Gelet op de aanvraag van het Vlaams Zorgfonds ontvangen op 08/08/2016;

Transcriptie

1 1/11 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 85/2016 van 19 oktober 2016 Betreft: Aanvraag van het Vlaams Zorgfonds om ten behoeve van zichzelf en de erkende zorgkassen toegang te krijgen tot informatiegegevens uit het Rijksregister en om het identificatienummer ervan te gebruiken in het kader van de behandeling van de dossiers voor het BasisOndersteuningsBudget (BOB) in de 2 de en in de 3 de fase (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Vlaams Zorgfonds ontvangen op 08/08/2016; Gelet op de bijkomende informatie, laatst ontvangen op 26/09/2016; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 16/09/2016; Gelet op het verslag van de Voorzitter;

2 Beraadslaging RR 85/2016-2/11 Beslist op 19 oktober 2016, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De aanvraag van het Vlaams Zorgfonds, dat door artikel 6 van het decreet van 24 juni 2016 houdende de Vlaamse sociale bescherming (hierna het decreet), van rechtswege wordt omgevormd tot het Agentschap voor Vlaamse Sociale Bescherming, hierna de aanvrager, strekt ertoe om zowel de aanvrager zelf als de erkende zorgkassen 1 te machtigen om toegang te bekomen tot bepaalde informatiegegevens uit het Rijksregister en het identificatienummer ervan te gebruiken in het kader van de behandeling van de dossiers voor het BasisOndersteuningsBudget (hierna BOB) in de 2 de en in de 3 de fase. 2. Hiertoe wenst de aanvrager mededeling te bekomen van de informatiegegevens van het Rijksregister vermeld in artikel 3, eerste lid, 1 (naam en voornaam), 2 (geboortedatum), 3 (geslacht), 5 (hoofdverblijfplaats), 6 (datum van overlijden of, in het geval van een verklaring van afwezigheid, de datum van de overschrijving van de beslissing houdende verklaring van afwezigheid) en 10 (vermelding van het register waarin de betrokken persoon is ingeschreven), WRR, evenals de automatische mededeling van toekomstige wijzigingen aan voormelde gegevens, en het Rijksregisternummer te gebruiken. II. ONDERZOEK VAN DE AANVRAAG 3. Zowel de aanvrager als de erkende zorgkassen werden reeds gemachtigd om toegang te hebben tot een aantal informatiegegevens van het Rijksregister en het Rijksregisternummer te gebruiken in het kader van de behandeling van de dossiers voor het BasisOndersteuningsBudget (hierna BOB) in de 1 ste fase op grond van beraadslaging RR nr. 33/2016 van 22 juni Het Comité merkte in beraadslaging RR nr. 33/2016 van 22 juni 2016 op dat, van zodra de regelgeving BOB wijzigt, een nieuwe beraadslaging, of minstens een aanpassing van beraadslaging RR nr. 33/2016 van 22 juni 2016, zich waarschijnlijk opdringt. Deze regelgeving is ondertussen inderdaad gewijzigd. 1 Er zijn momenteel 6 erkende zorgkassen: Christelijke Mutualiteiten-Zorgkas Vlaanderen, Neutrale Zorgkas Vlaanderen, Zorgkas van de Liberale Ziekenfondsen, Zorgkas van de Onafhankelijke Ziekenfondsen, Zorgkas van de Socialistische Mutualiteiten en de Vlaamse Zorgkas (zie:

3 Beraadslaging RR 85/2016-3/11 5. In de bijkomende informatie heeft de aanvrager er de voorkeur aan gegeven om een volledig nieuwe beraadslaging aan te vragen 2 voor BOB ongeacht de fase (dus een nieuwe beraadslaging die zowel fase 1, 2 als 3 zou dekken en waarbij tegelijk de oorspronkelijke beraadslaging BOB fase 1 toegekend bij beraadslaging RR nr. 33/2016 van 22 juni 2016 zou worden opgeheven), aangezien er sprake is van: -vernieuwde wetgeving BOB (op het moment van de oorspronkelijke beraadslaging maakte BOB fase 1 nog geen deel uit van de Vlaamse Sociale Bescherming, wat nu wel het geval is met het decreet); -verruiming van de doelgroep BOB (fase 2 slaat op minderjarige BOB-gerechtigden); -toegang tot een bijkomende gegevensbron (de Federale Overheidsdienst Sociale Zekerheid, Directie-generaal Personen met een handicap is een bijkomende gegevensbron voor BOB-gerechtigden). 6. Samengevat: de aanvrager wenst met huidige aanvraag een nieuwe machtiging die in de plaats komt van de machtiging RR nr. 33/2016 van 22 juni Het onderzoek van het Comité kan zich er bijgevolg toe beperken na te gaan of: -het nagestreefde doeleinde waarvoor onderhavige mededeling en het gebruik worden gevraagd welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP en artikel 5, tweede lid, WRR; -de mededeling van de gevraagde gegevens en het gebruik van het Rijksregisternummer toereikend, ter zake dienend en niet overmatig zijn in het licht van dit doeleinde (artikel 4, 1, 3, WVP). 8. Onderhavige beraadslaging heeft slechts betrekking op de gegevens uit het Rijksregister en het gebruik van het Rijksregisternummer. Uit de aanvraag blijkt dat voor het doel dat voorligt ook persoonsgegevens uit andere bronnen nodig zijn. Voor fase 1 van het BOB worden zowel BOB-gerechtigden als personen die niet rechtstreeks toegankelijke hulp (nrth) krijgen, en die dus geen recht (meer) hebben op het BOB aangeleverd door het VAPH. Voor fase 2 van het BOB is het bronsysteem in beheer van de Integrale Toegangspoort voor de minderjarige BOB-gerechtigden. En het VAPH is voor dezelfde categorie personen de leverancier van de nrth gegevens. Voor fase 3 van het BOB is er een bijkomende gegevensbron voor BOBgerechtigden, namelijk de Federale Overheidsdienst Sociale Zekerheid, Directie-generaal 2 De oorspronkelijke beraadslaging daarentegen uitbreiden met een fase 2 en 3 zou als nadeel hebben dat de oorspronkelijke beraadslaging BOB fase 1 zou blijven bestaan, terwijl de wetgeving waarnaar het refereert is veranderd, gezien die fase 1 thans ook deel uitmaakt van de Vlaamse Sociale Bescherming.

4 Beraadslaging RR 85/2016-4/11 Personen met een handicap, waarbij er ook moet gecontroleerd worden of de personen niet voorkomen in de lijst van nrth aangeleverd door VAPH. Voor deze fase 3 worden er gegevens opgehaald via de KSZ. De aanvrager en de zorgkassen zullen voor het aanspreken van die bronnen zorgen dat zij behoorlijk gemachtigd zijn/worden door de bevoegde toezichthouder (in casu de Vlaamse Toezichtcommissie voor wat betreft de gegevens uit VAPH en de Integrale Toegangspoort en het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid voor wat betreft de gegevens uit de Federale Overheidsdienst Sociale Zekerheid, Directie-generaal Personen met een handicap 3 ). A. DOELEINDE 9. Het decreet plaatst BOB als een aparte pijler binnen de Vlaamse sociale bescherming. In het decreet, alsook in een besluit van de Vlaamse regering van 14 oktober 2016 houdende de uitvoering van het decreet van 24 juni 2016 houdende de Vlaamse sociale bescherming, worden de tweede fase van het BOB, die zal ingaan op 1 januari 2017 en de derde fase van het BOB, die zal ingaan op 1 september 2017 geregeld en wordt de eerdere regeling van de eerste fase van het BOB zonder wijzigingen overgenomen. 10. De persoonsgegevens zouden worden aangewend voor de behandeling van de dossiers BOB waarvoor de aanvrager en de zorgkassen verantwoordelijk zijn en voor de controle op de toepassing van de hogervermelde wettelijke en reglementaire bepalingen, waaronder het voldoen aan de rapporteringsplicht van de aanvrager in het kader van zijn controlefunctie op de zorgkassen. 11. In hoofde van de aanvrager zijn de persoonsgegevens noodzakelijk voor de identificatie van de betrokkenen en voor het verwerken van de gegevens die in de centrale applicatie van de aanvrager ingebracht worden. De persoonsgegevens zijn ook noodzakelijk om te kunnen communiceren met betrokkenen (diegenen die geen lid zijn van een zorgkas zullen immers aangeschreven worden door de aanvrager met de vraag om alsnog aan te sluiten bij een zorgkas). 12. In hoofde van de zorgkassen zijn de persoonsgegevens noodzakelijk voor het behandelen, beslissen en uitbetalen van de dossiers BOB van de leden van de respectieve zorgkassen. 13. Gelet op wat voorafgaat stelt het Comité vast dat het door de aanvrager en de erkende zorgkassen beoogde doeleinde welbepaald en uitdrukkelijk omschreven is (artikelen 4, 1, 2, WVP en artikel 5, tweede lid, WRR). 3 Volgens de aanvrager werd hiervoor reeds een dossier ingeleid bij het desbetreffende comité.

5 Beraadslaging RR 85/2016-5/11 B. PROPORTIONALITEIT B.1. Ten overstaan van de gegevens 14. De aanvrager en de zorgkassen vragen mededeling te bekomen van de informatiegegevens vermeld in artikel 3, eerste lid, 1 (naam en voornaam), 2 (geboortedatum), 3 (geslacht), 5 (hoofdverblijfplaats), 6 (datum van overlijden of, in het geval van een verklaring van afwezigheid, de datum van de overschrijving van de beslissing houdende verklaring van afwezigheid) en 10 (vermelding van het register waarin de betrokken persoon is ingeschreven), WRR, evenals de automatische mededeling van toekomstige wijzigingen aan voormelde gegevens. 15. De naam en de voornamen zijn noodzakelijke persoonsgegevens om de rechthebbende BOB te identificeren en om de dossiers BOB te identificeren, en om op een correcte manier te kunnen communiceren met deze personen. 16. De geboortedatum is een noodzakelijk persoonsgegeven om de dossiers BOB te identificeren. In de derde fase van BOB moet de zorgkas kunnen nagaan of de persoon niet ouder dan 25 jaar is. 17. Het geslacht is een noodzakelijk persoonsgegeven om de personen met een dossier BOB met een correcte aanspreektitel te kunnen aanspreken en aanschrijven. Kennis van het geslacht van deze personen laat toe een meer persoonlijke communicatie met deze persoon te houden. 18. De hoofdverblijfplaats is een noodzakelijk persoonsgegeven om de dossiers BOB te identificeren. De hoofdverblijfplaats is ook een noodzakelijk persoonsgegeven om de betrokken personen te kunnen aanschrijven. 19. De datum van het overlijden is een noodzakelijk persoonsgegeven om te bepalen tot wanneer iemand recht heeft of had op de tegemoetkoming. Als er na het overlijden nog tegemoetkomingen zouden uitbetaald zijn, is de overlijdensdatum nodig om te bepalen welke onterecht uitbetaalde tegemoetkomingen teruggevorderd moeten worden. 20. Enkel personen die in het bevolkingsregister of in het vreemdelingenregister ingeschreven zijn, kunnen bij de Vlaamse sociale bescherming aansluiten en hebben recht op een BOB. Personen die in een ander register ingeschreven zijn, kunnen geen recht hebben op een BOB (tenzij ze niet in Vlaanderen of Brussel wonen en Belgisch sociaal verzekerd zijn). De

6 Beraadslaging RR 85/2016-6/11 vermelding van het register waarin de persoon is ingeschreven, is dus nodig. Vanaf 1 januari 2017 kunnen personen die ingeschreven zijn in het wachtregister ook tot de leeftijd van 18 jaar tegemoetkomingen van de Vlaamse sociale bescherming ontvangen. 21. De aanvrager wenst tevens de eventuele wijzigingen van voormelde gegevens te ontvangen. De toegang tot de wijzigingen (mutaties) van deze persoonsgegevens verbonden aan de Rijksregisternummers van de dossiers BOB is noodzakelijk zodat de dossierbeheerders de persoon op een correcte manier kunnen aanschrijven en om uit te kunnen maken of er al dan niet een herziening nodig is van het dossier BOB ingevolge deze wijziging. 22. Opdat de automatische mededeling van deze wijzigingen proportioneel zou verlopen, moet deze mededeling beperkt zijn tot de personen m.b.t. dewelke de aanvrager en de zorgkassen over een actief dossier beschikken. Dit vereist het werken met een verwijzingsrepertorium. De aanvrager zal hiervoor beroep doen op Smals. 23. Het Comité oordeelt dat een toegang tot de gevraagde informatiegegevens, evenals de automatische mededeling van toekomstige wijzigingen aan deze gegevens, proportioneel, terzake dienend en niet overmatig is, gelet op het nagestreefde doeleinde (artikel 4, 1, 3,WVP). B.2. Ten overstaan van het Rijksregisternummer 24. De aanvrager en de erkende zorgkassen wensen het Rijksregisternummer van de betrokkenen te verwerken. 25. Het Rijksregisternummer is noodzakelijk als uniek sleutelgegeven voor de creatie, identificatie en beheer van de dossiers BOB. Het Rijksregisternummer is ook de basis voor de consultatie van de benodigde persoonsgegevens om een dossier BOB te kunnen behandelen en beheren. Ook voor het ontvangen van de mutaties voor de benodigde persoonsgegevens van de houders van een BOB-dossier is het Rijksregisternummer onontbeerlijk. 26. Het Comité neemt akte van het feit dat de erkende zorgkassen enkel het Rijksregisternummer zullen gebruiken van hun eigen leden. 27. Het Comité is bijgevolg van oordeel dat het voorgenomen gebruik van het Rijksregisternummer, in het licht van het opgegeven doeleinde, in overeenstemming is met artikel 4, 1, 3, WVP.

7 Beraadslaging RR 85/2016-7/11 B.3. Ten overstaan van de toegang 28. De aanvrager wenst een permanente toegang. Daar er op constante basis moet kunnen worden geoordeeld over het al dan niet toekennen van het BOB, moet kunnen uitbetaald worden, moet kunnen gecontroleerd worden, dienen de aanvrager en de erkende zorgkassen op elk ogenblik toegang te kunnen hebben tot de gevraagde informatiegegevens. 29. Het Comité is dan ook van oordeel dat een permanente toegang gepast is (artikel 4, 1, 3, WVP). 30. De aanvrager wenst een machtiging voor onbepaalde duur. 31. Het Comité stelt vast dat de regelgeving inzake het BOB niet in de tijd beperkt is. In het licht hiervan is een machtiging voor onbepaalde duur verantwoord (artikel 4, 1, 3, WVP). 32. Het decreet is nog niet in werking getreden. Het zal per 01/01/2017 in werking treden 4. Rekening houdend hiermee bepaalt het Comité dat deze machtiging slechts uitwerking zal krijgen vanaf voormelde datum. 33. De aanvrager staat in voor de erkenning van zorgkassen, de verlening en desgevallend de intrekking van de erkenning. Indien de erkenning van een zorgkas een einde neemt of wordt ingetrokken, moet de aanvrager het Comité hiervan onmiddellijk schriftelijk informeren. In dat geval zal de door deze beraadslaging verleende machtiging in hoofde van de betrokken zorgkas een einde nemen en zal dit vermeld worden op de website van de Commissie voor de bescherming van de persoonlijke levenssfeer. B.4. Ten overstaan van de bewaringstermijn 34. De aanvrager meldt dat de persoonsgegevens worden bijgehouden voor alle dossiers BOB. Deze persoonsgegevens worden bijgehouden tot 5 jaar na het einde van het BOB of na het einde van het budget voor niet rechtstreeks toegankelijke hulpverlening. De zorgkassen kunnen tot maximum 5 jaar met terugwerkende kracht tegemoetkomingen terugvorderen of bijbetalen. De gegevens moeten dus beschikbaar zijn tot 5 jaar na het einde van het BOB of het einde van het budget voor niet rechtstreeks toegankelijke hulp. 4 Artikel 217 van het besluit van de Vlaamse regering van 14 oktober 2016 houdende de uitvoering van het decreet van 24 juni 2016 houdende de Vlaamse sociale bescherming.

8 Beraadslaging RR 85/2016-8/ Het Comité stelt vast dat een dergelijke bewaringstermijn conform is aan artikel 4, 1, 5, WVP. B.5. Intern gebruik en/ of mededeling aan derden 36. In de aanvraag wordt vermeld dat de aanvrager en de erkende zorgkassen de informatiegegevens uit het Rijksregister en het Rijksregisternummer enkel intern zullen gebruiken en dus niet zullen meedelen aan derden. Het Comité neemt er akte van. B.6. Netwerkverbindingen 37. De aanvraag maakt geen melding van netwerkverbindingen. Het Comité neemt hiervan akte. 38. Het Comité vestigt er volledigheidshalve de aandacht op dat: - indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moeten brengen; - het Rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. C. BEVEILIGING C.1. Consulent inzake informatiebeveiliging 39. De identiteit van de consulenten inzake informatiebeveiliging bij de aanvrager en de erkende zorgkassen werd meegedeeld. Het Comité neemt er akte van. C.2. Het informatiebeveiligingsbeleid 40. Uit de door de aanvrager meegedeelde documenten blijkt dat, zowel zijzelf, als de erkende zorgkassen over een informatiebeveiligingsbeleid beschikken. Het Comité neemt er akte van.

9 Beraadslaging RR 85/2016-9/11 C.3. Personen die toegang hebben tot de gegevens en het Rijksregisternummer mogen gebruiken en de lijst van deze personen 41. Volgens de aanvraag zullen de informatiegegevens en het Rijksregisternummer enkel gebruikt worden door de personeelsleden van de aanvrager en van de erkende zorgkassen die belast zijn met het behandelen van de BOB-dossiers. 42. De aanvrager en de zorgkassen moeten, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Rijksregister en die het nummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. 43. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren. 44. Het Comité vereist daarenboven dat de aanvrager en de erkende zorgkassen de noodzakelijke maatregelen nemen zodat elke raadpleging van het Rijksregister wordt geregistreerd (wie heeft toegang gehad tot wat, wanneer en waarom) en dat deze loggings worden bewaard gedurende 10 jaar. OM DEZE REDENEN Het Comité 1 machtigt het Agentschap voor Vlaamse Sociale Bescherming; de Vlaamse Zorgkas; de Zorgkas van de Liberale Mutualiteiten; MOB Neutrale Zorgkas Vlaanderen; MOB Onafhankelijke Ziekenfondsen Zorgkas Vlaanderen; MOB CM Zorgkas Vlaanderen; De Zorgkas van de Socialistische Mutualiteiten;

10 Beraadslaging RR 85/ /11 om voor het doeleinde vermeld in punt A en onder de voorwaarden bepaald in deze beraadslaging voor onbepaalde duur met ingang van 01/01/2017: - op permanente wijze toegang te hebben tot de informatiegegevens van het Rijksregister vermeld in artikel 3, eerste lid, 1 (naam en voornaam), 2 (geboortedatum), 3 (geslacht), 5 (hoofdverblijfplaats), 6 (datum van overlijden of, in het geval van een verklaring van afwezigheid, de datum van de overschrijving van de beslissing houdende verklaring van afwezigheid) en 10 (vermelding van het register waarin de betrokken persoon is ingeschreven), WRR, evenals de automatische mededeling van toekomstige wijzigingen aan voormelde gegevens; - het Rijksregisternummer te gebruiken; Indien de erkenning van een zorgkas een einde neemt of wordt ingetrokken, moet het Agentschap voor Vlaamse Sociale Bescherming het Comité hiervan onmiddellijk schriftelijk informeren. De door deze beraadslaging verleende machtiging neemt in hoofde van een zorgkas van rechtswege een einde vanaf het ogenblik van het einde of van de intrekking van de erkenning. Hiervan zal melding worden gemaakt op de website van de Commissie voor de bescherming van de persoonlijke levenssfeer bij deze beraadslaging. 2 bepaalt dat indien het Agentschap voor Vlaamse Sociale Bescherming op een latere datum een andere dan de hiervoor vermelde zorgkassen erkent, deze zorgkas kan toetreden tot deze beraadslaging nadat het Comité aan de hand van haar bezorgde documenten heeft vastgesteld dat deze zorgkas over een consulent inzake informatiebeveiliging en een adequaat informatiebeveiligingsbeleid beschikt. Deze zorgkas zal worden vermeld op een lijst die op de website van de Commissie voor de bescherming van de persoonlijke levenssfeer zal worden gepubliceerd, samen met deze beraadslaging; 3 bepaalt dat deze beraadslaging de beraadslaging RR nr. 33/2016 van 22 juni 2016 vervangt; deze laatste wordt bij deze opgeheven met ingang van 01/01/2017; 4 bepaalt dat bij iedere latere wijziging in de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die via de vragenlijst betreffende de informatiebeveiliging aan het Comité werden verstrekt (aanduiding van een consulent inzake informatiebeveiliging en antwoorden op vragen betreffende organisatie van de beveiliging), het Agentschap voor Vlaamse Sociale Bescherming en de erkende zorgkassen een nieuwe, naar waarheid ingevulde vragenlijst betreffende de informatiebeveiliging aan het Comité moet toesturen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren;

11 Beraadslaging RR 85/ /11 5 bepaalt eveneens dat wanneer het Comité het Agentschap voor Vlaamse Sociale Bescherming en de erkende zorgkassen een vragenlijst stuurt over informatiebeveiliging, die vragenlijst volledig en naar waarheid moet worden ingevuld en naar het Comité teruggestuurd. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon