1/8 Sectoraal comité van het Rijksregister Beraadslaging RR nr 103/2014 van 10 december 2014 Betreft: aanvraag van BLOSO om gemachtigd te worden het Rijksregisternummer te gebruiken met het oog op het gebruik van de boekhoudtoepassing Orafin en de identificatie van de personen die gebruik maken van haar diensten (RN-MA-2014-451) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Intern Verzelfstandigd Agentschap met Rechtspersoonlijkheid voor de Bevordering van de Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie, ontvangen op 31/10/2014; Gelet op de bijkomende informatie, ontvangen op 17/11/2014; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 17/11/2014;
Beraadslaging RR 103 /2014-2/8 Gelet op het verslag van de Voorzitter; Beslist op 10 december 2014, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. Het Intern Verzelfstandigd Agentschap met Rechtspersoonlijkheid voor de Bevordering van de Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie, hierna de aanvrager, wenst het Rijksregisternummer te gebruiken met het oog op:. het gebruik van de boekhoudtoepassing Orafin; de organisatie van zijn klantendatabank. 2. Het Comité stelt vast dat een deel van de aanvraag inmiddels zonder voorwerp is. De aanvrager behoort immers tot de rechtspersonen opgesomd in artikel 4, 1, 2, van het decreet van 8 juli 2011 houdende regeling van de begroting, de boekhouding, de toekenning van subsidies en de controle op de aanwending ervan, en de controle door het Rekenhof. Ingevolge beraadslaging RR nr. 102/2014 werd de beraadslaging RR nr. 45/2009 uitgebreid tot deze rechtspersonen. Ingevolge deze uitbreiding werd de aanvrager gemachtigd om het Rijksregisternummer te gebruiken in de Orafin-toepassing voor zover wordt vastgesteld dat hij aan de opschortende voorwaarden (veiligheid) voldoet (zie verder). II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 3. Overeenkomstig de artikelen 5, eerste lid, 1, en 8 WRR wordt de machtiging om het identificatienummer van het Rijksregister te gebruiken, door het Comité verleend aan Belgische openbare overheden voor de informatiegegevens die zij gemachtigd zijn te kennen uit hoofde van een wet, een decreet of een ordonnantie. 4. Artikel 6 van het kaderdecreet bestuurlijk beleid van 18 juli 2003 voorziet in de mogelijkheid voor de Vlaamse Regering om intern verzelfstandigde agentschappen op te richten met het oog op het vervullen van taken van beleidsuitvoering.
Beraadslaging RR 103 /2014-3/8 5. Intern verzelfstandigde agentschappen handelen onder het rechtstreekse gezag en de rechtstreekse verantwoordelijkheid van de bevoegde minister, zij het met een operationele autonomie. Juridisch gaat het om deconcentratie of het spreiden van bevoegdheden van een openbare dienst over meerdere hiërarchisch ondergeschikte diensten of ambtenaren. (Vlaams Parlement, zitting 2002-2003, stuk nr.1612, nr. 1, blz. 6-8). 6. Artikel 4 van het decreet van 7 mei 2004 1 belast de aanvrager met het uitvoeren van het Vlaams sportbeleid. Dit houdt onder andere de volgende taken in: de organisatie van sportkampen en sportklassen in BLOSO-centra, het uitbouwen en ter beschikking stellen van de BLOSO-centra aan sportfederaties, sportclubs, sportdiensten, topsporters en individuele sportbeoefenaars, onder meer voor de organisatie van trainingen, stages en wedstrijden, op alle niveaus (artikel 5, eerste lid, 1 en 2, van het decreet van 7 mei 2004). 7. In de mate dat de aanvrager daartoe persoonsgegevens moet verwerken, komt hij in aanmerking om te worden gemachtigd om het Rijksregisternummer te gebruiken. A.2. Wet van 8 december 1992 (WVP) 8. Op grond van artikel 4 WVP vormt het Rijksregisternummer een persoonsgegeven, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van het doeleinde waarvoor zij worden verwerkt. B. DOELEINDEN 9. Zoals hiervoor reeds werd opgemerkt werd de aanvrager o.a. met volgende taken belast: de organisatie van sportkampen en sportklassen in BLOSO-centra, het uitbouwen en ter beschikking stellen van de BLOSO-centra aan sportfederaties, sportclubs, sportdiensten, topsporters en individuele sportbeoefenaars, onder meer voor de organisatie van trainingen, stages en wedstrijden, op alle niveaus. 10. De aanvrager maakt gebruik van een softwarepakket waarin de volgende functionaliteiten zijn voorzien: de administratieve verwerking van inschrijvingen voor sportkampen en sportlessen; 1 Decreet van 7 mei 2004 tot omvorming van de Vlaamse openbare instelling Commissariaat-generaal voor de Bevordering van de Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie tot het intern verzelfstandigd agentschap met rechtspersoonlijkheid BLOSO.
Beraadslaging RR 103 /2014-4/8 de facturatie n.a.v. de deelname aan sportkampen en sportlessen. 11. Daarnaast kunnen natuurlijke personen via een webformulier ook sportinfrastructuur reserveren (huren) voor een langere periode. In dat geval factureert de aanvrager maandelijks. 12. N.a.v. een inschrijving of de reservering worden een aantal basisgegevens aan de betrokkene gevraagd en geregistreerd. Als het de inschrijving van een kind betreft, worden ook de contactgegevens van de inschrijvende ouder opgevraagd en geregistreerd. Op basis van deze gegevens stelt de aanvrager facturen op met het oog op de betaling van de kosten verbonden aan de inschrijving of de reservering. 13. Momenteel worden aan de hand van een vergelijking van de gegevens dubbele inschrijvingen en klanten opgespoord wat kan leiden tot problemen in de facturatiefase. Door het gebruik van het Rijksregisternummer, waardoor iedere klant aan wie wordt gefactureerd uniek geïdentificeerd wordt, kan hieraan worden verholpen. Het heeft daarenboven als extra bonus dat de inschakeling van de Orafin-toepassing bij de aanvrager erdoor wordt vergemakkelijkt. 14. Het betreft een welbepaald en uitdrukkelijk omschreven doeleinde in de zin van artikel 4, 1, 2, WVP en artikel 5, tweede lid, WRR. Het is tevens gerechtvaardigd vermits de verwerkingen van persoonsgegevens die daartoe worden verricht, gestoeld zijn op artikel 5, eerste lid, b), WVP. C. PROPORTIONALITEIT C.1. Ten overstaan van het Rijksregisternummer 15. De aanvrager wenst zijn klanten in de gegevensbank die gekoppeld is aan zijn webtoepassing eenduidig te identificeren zodat er geen verwarring kan ontstaan m.b.t. de persoon die werd ingeschreven voor een activiteit of die infrastructuur huurde, dubbele inschrijvingen worden gedetecteerd en aan de juiste persoon wordt gefactureerd. 16. Door het gebruik van het Rijksregisternummer, dat een uniek nummer is aan de hand waarvan iemand zonder enige foutenmarge kan worden geïdentificeerd, kunnen in het kader van de eenduidige identificatie van de betrokkene vergissingen m.b.t. de persoon worden vermeden. 17. Het Comité stelt derhalve vast dat het gebruik van het Rijksregisternummer, in het licht van het opgegeven doeleinde, in overeenstemming is met artikel 4, 1, 3, WVP.
Beraadslaging RR 103 /2014-5/8 C.2. Ten overstaan van de duur van de machtiging 18. Er wordt een machtiging voor onbepaalde duur gevraagd gelet op het feit dat de taken van de aanvrager binnen dewelke het doeleinde zich situeert niet in de tijd werden beperkt. 19. In het licht hiervan oordeelt het Comité dat een machtiging voor onbepaalde duur gepast is (artikel 4, 1, 3, WVP). C.3. Ten overstaan van de bewaartermijn 20. In de bijkomende informatie, verstrekt door de aanvrager op 17/11/2014, wordt gesteld dat: hij de gegevens van een klant die gedurende 5 jaar geen gebruik maakt van de diensten van de aanvrager, zal wissen (functionaliteit van de toepassing waarmee vanaf volgend jaar wordt gewerkt); de facturen en de gegevens die ze bevatten worden gedurende 10 jaar bewaard conform de richtlijn van het Vlaams departement bestuurszaken. Deze termijn is ingegeven door artikel 15 van de wet van 16 mei 2003 tot vaststelling van de algemene bepalingen die gelden voor de begrotingen, de controle op de subsidies en voor de boekhouding van de gemeenschappen en de gewesten, alsook voor de organisatie van de controle door het Rekenhof 2, dat bepaalt dat inzake verjaring het gemeen recht van toepassing is. 21. Het Comité is van oordeel dat de aanvrager zijn klanten de mogelijkheid moet bieden om te melden dat zij niet langer op zijn diensten wensen beroep te doen (uitschrijven). De gegevens van de personen die dergelijke melding doen, moeten door de aanvrager onmiddellijk worden verwijderd. 22. Het Comité stelt vast dat de door de aanvrager vooropgestelde werkwijze, voor zover rekening wordt gehouden met de hiervoor geformuleerde correctie (punt 21), verenigbaar is met artikel 4, 1, 5, WVP. 2 Is van toepassing op Vlaamse rechtspersonen: zie artikel 68 van het decreet van 8 juli 2011 houdende regeling van de begroting, de boekhouding, de toekenning van subsidies en de controle op de aanwending ervan, en de controle door het Rekenhof.
Beraadslaging RR 103 /2014-6/8 C.4. Intern gebruik en/of mededeling aan derden 23. Naast het intern gebruik zal de aanvrager het Rijksregisternummer ook meedelen aan het Vlaams Departement Financiën en Begroting. Hij zal immers genoodzaakt zijn om voortaan te werken met de boekhoudtoepassing Orafin van dit departement waarin het Rijksregisternummer moet worden gebruikt. Deze mededeling is evenwel gedekt door de beraadslagingen RR nr. 45/2009 van 15 juli 2009 en RR nr. 102/2014 van 19 november 2014. C.5. Netwerkverbindingen 24. Volgens de aanvraag komt er een netwerkverbinding tot stand met het Vlaams Departement Financiën en Begroting. Er zal immers een link worden gelegd met de Orafin-toepassing van deze laatste en aan de hand van het Rijksregisternummer zullen er boekhoudkundige verrichtingen worden uitgevoerd en geregistreerd. Het Comité stelt vast dat deze netwerkverbinding reeds het voorwerp uitmaakt van de beraadslagingen RR nr. 45/2009 van 15 juli 2009 en RR nr. 102/2014 van 19 november 2014. 25. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later andere netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het Rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij gemachtigd werden om dit nummer te gebruiken. D. INFORMATIEBEVEILIGING D.1. Consulent inzake informatiebeveiliging 26. De door de aanvrager voorgestelde consulent inzake informatiebeveiliging werd reeds door het Comité aanvaard. D.2. Informatiebeveiligingsbeleid 27. Uit de door de aanvrager voorgelegde conformiteitsverklaring blijkt dat hij over een informatiebeveiligingsbeleid beschikt en dit op het terrein uitvoert. 28. Het Comité heeft er akte van genomen.
Beraadslaging RR 103 /2014-7/8 D.3. Personen die het Rijksregisternummer gebruiken en de lijst van deze personen 29. Met het oog op het doeleinde omschreven in luik B zullen de administrators en dossierbeheerders van de aanvrager het Rijksregisternummer gebruiken. 30. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen van de personen die het Rijksregisternummer gebruiken. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking gehouden worden van het Comité. 31. De personen die op deze lijst worden opgenomen moeten een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens waartoe zij toegang krijgen, te bewaren. OM DEZE REDENEN, het Comité 1 machtigt het Intern Verzelfstandigd Agentschap met Rechtspersoonlijkheid voor de Bevordering van de Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie, om voor het doeleinde vermeld onder luik B en onder de voorwaarden vastgesteld in deze beraadslaging, voor onbepaalde duur het Rijksregisternummer te gebruiken; 2 stelt vast dat de aanvraag voor zover ze betrekking heeft op het gebruik van de boekhoudtoepassing Orafin zonder voorwerp is. Het Comité beschouwt dit aspect van de aanvraag van het Intern Verzelfstandigd Agentschap met Rechtspersoonlijkheid voor de Bevordering van de Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie als een vraag tot toetreding tot de beraadslaging RR nr. 102/2014 van 19 november 2014. Vermits de voorwaarden inzake informatiebeveiliging vervuld zijn, mag het Intern Verzelfstandigd Agentschap met Rechtspersoonlijkheid voor de Bevordering van de Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie worden opgenomen op de lijst van begunstigden van deze beraadslaging; 3 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), het Intern Verzelfstandigd Agentschap met Rechtspersoonlijkheid voor de Bevordering van de
Beraadslaging RR 103 /2014-8/8 Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie, een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren; 4 bepaalt dat wanneer het Comité het Intern Verzelfstandigd Agentschap met Rechtspersoonlijkheid voor de Bevordering van de Lichamelijke Ontwikkeling, de Sport en de Openluchtrecreatie, een vragenlijst met betrekking tot de informatiebeveiligingsstatus toestuurt, deze laatste de lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. Voor de Wnd. Administrateur, afw. De Voorzitter, (get.) An Machtens Wnd. Afdelingshoofd ORM (get.) Mireille Salmon