1/9 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 93/2016 van 7 december 2016 Betreft: aanvraag van de sociale huisvestingsmaatschappij regio Bergen "Toit & Moi" tot uitbreiding van de Beraadslaging RR nr. 79/2012 van 26 september 2012 (RN-MA-2016-282) Het Sectoraal comité van het Rijksregister (hierna "het comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis ; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer ; Gelet op de aanvraag van de sociale huisvestingsmaatschappij - regio Bergen Toit et Moi ontvangen op 21 oktober 2016; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 7 november 2016; Gelet op het verslag van de Voorzitter; Beslist op 7 december 2016, na beraadslaging, als volgt:
Beraadslaging RR 93/2016-2/9 I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. De Sociale huisvestingsmaatschappij regio Bergen "Toit & Moi", hierna de aanvrager, werd al gemachtigd krachtens de Beraadslaging RR nr. 79/2012 van 26 september 2012 om permanent toegang te hebben tot de informatiegegevens bedoeld onder artikel 3, eerste lid, 1 tot 6 (niet de geboorteplaats en de plaats van overlijden), 8, 9 en 13 van de WRR naam en voornamen, geboortedatum en datum van overlijden, geslacht, nationaliteit, hoofdverblijfplaats, burgerlijke staat, gezinssamenstelling en wettelijke samenwoning), met inbegrip van de historiek van de wijzigingen aan de hoofdverblijfplaats tot 3 jaar voorafgaand aan de datum van raadpleging en aan de gezinssamenstelling tot 1 jaar voorafgaand aan de raadpleging. 2. De aanvrager wil de machtiging, verleend bij Beraadslaging RR nr. 79/2012 uitbreiden met een nieuw doeleinde, met name instaan voor het beheer van de vroegere huurders. 3. De Beraadslaging RR. nr. 79/2012 voorziet immers maar in twee doeleinden: - de nodige verificaties uitvoeren voor het beheer en toekenning van sociale huisvesting; - statistieken verstrekken over de dagelijkse taken van de aanvrager. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 4. Overeenkomstig artikel 3, 1ste lid, 3 en artikel 3 van de WRR, verleent het Comité machtiging om toegang te hebben tot de informatie bepaald in artikel 3, eerste en tweede lid van de WRR, of om er mededeling van te krijgen en het identificatienummer van het Rijksregister te gebruiken: aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. (Artikel 5, 1ste lid, 2 van de WRR) 5. De aanvrager is een burgerlijke vennootschap onder de vorm van een coöperatieve vennootschap met beperkte aansprakelijkheid met als sociaal doel:
Beraadslaging RR 93/2016-3/9 beheer en verhuren van sociale woningen en gelijkgestelde woningen, middelen, instroom en uitstroom volgens de modaliteiten en voorwaarden vastgesteld door de Regering van het Waalse Gewest; opvang van kandidaat-huurders en huurders evenals hun sociale begeleiding (uittreksel uit de statuten van de aanvragers, gepubliceerd in de bijlagen van het Belgisch Staatsblad op datum van 20 juli 2007). 6. De aanvrager is een rechtspersoon van publiek recht zoals bedoeld in de artikelen 130 en 131 van de Waalse Huisvestingscode en moet dus de opdrachten vervullen, vastgesteld in het Besluit van de Waalse Regering van 6 september 2007 tot organisatie van de verhuur van woningen beheerd door de Waalse huisvestingsmaatschappij of de openbare huisvestingsmaatschappijen. 7. Uit wat voorafgaat blijkt dat voorliggende aanvraag om toegang te hebben tot het Rijksregister en om het rijksregisternummer te gebruiken, ontvankelijk is. A.2. Wet van 8 december 1992 (WVP) 8. De informatiegegevens en het rijksregisternummer zijn persoonsgegevens. Artikel 4, 1, 2 van de WVP vereist van iedere verantwoordelijke voor de verwerking dat hij uitsluitend persoonsgegevens verzamelt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. B. DOELEINDEN 9. Het doeleinde is instaan voor het beheer van de huurgeschillen en de terugbetaling van verschuldigde bedragen aan vroegere huurders. 10. De huisvestingsmaatschappijen moeten in het kader van hun opdrachten van openbare dienstverlening inderdaad woningen verhuren en beheren. Daartoe moeten zij de verschuldigde bedragen recupereren bij huurders die uit de woning zijn vertrokken of hen de nog verschuldigde bedragen terugbetalen. 11. Het valt regelmatig voor dat huurders die met schulden hun woning verlaten hun nieuwe adres niet aan de aanvrager doorgeven. Bijgevolg verloopt het innen van de verschuldigde bedragen moeilijk. De aanvrager moet dan een gerechtsdeurwaarder verzoeken om opzoekingen te doen wat een niet te verwaarlozen kost met zich meebrengt, die soms hoger is dan de te recupereren som.
Beraadslaging RR 93/2016-4/9 12. Ook moeten bepaalde huurders die het pand hebben verlaten nog bedragen terug krijgen van de maatschappij (regularisering van de lasten, huurwaarborgen,...). Zonder gekend adres kunnen die sommen soms niet terugbetaald worden. 13. Uit wat voorafgaat blijkt dat de beoogde doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn als bedoeld in artikel 4, 1, 2 van de WVP. C. PROPORTIONALITEIT C.1 Betreffende de gegevens 14. De aanvrager wenst toegang tot de gegevens bedoeld onder artikel 3, 1, 5 en 6 van de WRR van de personen die huurder zijn geweest bij de maatschappij en die schuldenaren zijn van de aanvrager of die terugbetaald moeten worden, met name: - naam en voornamen; - hoofdverblijfplaats; - datum van overlijden. 15. De gegevens "naam en voornamen" zijn noodzakelijk om de vroegere huurder te identificeren. 16. Het gegeven "hoofdverblijfplaats" is noodzakelijk om met de vroegere huurder te kunnen corresponderen. 17. Het gegeven "datum van overlijden" is noodzakelijk om na te gaan of de vertrokken huurder overleden is. 18. Naast een toegang tot die gegevens, verlangt de aanvrager een automatische mededeling tussen hem en het Rijksregister zodat hij automatisch iedere wijziging ontvangt aan de gegevens vermeld onder artikel 3, 1ste lid, 5 van de WRR. De aanvrager rechtvaardigt dit verzoek met te stellen dat het dan mogelijk is om een duurzame briefwisseling op te starten met de vroegere huurders als er sprake is van opeenvolgende adreswijzigingen. 19. Het Comité wijst de aanvrager erop dat hij, om van deze functionaliteit te kunnen genieten, moet beschikken over een verwijzingsrepertorium. Dit repertorium dient als filter opdat de aanvrager slechts de informatie zou ontvangen die relevant is voor de behandeling van zijn dossiers. Het Comité stelt evenwel dat de aanvrager niet noodzakelijk zelf moet instaan voor
Beraadslaging RR 93/2016-5/9 het oprichten van dit verwijzingsrepertorium. Hij kan zich integreren in een bestaand repertorium van een dienstenintegrator. 20. Het Comité is van oordeel dat de gevraagde toegang tot de informatie vermeld onder artikel 3, eerste lid, 1, 5 en 6 van de WRR evenals de automatische mededeling van de wijzigingen aan de informatie vermeld onder artikel 3, eerste lid, 5, van de WRR in overeenstemming is met artikel 4, 1, 3 van de WVP. C.2. Betreffende het gebruik van het rijksregisternummer 21. De aanvrager wenst het rijksregisternummer van de vroegere huurders als zoeksleutel te gebruiken om de gevraagde gegevens voor het voormelde doeleinde op te zoeken in het Rijksregister. Dit gebruik zal het risico op homoniemen uitsluiten. 22. Het gebruik van het rijksregisternummer, dat een uniek nummer is waarmee een persoon zonder foutenmarge kan worden geïdentificeerd, vermijdt immers fouten door homoniemen. 23. Het Comité besluit dat het gebruik van het rijksregisternummer voor het vermelde doeleinde conform is aan artikel 4, 1, 3 van de WVP. C.3. De frequentie van de toegang en de duur van de toegang 24. De aanvrager vraagt toegang voor onbepaalde duur aangezien zijn opdrachten niet in de tijd beperkt zijn. 25. Het Comité stelt bijgevolg vast dat een machtiging voor onbepaalde duur noodzakelijk is voor de verwezenlijking van het doeleinde vermeld onder punt B (artikel 4, 1, 3 van de WVP). 26. Er wordt een permanente toegang gevraagd, omdat de gegevens op ieder ogenblik moeten kunnen geraadpleegd worden tijdens het onderzoek van het dossier. 27. Het Comité stelt vast dat de aanvrager via een permanente toegang zijn dossiers correct kan beheren. De gewenste toegang is bijgevolg in overeenstemming met artikel 4, 1, 3 van de WVP.
Beraadslaging RR 93/2016-6/9 C.4. Betreffende de bewaartermijn 28. De aanvrager wenst de gevraagde gegevens betreffende de vroegere huurders te bewaren voor de tijd die nodig is om de verschuldigde sommen te innen of om de vroegere huurder terug te betalen. 29. Het Comité beperkt de bewaartermijn evenwel tot 5 jaar te na de beëindiging van het huurcontract overeenkomst de verjaringstermijn als bepaald in artikel 2277 van het Burgerlijk Wetboek. C.5. Intern gebruik en/of mededeling aan derden 30. De aanvrager verduidelijkte dat zijn diensten intern gebruik zullen maken van de gegevens en dat ze niet aan derden zullen worden meegedeeld. 31. Het Comité neemt hiervan akte. C.6. Netwerkverbindingen 32. Uit de aanvraag blijkt dat er thans geen enkele netwerkverbinding tot stand komt. 33. Volledigheidshalve vestigt het Comité de aandacht op het feit dat: indien er later andere netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het rijksregisternummer in ieder geval slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. D. BEVEILIGING D.1 Consulent inzake informatiebeveiliging 34. De identiteit van de consulent inzake informatiebeveiliging werd meegedeeld. Uit de aanvraag en de verstrekte informatie blijkt dat de betrokkene kan worden aanvaard als consulent inzake informatiebeveiliging. 35. Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband.
Beraadslaging RR 93/2016-7/9 36. De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in de context relevante regelgeving. Deze capaciteiten stellen de consulent in staat diens taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden. 37. De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de gemachtigde. 38. Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten hiermee onverenigbaar. In het bijzonder kan de functie niet gecumuleerd worden met deze van eindverantwoordelijke voor de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur). 39. De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken. De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken. 40. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen. 41. De gemachtigde ondersteunt de consulent door hem beschikking te geven over de benodigde middelen en tijd voor het vervullen van diens taken en het in stand houden van zijn deskundigheid. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 42. Het Comité houdt zich het recht voor toezicht uit te oefenen op de naleving van deze verplichtingen.
Beraadslaging RR 93/2016-8/9 D.2. Informatiebeveiligingsbeleid 43. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een beveiligingsbeleid beschikt evenals over een uitvoeringsplan. De aanvrager blijkt eveneens over een informatiesysteem te beschikken dat zodanig is opgevat dat de identiteit van de entiteiten die zich toegang verschaft hebben tot de persoonsgegevens permanent wordt geregistreerd. 44. Het Comité neemt hiervan akte. D.3. Personen die toegang hebben tot de informatie en lijst van die personen 45. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen van de personen die toegang hebben tot de informatiegegevens van het Rijksregister en die het rijksregisternummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. Bovendien moeten de personen die op de lijst voorkomen een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de gegevens te bewaren. Volgens de aanvraag is dit het geval. 46. Het Comité eist dat de aanvrager de nodige maatregelen zou nemen om de loggings te registreren (wie, wanneer en waarom toegang had tot de gegevens) zodat de toegangen kunnen worden gecontroleerd. OM DEZE REDENEN, het Comité 1 breidt de machtiging uit die aan de sociale huisvestingsmaatschappij regio Bergen "Toit & moi" werd verleend bij Beraadslaging RR. nr. 79/2012 van 26 september 2012, voor onbepaalde duur, onder de voorwaarden als uiteengezet in deze beraadslaging en voor de verwezenlijking van de doeleinden vermeld onder punt B : tot het gebruik van het rijksregisternummer; tot de toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 1 (naam en voornaam), 5 (hoofdverblijfplaats) en 6 (datum van overlijden), van de WRR; tot de geautomatiseerde mededeling van de wijzigingen aan de informatiegegevens vermeld onder artikel 3, eerste lid, 5 van de WRR;
Beraadslaging RR 93/2016-9/9 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden uit het beveiligingsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren. 3 bepaalt dat wanneer het Comité een vragenlijst over het beveiligingsniveau van de aanvrager toestuurt, die laatste deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon