1/9 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 91/2016 van 7 december 2016 Betreft: machtigingsaanvraag van de Direction Générale Opérationnelle des pouvoirs locaux, de l action sociale et de la santé - Direction du contrôle des mandats locaux (Operationeel Directoraatgeneraal Plaatselijke Besturen, Sociale Actie en Gezondheid - Directie controle plaatselijke mandaten), om toegang te krijgen tot bepaalde gegevens van het Rijksregister en om het rijksregisternummer te gebruiken voor de vervulling van hun opdracht die erin bestaat de mandaten te controleren van de gemeentelijke, sociale en provinciale mandatarissen en andere niet-verkozenen zoals bedoeld in het Wetboek van de plaatselijke democratie en de decentralisatie (RN-MA-2016-146) Het Sectoraal comité van het Rijksregister (hierna "het comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis ; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer ; Gelet op de aanvraag van de Direction Générale Opérationnelle des pouvoirs locaux de l action sociale et de la santé - Direction du contrôle des mandats locaux, ontvangen op 16 juni 2016; Gelet op de vraag om bijkomende informatie op 12 juli 2016;
Beraadslaging RR 91/2016-2/9 Gelet op de bijkomende informatie ontvangen op 13 juli 2016, 28 september 2016, 7 november 2016 en 22 november 2016; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 12 augustus 2016; Gelet op het verslag van de Voorzitter; Beslist op 7 december 2016, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De aanvraag strekt ertoe om de Direction Générale Opérationnelle des pouvoirs locaux, de l action sociale et de la santé - Direction du contrôle des mandats locaux (DGO5) (Operationeel Directoraat-generaal Plaatselijke Besturen, Sociale Actie en Gezondheid - Directie controle plaatselijke mandaten), hierna de aanvrager genoemd, te machtigen om toegang te hebben tot meerdere informatiegegevens van het Rijksregister en om het rijksregisternummer te gebruiken om hun opdracht te kunnen vervullen die erin bestaat de mandaten te controleren van de gemeentelijke, sociale en provinciale mandatarissen en andere niet-verkozenen zoals bedoeld in het Wetboek van de plaatselijke democratie en de decentralisatie 1. 2. Het Comité besliste tijdens de zitting van 14 september 2016 dat het dossier onvolledig was en verzocht het secretariaat het dossier verder te vervolledigen.. 3. Er werd bijkomende informatie verkregen op 28 september 2016, 7 november 2016 en 22 november 2016. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 4. Overeenkomstig artikel 5, eerste lid, 2 en artikel 8 van de WRR, verleent het Comité machtiging om toegang te hebben tot de informatie bepaald in artikel 3, eerste en tweede lid 1 Het besluit van de Waalse Regering van 22 april 2004, bevestigd bij decreet van 27 mei 2004, regelt de wetgeving met betrekking tot de plaatselijke besturen onder de titel "Wetboek van de plaatselijke democratie en de decentralisatie", B.S., 12 augustus 2004
Beraadslaging RR 91/2016-3/9 van de WRR, of om er mededeling van te krijgen en het rijksregisternummer te gebruiken: aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité". 5. De Direction Générale Opérationnelle des pouvoirs locaux, de l action sociale et de la santé - Direction du contrôle des mandats locaux (DGO5) behoort tot de Waalse Overheidsdienst en kan bijgevolg worden beschouwd als een Belgische overheid als bedoeld in de voormelde wettelijke bepalingen. A.2. Wet van 8 december 1992 (WVP) 6. Op grond van artikel 4 van de WVP vormen de informatiegegevens van het Rijksregister en het rijksregisternummer persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens moeten bovendien toereikend, ter zake dienend en niet overmatig zijn, uitgaande van de doeleinden waarvoor ze worden verwerkt. B. DOELEINDEN 7. De aanvrager wil toegang tot het Rijksregister voor het aanvullen en bijwerken van zijn gegevensbank van mandatarissen en anderen niet-verkozenen zoals bepaald in het Wetboek van de plaatselijke democratie en de decentralisatie. 8. Op 19 juni 2008 keurde het Waalse Parlement het decreet goed houdende ratificatie van het besluit van de Waalse Regering van 20 december 2007 ter uitvoering van artikel 55 van het decreet van 8 december 2005 houdende wijziging van sommige bepalingen van het Wetboek van de plaatselijke democratie en de decentralisatie en artikel 21 van het decreet van 8 december 2005 tot wijziging van de organieke wet van 8 juli 1976 betreffende de openbare centra voor maatschappelijk welzijn 2. 9. Dit decreet verplicht definitief de houders van oorspronkelijke mandaten en de niet-verkozen personen, als omschreven in het Wetboek van de plaatselijke democratie en de decentralisatie om ten laatste tegen 30 juni van elk jaar een aangifte te doen van de mandaten en bezoldigingen bij het controleorgaan. 2 B.S., van 25 juni 2008.
Beraadslaging RR 91/2016-4/9 10. De Direction de contrôle des mandats locaux ontvangt ieder jaar meer dan 7500 aangiftes van mandaten en bezoldigingen van verkozenen en niet-verkozenen en verifieert alle aangiftes op conformiteit met de bepalingen van het Wetboek van de plaatselijke democratie en de decentralisatie. Zij ziet erop toe dat de verplichtingen inzake het maximum aan vergoedingen en voordelen in natura nageleefd zijn. 11. Daarom moeten volgens het WPDD alle mandatarissen in principe ieder jaar ten laatste tegen 30 juni hun aangfite aan de aanvrager bezorgen 3. 12. Maar dit is evenwel niet altijd het geval. 13. Wanneer een spontane aangifte achterwege blijft, bepaalt het WPDD dat de in gebreke blijvende mandatarissen per aangetekend schrijven in kennis moeten worden gesteld van hun ontbrekende aangifte en het verloop van de procedure. 14. Om zijn opdrachten te kunnen vervullen, beschikt de aanvrager over een gegevensbank van mandatarissen en andere niet-verkozen personen zoals bedoeld in het WPDD. Om die gegevensbank te kunnen bijwerken, neemt de aanvrager iedere jaar contact op met de gemeentelijke diensten, de diensten sociale actie en de provinciale diensten. Dit laat hem toe de datum te kennen waarop de functie werd opgenomen, ontslag werd genomen alsook de contactgegevens van de mandatarissen. 15. Die entiteiten hebben niet altijd de correcte informatie m.b.t. de contactgegevens van de mandatarissen en andere niet-verkozenen zoal bedoeld in het WPDD. 16. De toegang tot het Rijksregister biedt de aanvrager de mogelijkheid om rechtstreeks toegang te hebben tot de authentieke bron om de actuele en correcte contactgegevens van de mandatarissen te verkrijgen. 17. Het feit dat van de mandatarissen niet altijd recente contactgegevens worden bijgehouden kan aanleiding geen tot herziening van een Besluit van de Waalse Regering. Kortgeleden heeft een arrest van de Raad van State inderdaad een besluit van de Waalse Regering vernietigd met als reden dat de kennisgevingen aan de mandatarissen naar onjuiste adressen werden verstuurd. 3 Het Wetboek van de plaatselijke democratie en de decentralisatie.
Beraadslaging RR 91/2016-5/9 18. Het Comité is van mening dat deze doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn zoals bedoeld in artikel 4, 1, 2, en 5, 1ste lid e) van de WVP en artikel 5, tweede lid van de WRR. C. PROPORTIONALITEIT C.1 Betreffende de gegevens 19. De aanvrager wil toegang tot de informatie als vermeld onder artikel 3, eerste lid, 1, 2 (uitgezonderd de geboorteplaats), 5 en 6 (uitgezonderd de plaats van overlijden) van de WRR, met name de "naam en voornamen"», «"geboortedatum», «", "hoofdverblijfplaats" en "datum van overlijden"». 20. De gegevens "naam en voornamen», «, "geboortedatum" en "hoofdverblijfplaats" zijn noodzakelijk om de mandatarissen correct te kunnen identificeren en met hen contact op te nemen in geval van problemen. 21. Het gegeven "datum van overlijden" stelt de aanvrager in staat om vast te stellen dat de betrokkene niet langer onderworpen is aan de controle als bepaald in het WPDD. 22. Gelet op wat voorafgaat, is de toegang tot de informatiegegevens vermeld onder artikel 1, eerste lid, 1 en 2 van de WRR in overeenstemmin met artikel 4, 1, 3 van de WVP. C.2. Betreffende het Rijksregisternummer 23. De aanvrager wil het rijksregisternummer gebruiken om de mandatarissen en andere niet verkozen personen zoals bedoeld in het WPDD eenduidig en zonder risico op homoniemen te identificeren in zijn eigen gegevensbank. Het nummer moet ook dienen als zoeksleutel binnen het Rijksregister. 24. Het rijksregisternummer is een uniek nummer waarmee een persoon precies geïdentificeerd kan worden en waarmee misverstanden door homoniemen en foutieve schrijfwijzes uitgesloten kunnen worden. 25. Gelet op wat voorafgaat is het gevraagde gebruik van het rijksregisternummer in overeenstemming met artikel 4, 1, 3, WVP en met de WRR.
Beraadslaging RR 91/2016-6/9 C.3. Betreffende de frequentie van de toegang en de duur van de machtiging 26. De aanvrager wenst een machtiging voor onbepaalde duur aangezien zijn opdrachten niet beperkt zijn in de tijd. 27. In het licht hiervan oordeelt het Comité dat een machtiging van onbepaalde duur gepast is (artikel 4, 1, 3, WVP). 28. Er wordt permanent toegang gevraagd tot de informatie van het Rijksregister aangezien de aanvrager op ieder ogenblik zijn gegevensbank van mandatarissen en andere niet-verkozen personen als bedoeld in het WPDD moet bijhouden. 29. Het Comité stelt vast dat de aanvrager met een permanente toegang zijn dossiers correct kan beheren. De gewenste toegang is bijgevolg in overeenstemming met artikel 4, 1, 3 van de WVP. C.4. Betreffende de bewaartermijn 30. De informatie over de gemeentelijke-, sociale- en provinciale mandatarissen en andere nietverkozen personen in het Waalse Gewest, als bepaald in het WPDD, zullen worden bewaard voor de duur van hun mandaat. 31. In het licht van wat voorafgaat is het Comité van mening dat het in overeenstemming is met artikel 4, 1, 5 van de WVP dat de aanvrager het rijksregisternummer bewaart. C.5. Intern gebruik en/of mededeling aan derden 32. De aanvrager verduidelijkte dat zijn diensten intern gebruik zullen maken van de gegevens en dat ze niet aan derden zullen worden meegedeeld. C.6. Netw erkverbindingen 33. Onder "netwerkverbinding" wordt verstaan het op geautomatiseerde wijze persoonsgegevens verstrekken aan derden via koppeling van informatiesystemen door het rijksregisternummer te gebruiken van de betrokkenen als primaire sleutel.
Beraadslaging RR 91/2016-7/9 34. Uit de informatie die de aanvrager heeft verstrekt, blijkt dat er geen nieuwe netwerkverbindingen zullen zijn waarmee het mogelijk is de gegevens van de verschillende instellingen te koppelen op basis van het rijksregisternummer. 35. Volledigheidshalve benadrukt het Comité dat: indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover dit binnen de doeleinden valt waarvoor zij eveneens gemachtigd werden dit nummer te gebruiken. D. BEVEILIGING D.1 Consulent inzake informatiebeveiliging 36. De identiteit van de consulent inzake informatiebeveiliging werd aan het Comité meegedeeld. 37. Het Comité neemt hiervan akte. 38. Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband. 39. De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in de context relevante regelgeving. Deze capaciteiten stellen de consulent in staat diens taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden. 40. De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de gemachtigde. 41. Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten hiermee onverenigbaar. In het bijzonder kan de functie niet gecumuleerd worden met deze van eindverantwoordelijke voor de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur).
Beraadslaging RR 91/2016-8/9 42. De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken. De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken. 43. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen. 44. De gemachtigde ondersteunt de consulent door hem beschikking te geven over de benodigde middelen en tijd voor het vervullen van diens taken en het in stand houden van zijn deskundigheid. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 45. Het Comité houdt zich het recht voor toezicht uit te oefenen op de naleving van deze verplichtingen. D.2. Beveiligingsbeleid 46. Uit de documentatie die de aanvrager verstrekte, blijkt dat hij beschikt over een beleid inzake informatiebeveiliging en over een uitvoeringsplan daarvan. 47. Het Comité heeft er akte van genomen. D.3. Personen die toegang hebben tot de informatie en lijst van die personen 48. De aanvrager preciseert in zijn aanvraagformulier dat de gevraagde gegevens intern zullen worden aangewend. 49. Zoals voorgeschreven door artikel 12 van de WRR, dient de aanvrager een lijst op te stellen van de personen die toegang krijgen tot de informatiegegevens van het Rijksregister en het identificatienummer ervan gebruiken. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking van het Comité gehouden worden.
Beraadslaging RR 91/2016-9/9 50. De personen die op deze lijst voorkomen moeten bovendien een verklaring ondertekenen waarin zij zich ertoe verbinden de vertrouwelijkheid en veiligheid van de informatiegegevens te bewaren. 51. Het Comité eist dat de aanvrager de nodige maatregelen zou nemen om de loggings te registreren (wie, wanneer en waarom toegang had tot de gegevens) zodat de toegangen kunnen worden gecontroleerd. OM DEZE REDENEN, het Comité, 1 machtigt de Direction Générale Opérationnelle des pouvoirs locaux, de l action sociale et de la santé - Direction du contrôle des mandats locaux, voor onbepaalde duur voor het vervullen van de vermelde doeleinden onder punt B en onder de voorwaarden als uiteengezet in deze beraadslaging om: toegang te hebben tot de informatiegegevens vermeld in artikel 3, eerste lid, 1, 2 (niet de geboorteplaats) 5 en 6 (niet de plaats van overlijden) van de WRR; het rijksregisternummer te gebruiken; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden uit het beveiligingsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren; 3 bepaalt dat wanneer het Comité een vragenlijst over het beveiligingsniveau van de aanvrager toestuurt, die laatste deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon