Het Sectoraal comité van het Rijksregister, (hierna "het comité");

Transcriptie

1 1/8 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 39/2008 van 30 juli 2008 Betreft: aanvraag van het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed, om het identificatienummer van het Rijksregister te gebruiken met het oog op de identificatie van de bloeddonor (RN/MA/2008/032) Het Sectoraal comité van het Rijksregister, (hierna "het comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna "WVP"), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed, ontvangen op 23/06/2008; Gelet op de aanvraag van het technisch en juridisch advies, gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 10/07/2008; Gelet op het technisch en juridisch advies, ontvangen op 29/07/2008; Gelet op het verslag van de Voorzitter;

2 Ber RR 39/2008-2/8 Beslist op 30/07/2008, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG De aanvraag heeft tot doel om het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed, hierna de aanvrager, te machtigen om het identificatienummer van het Rijksregister te gebruiken (artikel 8 WRR) met het oog de identificatie van bloeddonors. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) Overeenkomstig de artikelen 5, eerste lid, 2, en 8 WRR wordt de machtiging om toegang te verkrijgen tot of om mededeling te bekomen van de informatiegegevens bedoeld in artikel 3, eerste en tweede lid, WRR en om het identificatienummer van het Rijksregister te gebruiken, verleend door het Comité aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. De wet van 5 juli 1994 betreffende bloed en bloedderivaten van menselijke oorsprong, is bedoeld om de inzameling van bloed zo te organiseren dat het besmettingsrisico via bloedtransfusie vermeden wordt. Eind jaren 80 begin jaren 90 werden in heel wat landen hemofiliepatiënten met het HIV-virus besmet ingevolge bloedtransfusies (Kamer, Gewone zitting , doc. 1229, nr 1, blz. 2). Deze wet en haar uitvoeringsbesluiten zijn er dus op gericht om de volksgezondheid te vrijwaren en dragen dus bij tot het algemeen belang. Artikel 5 van de wet van 5 juli 1994 bepaalt: "De afneming van bloed en bloedderivaten mag enkel plaatsvinden bij vrijwillige niet vergoede donors en met hun toestemming". De afneming, de bereiding en de bewaring van bloed en labiele bloedderivaten worden uitsluitend toevertrouwd aan instellingen die voldoen aan de voorwaarden vastgesteld door de Koning en die erkend werden door de minister die bevoegd is voor de volksgezondheid (artikel 4).

3 Ber RR 39/2008-3/8 Die erkenning werd aan de aanvrager verleend bij ministerieel besluit van 17 december 2007 betreffende de erkenning van instellingen en centra voor de afneming, de bereiding, de bewaring en de distributie van bloed en labiele bloedderivaten van menselijke oorsprong. In zijn hoedanigheid van erkende instelling voor de afneming, de bereiding, de bewaring en de distributie van bloed en labiele bloedderivaten van menselijke oorsprong, werkt de aanvrager mee aan de realisatie van een taak van algemeen belang. Hij komt bijgevolg als openbare instelling van Belgisch recht op grond van de artikelen 5, eerste lid, 2, en 8 WRR in aanmerking om gemachtigd te worden het identificatienummer van het Rijksregister te gebruiken. A.2. Wet van 8 december 1992 (WVP) Op grond van artikel 4 WVP vormen de informatiegegevens en het identificatienummer van het Rijksregister persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. B. FINALITEITEN Artikel 1, 29, van het koninklijk besluit van 4 april 1996 betreffende de afneming, de bereiding, de bewaring en de terhandstelling van bloed en bloedderivaten van menselijke oorsprong, definieert "traceerbaarheid" als de mogelijkheid om elke afzonderlijke bloedeenheid en elk daarvan afkomstig bloedbestanddeel van de donor tot de eindbestemming en andersom te traceren ongeacht of die eindbestemming een ontvanger, een geneesmiddelenfabrikant dan wel verwijdering is. Artikel 4, 2 bis, van dat besluit bepaalt welke gegevens daartoe moeten geregistreerd worden. De identificatie van de donor is er een van. Het is met het oog daarop dat de aanvrager het identificatienummer wenst te gebruiken. Het Comité is van oordeel dat dit doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP en artikel 5, tweede lid, WRR.

4 Ber RR 39/2008-4/8 C. PROPORTIONALITEIT C.1. Ten overstaan van het identificatienummer van het Rijksregister De aanvrager wenst het identificatienummer van het Rijksregister te gebruiken om de donor die zich aanbiedt bij een bloedinzameling eenduidig te identificeren. Wanneer een persoon zich aandient kan aan de hand van dit nummer snel gecontroleerd worden of de betrokkene reeds gekend is als donor. Indien dat niet het geval is, zal een dossier moeten geopend worden. In het andere geval kan snel gecontroleerd worden aan de hand van de medisch gerelateerde gegevens van de betrokkene of het verstrekte bloed kan vrijgegeven worden en kan zijn informatie geactualiseerd worden. Het Comité stelt vast dat het identificatienummer van het Rijksregister, dat een uniek nummer is, toelaat om iemand zonder enige marge van vergissing te identificeren, zeker wanneer het gecombineerd wordt met andere gegevens zoals de naam en de voornaam, de geboortedatum en de woonplaats. Vergissingen die kunnen ontstaan n.a.v. homonymie en foutieve schrijfwijzen worden erdoor vermeden. Het is dus een instrument dat ertoe bijdraagt om te vermijden dat bloed dat om medische redenen niet gebruikt mag worden, toch zou vrijgegeven worden. In dit verband verwijst het Comité naar zijn opmerking in de beraadslaging RR nr.45/2007 van 12 december 2007 onder punt 2.4. waarin het stelde: "Het Comité maakt van de gelegenheid gebruik om de aandacht te vestigen op het feit dat het haar voorkomt dat de traceerbaarheid geoptimaliseerd kan worden door met unieke nummers te werken. Dit zou betekenen dat: aan elk zakje bloed een uniek nummer (niet het identificatienummer van het Rijksregister) wordt gegeven; zowel de verstrekker als de ontvanger van het betrokken zakje aan de hand van een uniek nummer, dat het identificatienummer van het Rijksregister kan zijn, geïdentificeerd wordt. Indien er later een probleem wordt vastgesteld, kunnen de betrokkenen zeer precies geïdentificeerd worden en dus ook snel teruggevonden/ gecontacteerd worden. Andere identificatie-elementen, zoals de naam, de voornaam of de geboortedatum zijn niet uniek terwijl het adres per definitie volatiel is, hetgeen het omslachtiger maakt om de juiste betrokkene te identificeren en vervolgens terug te vinden.".

5 Ber RR 39/2008-5/8 Het Comité besluit dat het gebruik van het identificatienummer, in het licht van de opgegeven doeleinden, in overeenstemming is met artikel 4, 1, 3, WVP. C.2. Ten opzichte van de duur waarvoor het gebruik gevraagd wordt De aanvrager wenst een machtiging voor onbepaalde duur. Het Comité stelt vast dat de erkenning wordt verleend voor een periode van 2 jaar (artikel 2 en 3 van het koninklijk besluit van 4 april 1996). Deze erkenning wordt behouden indien uit inspecties blijkt dat de instelling blijft voldoen aan de erkenningvoorwaarden. Het is niet mogelijk te bepalen hoe lang de aanvrager zijn erkenning zal behouden. In het licht hiervan oordeelt het Comité dat een machtiging van onbepaalde duur gepast is. Zij zal evenwel van rechtswege een einde nemen wanneer de erkenning van de aanvrager niet verlengd of ingetrokken wordt. C.3. Ten opzichte van de bewaringstermijn De aanvrager verstrekte mondeling bijkomende informatie in verband met de bewaringstermijn. Hij vestigt er de aandacht op dat hij op dit punt verplicht is artikel 4, 2 bis, eerste lid, van het koninklijk besluit van 4 april 1996 na te leven. Het verplicht hem alle gegevens die toelaten een bloeddonatie, een eenheid en derivaten ervan te identificeren met het oog op een volledige traceerbaarheid gedurende ten minste 30 jaar en ten hoogste 40 jaar bewaren op een geschikt, uitleesbaar bewaringmedium. Tot de traceerbaarheidgegevens behoort de identificatie van de donor (artikel 4, 2 bis, tweede lid). Rekening houdend met de reglementaire verplichting ter zake stelt het Comité vast dat de vooropgestelde bewaringstermijn conform is aan artikel 4, 1, 5, WVP.

6 Ber RR 39/2008-6/8 C.4. Intern gebruik en/of mededeling aan derden Volgens de aanvraag zal het identificatienummer niet meegedeeld worden aan derden. Het Comité neemt hiervan akte. C.5. Netwerkverbindingen Uit de uitleg verstrekt door de aanvrager leidt het Comité af dat er geen netwerkverbindingen aan de hand van het identificatienummer zullen tot stand komen. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later netwerkverbindingen mochten tot stand komen de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. D. BEVEILIGING D.1. De consulent inzake informatieveiligheid De identiteit van de consulent inzake informatieveiligheid werd meegedeeld. De betrokkene is departementshoofd ICT. Het Comité vestigt er de aandacht op dat de IT-veiligheid een onderdeel is van de informatieveiligheid. Bijgevolg zou de betrokkene als veiligheidsconsulent zichzelf als hoofd van het ICT-departement moeten controleren. Er bestaat in zijnen hoofde dus een onverenigbaarheid. Zoals reeds werd aangestipt is informatieveiligheid ruimer dan IT-veiligheid. Het omvat o.a. ook de fysieke - en omgevingsveiligheid en de beveiliging m.b.t. het personeel. Het is niet duidelijk of de voorgestelde persoon ook die aspecten zal controleren. Het Comité wenst dan ook dat de aanvrager een andere persoon voorstelt voor de functie van veiligheidsconsulent.

7 Ber RR 39/2008-7/8 D.2. Het informatieveiligheidsbeleid Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsbeleid beschikt evenals over een plan in toepassing ervan. Het Comité heeft er akte van genomen. D.3. Personen die het identificatienummer gebruiken en lijst van deze personen Volgens de mondelinge toelichting van de aanvrager zullen het de personen zijn die instaan voor de registratie van de donoren en voor de actualisering van hun dossier die het identificatienummer zullen gebruiken. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Rijksregister en die het identificatienummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens, te bewaren. OM DEZE REDENEN, het Comité 1 machtigt het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed om, met het oog op de doeleinden vermeld in punt B en onder de voorwaarden vermeld in deze beraadslaging, voor opbepaalde duur het identificatienummer van het Rijksregister te gebruiken. Deze machtiging zal evenwel van rechtswege een einde nemen als de erkenning van de aanvrager niet verlengd of ingetrokken wordt. Deze machtiging zal evenwel slechts uitwerking krijgen nadat het Comité op basis van de door het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed verstrekte stukken en inlichtingen heeft vastgesteld dat het een consulent inzake informatieveiligheid heeft aangesteld die de nodige waarborgen biedt;

8 Ber RR 39/2008-8/8 2 bepaalt dat wanneer het Comité aan het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed, een vragenlijst met betrekking tot de informatieveiligheidstatus toestuurt, deze laatste deze lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. Voor de Administrateur m.v., Het Afdelingshoofd ORM, De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon