsvoorwaarden van kandidaten controleert. De aanvrager signaleert thans dat die lijst niet langer actueel is. Een aantal van de instellingen die op die lijst voorkomen werden inmiddels afgeschaft, terwijl er een aantal andere werden opgericht waarvoor de aanvrager bevoegd is. Het Comité stelt vast dat in de nabije toekomst deze lijst van de instellingen waarvan de aanvrager benoemingsvoorwaarden controleert, ongetwijfeld nog zal moeten worden aangepast. Het is weinig

3 Beraadslaging RR 27/2009-3/7 efficiënt dat de aanvrager dan telkens een aanpassing van de beraadslaging aan het Comité moet vragen. Het Comité is dan ook van oordeel dat het met het oog op transparantie en controle volstaat dat de aanvrager een geactualiseerde lijst bijhoudt van de betrokken instellingen en deze lijst ter beschikking houdt van het Comité. B. Nieuwe finaliteit Op 27 januari 2007 werd door de Conferentie van de Voorzitters van de 7 Assemblees een protocol betreffende de legitimatie- en toegangskaarten goedgekeurd. Gelet op het feit dat er heel wat personenverkeer is tussen de verschillende assemblees en m.i.b. tussen het Federaal Parlement en de gewest- en gemeenschapsparlementen werden er afspraken gemaakt teneinde het mogelijk te maken deze functionaliteiten aan een toegangskaart te koppelen. In het licht daarvan zal de aanvrager een gegevensbank aanleggen met het oog op het aanmaken, verstrekken en beheren van de toegangskaarten die hij aflevert aan personen die gezien hun functie regelmatig toegang hebben tot de gebouwen van het Vlaams Parlement. Telkens wanneer de aanvrager een toegangskaart uitreikt, zullen de andere assemblees daarvan op de hoogte worden gebracht door een geautomatiseerd systeem om te vermijden dat aan eenzelfde persoon verscheidene kaarten worden uitgereikt. Het is met het oog hierop dat de aanvrager het identificatienummer van het Rijksregister wenst te gebruiken. Het Comité is van oordeel dat het nagestreefde doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP. C. Proportionaliteit C.1. Ten overstaan van het identificatienummer De aanvrager merkt op dat het identificatienummer van het Rijksregister een uniek nummer is aan de hand waarvan een persoon in combinatie met zijn naam en voornaam nauwkeurig kan geïdentificeerd worden. Vergissingen die kunnen ontstaan door o.a. homonymie en schrijffouten worden uitgesloten. Vandaar is dit nummer volgens de aanvrager het ideale instrument om:

4 Beraadslaging RR 27/2009-4/7 personen aan wie een toegangskaart wordt verstrekt correct te identificeren; te vermijden dat verscheidene kaarten aan eenzelfde persoon worden afgeleverd. Het Comité stelt vast dat het in het licht van het doeleinde belangrijk is dat er geen vergissingen met betrekking tot de persoon gemaakt worden en er slechts één kaart per persoon wordt uitgereikt. Immers: uit veiligheidsoverwegingen is het inderdaad aangewezen dat de toegang tot de assemblees via een elektronische toegangskaart beperkt wordt tot personen van wie vaststaat dat hun aanwezigheid aldaar uit hoofde van hun taak vereist is; om dezelfde redenen is het eveneens gepast dat slechts één kaart per persoon wordt uitgereikt. Wanneer de betrokkene slechts over één kaart beschikt, zal hij het verlies ervan vlugger opmerken en zal er dus sneller opgetreden worden om de aan de kaart verbonden elektronische toegang te blokkeren (minimaliseren misbruik). Vermits alle assemblees met dezelfde toegangskaart zullen werken, moeten zij dus geïnformeerd worden wanneer een van hen een toegangskaart uitreikt. Wanneer daarbij het identificatienummer van het Rijksregister tezamen met de naam en de voornaam wordt gebruikt, is dubbele uitreiking quasi uitgesloten. Het door de aanvrager gewenste gebruik van het identificatienummer is, in het licht van het opgegeven doeleinde, in overeenstemming met artikel 4, 1, 3, WVP. C.2. Ten opzichte van de duur van machtiging Het gebruik wordt gevraagd voor onbepaalde duur gelet op het feit dat niet bepaald kan worden hoe lang er personenverkeer tussen de verschillende assemblees zal plaatsgrijpen. Het Comité stelt in het licht hiervan vast dat een machtiging van onbepaalde duur gepast is (artikel 4, 1, 3, WVP).

5 Beraadslaging RR 27/2009-5/7 C.3. Ten opzichte van de bewaringstermijn Volgens de bijkomende informatie verstrekt op 6 april 2009, worden de gegevens en dus ook het identificatienummer bewaard gedurende de geldigheidsduur van de toegangskaart. Deze bedraagt maximaal 5 jaar voor de verkozenen en hun medewerkers en maximaal 10 jaar voor personeelsleden en eventuele andere categorieën. Op het ogenblik dat iemand zijn toegangsrechten verliest en zijn kaart moet inleveren, worden de gegevens niet langer bewaard. Het Comité stelt vast dat dit concreet betekent dat de gegevens worden bewaard zolang de betrokkene over toegangsrechten en een toegangskaart beschikt (deze kaarten kunnen vernieuwd worden voor een nieuwe maximumtermijn). De gegevens moeten worden verwijderd en vernietigd van zodra de toegangsrechten van de betrokkene effectief een einde nemen. In het licht hiervan is het Comité van oordeel dat in de mate dat de aanvrager zich hieraan houdt, hij handelt conform aan artikel 4, 1, 5, WVP. C.4. Intern gebruik en/of mededeling aan derden In de aanvraag wordt gesignaleerd dat het identificatienummer uitsluitend intern gebruikt wordt in de gegevensbank "toegangskaarten". Het nummer zal trouwens niet op de kaart worden vermeld. Uit de uitleg die verder in de aanvraag wordt verstrekt, blijkt evenwel dat dit nummer wel zal meegedeeld worden aan derden. Het is immers de bedoeling dat de aanvrager telkens wanneer hij een toegangskaart aflevert de andere assemblees hiervan op de hoogte brengt. Dit zal gebeuren door een geautomatiseerde mededeling aan de hand van het identificatienummer. Het Comité stelt vast dat deze mededeling aanvaardbaar is voor zover de andere assemblees gemachtigd zijn om het identificatienummer voor een gelijkaardig doeleinde te gebruiken. De aanvrager geeft zelf aan dat dit momenteel nog niet het geval is. Zolang dit niet het geval is, is de mededeling van het identificatienummer aan de andere assemblees uitgesloten. C.5. Netwerkverbindingen Uit de uitleg verstrekt door de aanvrager blijkt dat er op basis van het identificatienummer een netwerkverbinding tot stand zal komen met de andere assemblees. Zoals reeds aangestipt beschikken die nog niet over een machtiging.

6 Beraadslaging RR 27/2009-6/7 Zolang de assemblees niet over de vereiste machtiging beschikken, kan er geen netwerkverbinding tot stand komen. Volledigheidshalve vestigt het Comité er de aandacht op dat indien er later andere netwerkverbindingen tot stand komen: de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen 1 ; het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. D. BEVEILIGING D.1. Consulent inzake informatieveiligheid De identiteit van de nieuwe consulent inzake informatieveiligheid werd meegedeeld. Uit de verstrekte informatie blijkt dat: de betrokkene als veiligheidsconsulent rechtstreeks verslag uitbrengt aan de hoogste ambtenaar; zijn andere werkzaamheden niet onverenigbaar zijn met zijn activiteiten als veiligheidsconsulent; hij over de nodige onafhankelijkheid beschikt om de functie van veiligheidsconsulent te vervullen. Hij kan dus aanvaard worden als veiligheidsconsulent. D.2. Informatieveiligheidsbeleid Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsbeleid beschikt evenals over een plan in toepassing ervan. Het Comité heeft er akte van genomen. 1 Al naargelang de gegevensbank waarop de aanvrager een beroep wenst te doen, zal desgevallend ook een machtiging van het voor die gegevensbank bevoegde sectoraal comité vereist zijn.

7 Beraadslaging RR 27/2009-7/7 D.3. Personen die toegang hebben tot de informatiegegevens van het Rijksregister en het identificatienummer ervan gebruiken en lijst van deze personen De personeelsleden van de aanvrager die uit hoofde van hun taken toegang hebben tot de gegevensbank-toegangskaarten zullen het identificatienummer van het Rijksregister gebruiken. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Rijksregister en die het nummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren. OM DEZE REDENEN het Comité 1 breidt beraadslaging nr. 08/2004 van 15 maart 2004 uit en machtigt het Vlaams Parlement om voor de finaliteit vermeld onder punt B en onder de modaliteiten bepaald in deze beraadslaging evenals deze bepaald in voornoemde beraadslaging nr. 08/2004, het identificatienummer van het Rijksregister te gebruiken; 2 bepaalt dat wanneer het Comité aan het Vlaams Parlement een vragenlijst met betrekking tot de informatieveiligheidsstatus toestuurt, dit laatste deze lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. Voor de Administrateur m.v., De wnd Voorzitter, (get.) Patrick Van Wouwe (get.) Frank Robben.