van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;

Transcriptie

1 1/8 Sectoraal comité van het Rijksregister Beraadslaging RR nr 98/2014 van 19 november 2014 Betreft: Aanvraag van de Nationale Bank van België (NBB) om toegang te krijgen tot het Rijksregister en het Rijksregisternummer te gebruiken voor het beheer van de aanvragen voor toegang tot het centraal aanspreekpunt dat wordt gehouden overeenkomstig artikel 322 van het wetboek van de inkomstenbelastingen (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de NBB ontvangen op 09/10/2014; Gelet op de bijkomende informatie, ontvangen op 16/10/2014; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 21/10/2014;

2 Beraadslaging RR 98 /2014-2/8 Gelet op het verslag van de Voorzitter; Beslist op 19 november 2014, na beraadslaging, als volgt: I. ONDERWERP VAN DE AANVRAAG 1. De Nationale Bank van België (NBB), hierna "de aanvrager" vraagt een machtiging om toegang te krijgen tot het Rijksregister en om het Rijksregisternummer te gebruiken voor het beheer van de aanvragen voor toegang tot het centraal aanspreekpunt dat wordt gehouden overeenkomstig artikel 322 van het wetboek van de inkomstenbelastingen (WIB).. II. ONDERZOEK VAN DE AANVRAAG 2. De aanvrager werd bij koninklijk besluit van 5 februari 1990 gemachtigd om toegang te hebben tot de informatiegegevens vermeld in artikel 3, eerste lid, 1 tot 5 en 2 de lid van de WRR alsook om het Rijksregisternummer te gebruiken uitsluitend voor het uitvoeren van taken waarmee zij is belast overeenkomstig de wets- en verordeningsbepalingen betreffende de registratie van kredieten, leningen en afbetalingscontracten. Bij beraadslaging RR nr. 37/2005 werd de machtiging van de aanvrager uitgebreid tot het doeleinde beheer van het Bestand van de niet-gereglementeerde registraties". 3. Het koninklijk besluit van 3 februari machtigt de aanvrager om toegang te hebben tot het Rijksregister voor de correcte registratie van de betrokkenen in het centraal aanspreekpunt. De aldus verleende toegang is evenwel slechts tijdelijk aangezien hij een einde neemt op 31 december van dit jaar. Daarom vraagt de aanvrager de huidige uitbreiding. 4. Bijgevolg kan het Comité er zich bij zijn huidig onderzoek toe beperken na te gaan of: het doeleinde waarvoor thans toegang tot het Rijksregister wordt gevraagd welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is, zoals bedoeld in artikel 4, 1, 2 van de WVP en artikel 5, tweede lid van de WRR, en of de machtiging dus kan worden uitgebreid tot dit doeleinde; de informatiegegevens waartoe toegang wordt gevraagd proportioneel zijn in het licht van het beoogde doeleinde. 1 KB van 3 februari 2014 waarbij de Nationale Bank van België en de bank-, wissel-, krediet- en spaarinstellingen bedoeld in artikel 322 van het Wetboek van de inkomstenbelastingen 1992, gemachtigd worden tijdelijk toegang te hebben tot het Rijksregister van de natuurlijke personen

3 Beraadslaging RR 98 /2014-3/8 A. DOELEINDE 5. Op grond van artikel 4 WVP vormen de informatiegegevens en het identificatienummer van het Rijksregister persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. 6. De aanvrager wenst het Rijksregister te raadplegen voor het beheer van de aanvragen voor toegang tot het centraal aanspreekpunt dat wordt gehouden overeenkomstig artikel 322 van het WIB. Hij zal er zodoende op toezien dat de betrokkenen eenduidig worden geïdentificeerd en dat het antwoord verzonden wordt aan het adres van hun hoofdverblijfplaats. 7. De klanten van de bankinstellingen beschikken krachtens artikel 17 van het KB van 17 juli over een toegang tot het centraal aanspreekpunt. Deze bepaling voorziet dat de lijst van de in het centraal aanspreekpunt geregistreerde gegevens aangaande de cliënt door de Nationale Bank van België kosteloos op zijn adres wordt verzonden zoals opgegeven in het Rijksregister van de natuurlijke personen of, bij ontstentenis ervan, op het adres vermeld op het door de cliënt voorgelegd officieel identiteitsdocument. 8. De Nationale Bank zal de gegevens van het Rijksregister niet alleen gebruiken om het adres van de hoofdverblijfplaats van de persoon te kennen maar eveneens om zich te verzekeren van de eenduidige identificatie van de persoon die zijn recht op toegang tot het centraal aanspreekpunt wenst uit te oefenen aangezien sommige klanten in het centraal aanspreekpunt mogelijk enkel geregistreerd werden met hun naam, voornaam, geboorteplaats en datum. Ingeval van twijfel met betrekking tot de identificatie van de persoon zal de Nationale Bank geen gegevens meedelen. 9. De voormelde verwerkingen vormen dus voor de aanvrager de uitvoering van wettelijke opdrachten die hem werden toevertrouwd door artikel 322, 3 van het WIB en door artikel 17 van voormeld KB van 17 juli De verwerkingen zijn bijgevolg rechtmatig in de zin van artikel 5, eerste lid, e) van de WVP. De beoogde doeleinden zijn overigens welbepaald, uitdrukkelijk omschreven en gerechtvaardigd in de zin van artikel 4, 1, 2 van de WVP en artikel 5, 2 de lid van de WRR. 2 KB van 17/07/2013 betreffende de werking van het centraal aanspreekpunt bedoeld in artikel 322, 3, van het WIB

4 Beraadslaging RR 98 /2014-4/8 B. PROPORTIONALITEIT 1. Betreffende de gegevens 10. De aanvrager wenst toegang te krijgen tot de informatiegegevens van het Rijksregister, vermeld in artikel 3, eerste lid, 1, 2 en 5 van de WRR, betreffende de personen die hun recht op toegang tot het centraal aanspreekpunt uitoefenen, namelijk: naam en voornamen; geboorteplaats en -datum; hoofdverblijfplaats. 11. Het Comité stelt vast dat deze gegevens de aanvrager zullen toelaten een correcte briefwisseling te voeren met de betrokkenen en, in geval van niet-registratie van het Rijksregisternummer van een persoon in het centraal aanspreekpunt, te controleren of deze persoon wel degelijk eenduidig in het Rijksregister werd geïdentificeerd aan de hand van zijn naam, voornamen, geboorteplaats en datum. 12. Gelet op de door de aanvrager beoogde doeleinden is de gevraagde toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 1, 2, en 5 dus conform artikel 4, 1, 3 van de WVP. 2. Betreffende het Rijksregisternummer 13. De aanvrager wenst het Rijksregisternummer te gebruiken als zoeksleutel in het Rijksregister om het voormelde doeleinde te verwezenlijken. 14. Het Comité stelt vast dat een dergelijk gebruik van het Rijksregisternummer reeds gedekt is door het koninklijk besluit van 24 november 2010 tot vastlegging van de gevallen waarin een machtiging tot gebruik van het identificatienummer van het Rijksregister niet vereist is. Krachtens dit koninklijk besluit mogen overheden die gemachtigd zijn om het Rijksregister te raadplegen intern het identificatienummer opslaan waaronder de natuurlijke personen over wie ze informatie raadplegen, ingeschreven staan in het Rijksregister. 15. Gelet op wat voorafgaat is het geplande gebruik van het Rijksregisternummer in het licht van het beoogde doeleinde conform artikel 4, 1, 3 van de WVP. 3. Betreffende de frequentie van de toegang en de duur van de machtiging

5 Beraadslaging RR 98 /2014-5/8 16. De aanvrager wenst een machtiging voor onbepaalde duur aangezien door de wetgever geen enkele beperking in de tijd werd bepaald voor de opdracht van beheer van het centraal aanspreekpunt. 17. Het Comité stelt vast dat een machtiging van onbepaalde duur bijgevolg gepast is (artikel 4, 1, 3 van de WVP). 18. De aanvrager wenst een permanente toegang tot de gevraagde gegevens zodat hij toegang kan hebben tot de gegevens telkens dit nodig is voor de uitvoering van zijn opdrachten. 19. Het Comité stelt vast om punctuele aanvragen van personen die hun recht op toegang tot het centraal aanspreekpunt uitoefenen te kunnen beantwoorden, een permanente toegang tot de gegevens van het Rijksregister gepast is (artikel 4, 1, 3 van de WVP ). 4. Betreffende de bewaringstermijn 20. Het Comité herinnert eraan dat de gegevens niet langer mogen bewaard worden dan nodig is om de doeleinden te verwezenlijken waarvoor zij werden ingezameld (artikel 4, 1, 5 van de WVP). 21. De aanvrager verduidelijkte dat de resultaten van de raadplegingen van het Rijksregister gedurende 8 jaar zullen bewaard worden als bewijs dat de identificatieprocedures door het personeel van de aanvrager correct werden uitgevoerd. 22. Artikel 7 van het KB van 17 juli 2013 bepaalt dat de aan het centraal aanspreekpunt meegedeelde gegevens gedurende 8 jaar zullen bewaard worden. Bijgevolg oordeelt het Comité dat de door de aanvrager vooropgestelde bewaringstermijn voor de gegevens van het Rijksregister conform artikel 4, 1, 5 van de WVP is. 5. Intern gebruik en/of mededeling aan derden 23. De gevraagde gegevens zullen door de aanvrager uitsluitend intern gebruikt worden voor het verwezenlijken van het voormelde doeleinde. 24. Het Comité neemt hiervan akte.

6 Beraadslaging RR 98 /2014-6/8 6. Netwerkverbindingen 25. Uit de aanvraag blijkt dat er geen enkele netwerkverbinding tot stand komt op basis van het Rijksregisternummer. 26. Volledigheidshalve benadrukt het Comité dat: indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het Rijksregisternummer in ieder geval slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. C. BEVEILIGING 1. Consulent inzake informatiebeveiliging 27. De identiteit van de consulent inzake informatiebeveiliging werd niet meegedeeld. 28. Artikel 10 van de WRR verplicht iedere instantie die toegang verkrijgt tot of mededeling van gegevens van het Rijksregister een consulent inzake informatiebeveiliging aan te duiden. Een consulent inzake informatiebeveiliging moet in alle onafhankelijkheid de informatiebeveiliging kunnen beoordelen. 29. De door de aanvrager aangeduide consulent inzake informatiebeveiliging moet aan het Comité meegedeeld worden aan de hand van het behoorlijk en naar waarheid ingevuld ad hoc formulier dat beschikbaar is op de website van de Commissie. 2. Informatiebeveiligingsbeleid 30. Inzake het informatiebeveiligingsbeleid deelde de aanvrager geen enkele informatie mee. 31. Het Comité wenst hierover door de aanvrager geïnformeerd te worden aan de hand van het behoorlijk en naar waarheid ingevuld ad hoc formulier dat beschikbaar is op de website van de Commissie.

7 Beraadslaging RR 98 /2014-7/8 3. Personen die toegang hebben tot de gegevens en het identificatienummer zullen gebruiken 32. De personeelsleden van de afdeling "centraal aanspreekpunt" van de centrale voor kredieten van de aanvrager zullen toegang hebben tot het Rijksregister en het Rijksregisternummer gebruiken bij het uitoefenen van hun functies. De aanvrager verduidelijkte dat dit momenteel een team van 4 personen betreft die instaan voor de werking van het centraal aanspreekpunt en het antwoorden aan personen die hun recht op toegang uitoefenen. 33. Zoals voorgeschreven door artikel 12 van de WRR dient de aanvrager een lijst op te stellen van de personen die toegang krijgen tot de gegevens van het Rijksregister. Deze lijst moet voortdurend bijgewerkt en ter beschikking van het Comité gehouden worden. 34. Het Comité onderstreept overigens dat ongeacht de persoon die intern over een toegang tot het Rijksregister beschikt, de aanvrager de nodige procedures moet invoeren opdat voor elke raadpleging van het Rijksregister het dossier geregistreerd wordt in het raam waarvan de raadpleging plaatsvond zodat nadien kan nagegaan worden of hiervoor een geldige reden voorhanden was. OM DEZE REDENEN Het Comité 1 machtigt de aanvrager voor het verwezenlijken van de onder punt A vermelde doeleinden en onder de in onderhavige beraadslaging vastgestelde voorwaarden, voor onbepaalde duur te beschikken over een permanente toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 1, 2 en 5 van de WRR; Onderhavige machtiging zal evenwel slechts in werking treden nadat het Comité op basis van door de aanvrager verstrekte documenten en inlichtingen heeft vastgesteld dat: een consulent inzake informatiebeveiliging werd aangeduid die de nodige waarborgen biedt (punt C.1.); een passend informatiebeveiligingsbeleid werd geïmplementeerd (punt C.2.). 2 stelt vast dat de aanvrager op basis van voormeld koninklijk besluit van 24 november 2011 gemachtigd is om het Rijksregisternummer als zoeksleutel in het Rijksregister te gebruiken;

8 Beraadslaging RR 98 /2014-8/8 3 bepaalt dat bij iedere latere wijziging in de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die via de vragenlijst betreffende de informatiebeveiliging aan het Comité werden verstrekt (aanduiding van een consulent inzake informatiebeveiliging en antwoorden op vragen betreffende de organisatie van de beveiliging), de aanvrager een nieuwe, naar waarheid ingevulde vragenlijst betreffende de informatiebeveiliging aan het Comité moet toesturen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren; 4 bepaalt eveneens dat wanneer het Comité de aanvrager een vragenlijst stuurt over informatiebeveiliging, die vragenlijst volledig en naar waarheid moet worden ingevuld en naar het Comité teruggestuurd. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De Wnd. Administrateur, De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon