KONINKRIJK BELGIE Brussel, Adres : Hallepoortlaan 5-8, B-1060 Brussel Tel. : +32(0)2/542.72.00 E-mail : commission@privacy.fgov.be Fax.: : +32(0)2/542.72.12 http://www.privacy.fgov.be/ COMMISSIE VOOR DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER BERAADSLAGING Nr 27 / 2004 van 23 september 2004 O. Ref. : SA1 / RN / 2004 / 027 BETREFT : Beraadslaging betreffende de aanvraag van de intergemeentelijke vereniging voor duurzaam afvalbeheer regio Mechelen (IVAREM) om toegang te krijgen tot of mededeling te verkrijgen van bepaalde informatiegegevens uit het Rijksregister, inclusief het identificatienummer van het Rijksregister, en deze gegevens te gebruiken in het kader van het DIFTAR-project. De Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, inzonderheid artikel 31bis; Gelet op de wet van 25 maart 2003 tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en van de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, inzonderheid artikel 19 3; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van de intergemeentelijke vereniging voor duurzaam afvalbeheer regio Mechelen, ontvangen op 22 maart 2004, aangevuld met een schrijven, ontvangen op 9 augustus 2004; Gelet op het juridisch en technisch advies van de Federale Overheidsdienst Binnenlandse Zaken, ontvangen op 30 augustus 2004; Gelet op het verslag van de voorzitter; Brengt op 23 september 2004 volgende beslissing, na deliberatie uit: Ber. 27 / 2004-1 / 7
I. VOORWERP VAN DE AANVRAAG. ---------------------------------------------------------- De intergemeentelijke vereniging voor duurzaam afvalbeheer regio Mechelen (hierna IVAREM) verzoekt om toegang te hebben tot of mededeling te verkrijgen van bepaalde informatiegegevens uit het Rijksregister, inclusief het identificatienummer van het Rijksregister, om deze gegevens vervolgens te gebruiken in het kader van het DIFTAR-project. II. ONDERZOEK VAN DE AANVRAAG. ----------------------------------------------------------- A. TOEPASSELIJKE WETGEVING. - Wet van 8 augustus 1983 (WRR). De toegang tot/mededeling van gegevens uit het Rijksregister en het gebruik van het identificatienummer van het Rijksregister is onder andere voorbehouden aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het sectoraal comité (artikel 5 eerste lid, 2 en artikel 8 WRR). IVAREM is een opdrachthoudende intergemeentelijke vereniging die de dienstverlening inzake het afvalbeheer van de gemeente Berlaar, Bonheiden, Bornem, Duffel, Lier, Mechelen, Putte, Puurs, Sint-Amands, Sint-Katelijne-Waver en Willebroek verzorgt. IVAREM is een publiekrechtelijk rechtspersoon die fungeert volgens de bepalingen van het decreet van 6 juli 2001 houdende de intergemeentelijke samenwerking. Dit betekent dus dat IVAREM principieel in aanmerking komt om gemachtigd te worden tot toegang tot of tot mededeling van gegevens uit het Rijksregister en tot het gebruik van het identificatienummer van het Rijksregister. - Wet van 8 december 1992 (WVP). Persoonsgegevens dienen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden te worden verkregen (artikel 4 1, 2 WVP). Persoonsgegevens dienen toereikend, terzake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen (artikel 4 1, 3 WVP). Persoonsgegevens mogen, in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verkregen of verder worden verwerkt, noodzakelijk is (artikel 4 1, 5 WVP). B. FINALITEIT. De intergemeentelijke vereniging heeft tot doel het initiëren, coördineren en realiseren van een vooruitstrevend, duurzaam en integraal afvalbeleid. De aanvraag kadert meer bepaald in het DIFTAR-project, wat staat voor gedifferentieerd tarief voor afvalverwijdering. Dit project strekt ertoe elk gezin woonachtig in het werkingsgebied van IVAREM een geïndividualiseerde rekening voor te leggen voor de inzameling en verwerking van het door hen aangeboden afval, hetzij in de persoonlijke container waarover elk gezin beschikt, hetzij op het containerpark. Een chip in de gezinscontainer en een gezinskaart houdende toegang tot het containerpark laten toe na te gaan wie de aanbieder is van het afval. Ber. 27 / 2004-2 / 7
Het gewicht van het aangeboden afval zal als meetgegeven worden gekoppeld aan een aantal identificatiegegevens van de gezinnen (adresgegevens, gezinssamenstelling, rijksregisternummer ) opgenomen in een centrale databank. Daartoe worden een aantal betrouwbare identificatiegegevens verzocht afkomstig van het Rijksregister der natuurlijke personen teneinde te kunnen overgaan tot een correcte toewijzing en aanrekening van de afvalinzamel- en verwerkingskosten. Daarnaast is het ook de bedoeling dat wie getuigt van een afvalreducerende aanpak (bijvoorbeeld door aankoop van retourverpakkingen, door het volgen van een opleiding compostmeesterwerking, ) zou worden beloond. Duurzame handelingen geven aanleiding tot de registratie van creditpunten op een duurzaamheidskaart. Eens een bepaald bedrag aan creditpunten bereikt wacht de houder van de kaart een kleine beloning (bijvoorbeeld een gratis zwembeurt in het lokale zwembad). Toegang tot of mededeling van bepaalde informatiegegevens uit het Rijksregister wordt ten slotte ook gevraagd om ze te gebruiken in statistische analyses en de op basis hiervan te initiëren afvalpreventiecampagnes. De nagestreefde doeleinden zijn welbepaald, uitdrukkelijk omschreven en gerechtvaardigd in de zin van artikel 4 1, 2 WVP. C. PROPORTIONALITEIT. - Ten aanzien van DIFTAR-huis-aan-huis en DIFTAR-containerpark. De Commissie kan zich akkoord verklaren dat voor deze doeleinden, die ertoe strekken te komen tot een correcte toewijzing van afvalinzamelkosten en afvalverwerkingskosten, een aantal betrouwbare identificatiegegevens ten aanzien van de betrokkenen uit het Rijksregister nodig zijn. - Ten aanzien van de duurzaamheidskaart. De Commissie is van oordeel dat er grenzen moeten gesteld worden aan de weliswaar goed bedoelde ambitie om te komen tot verantwoord afvalgedrag bij de burger. Het is met name passend noch proportioneel over te gaan tot een excessieve (snuffel)controle op en een uiterst doorgedreven registratie van het op gezinsniveau aangeboden afval. Dit zou immers te ver doordringen in de persoonlijke levenssfeer van de betrokkenen, reden waarom de aanvraag voor dit doeleinde moet afgewezen worden. - Ten aanzien van statistische analyse. Het vooropgestelde doeleinde kan ook worden bereikt zonder gebruik te maken van de verzochte rijksregistergegevens, reden waarom de aanvraag voor dit doeleinde moet afgewezen worden. - Ten aanzien van de verzochte gegevens De aanvrager verzoekt voor de vermelde finaliteiten tot toegang tot/mededeling van volgende actuele informatiegegevens uit het Rijksregister (zie pagina 5 van het verzoek): - naam en voornaam - geboortedatum - geslacht - nationaliteit - hoofdverblijfplaats (straat, huisnummer, busnummer, postcode en gemeente) - datum van overlijden - samenstelling van het gezin - vermelding van het register waarin iemand is ingeschreven - wettelijke samenwoning - identificatienummer van het Rijksregister. Ber. 27 / 2004-3 / 7
Op een bepaald moment wordt blijkbaar ook nog toegang tot/mededeling van het gegeven beroep, burgerlijke staat en zelfs van alle gegevens bedoeld in artikel 3 van de WRR gevraagd, dus met inbegrip van de historische gegevens (zie pagina 2 van het verzoek). Het komt de Commissie voor, en dan nog enkel voor de doeleinden die ze beschouwt als rechtmatig om daartoe persoonsgegevens uit het Rijksregister te verkrijgen, te weten DIFTARhuis-aan-huis en DIFTAR-containerpark, dat het vooral zaak is te beschikken over correcte adresgegevens, het aantal gezinsleden en de identificatienummers van elk van de gezinsleden als unieke sleutel binnen de databank. De aanvraag voor wat betreft de toegang tot of de mededeling van en het gebruik van voornoemde gegevens is in overeenstemming met artikel 4 1, 3 WVP. Daarentegen is de Commissie van oordeel dat volgende gegevens niet dienstig en dus overmatig zijn voor deze doeleinden; in elk geval laat de aanvrager na een afdoende motivering ter zake te laten gelden: - de historiek van de verzochte gegevens; - de geboortedatum, hoewel dit gegeven weliswaar uit het identificatienummer kan worden afgeleid, gegeven welke wel terzake dienend is voor de beoogde doeleinden; - het geslacht, hoewel dit gegeven weliswaar uit het identificatienummer kan worden afgeleid, gegeven welke wel ter zake dienend is voor de beoogde doeleinden; - nationaliteit; - beroep; - de vermelding van het register waarin de in artikel 2 WRR bedoelde personen zijn ingeschreven (het bevolkingsregister, het vreemdelingenregister of het wachtregister); - de burgerlijke staat; - de wettelijke samenwoning; - de datum van overlijden, gezien de aanduiding dat een gezinslid overleden is volstaat om hem of haar uit de databank te verwijderen. - Ten aanzien van de duur van de toegang tot of de mededeling van en het gebruik van de verzochte gegevens De duur van de toegang tot of de mededeling van en het gebruik van de verzochte gegevens wordt aangevraagd voor de volledige duur van het project, hetzij over een periode van 17 jaar, met als einddatum 26 april 2021. - Ten aanzien van de bewaartijd van de verzochte informatiegegevens In het beheersprogramma tot opvolging van DIFTAR huis-aan-huis-inzameling, DIFTAR op het containerpark en de duurzaamheidskaart is voorzien dat alle gegevens zowel financiële, de gegevens van het Rijksregister als alle operationele gegevens (bv. containerbeheer ) worden bewaard voor de volledige duur van het project, hetzij uiterlijk tot 26 april 2021. Het bewaren van deze gegevens gedurende deze periode is noodzakelijk, aldus de aanvrager, aangezien er steeds een historiek moet bijgehouden worden van alle financiële transacties en alle andere acties die gedaan worden inzake het containermanagement en dit om elke discussie te vermijden. De Commissie merkt op dat de informatiegegevens enkel mogen worden bewaard zolang de betrokkenen binnen het intergemeentelijk samenwerkingsverband wonen en uiterlijk tot het verstrijken van de duurtijd van het intergemeentelijk samenwerkingsverband in 2021. Ber. 27 / 2004-4 / 7
- Ten aanzien van de modaliteit van terbeschikkingstelling van de verzochte informatiegegevens De Commissie is van oordeel dat een periodieke mededeling van de verzochte informatiegegevens, in casu op wekelijkse basis, zoals door de verzoeker gevraagd, kan volstaan om de supra vermelde finaliteiten te kunnen verwezenlijken. Een permanente toegang tot de verzochte informatiegegevens is daartoe niet noodzakelijk. D. BEVEILIGING. - consulent inzake informatieveiligheid Het verzoek bepaalt dat een consulent inzake informatieveiligheid en bescherming van de persoonlijke levenssfeer werd aangesteld. De informatie ter zake is wat bescheiden. Inzake resultaatgebieden is bijvoorbeeld geen informatie meegedeeld geworden. De Commissie bedenkt deze figuur dienaangaande met een adviserende, stimulerende, documenterende en controlerende opdracht, waarbij hij: - de verantwoordelijke adviseert, op diens verzoek of op eigen initiatief, omtrent alle aspecten van de informatieveiligheid; - het naleven van de wettelijke en reglementaire veiligheidsvoorschriften en het aannemen van een veiligheidsgedrag van de bij de verantwoordelijke tewerkgestelde personen bevordert en controleert; - de nodige documentatie aanlegt met betrekking tot de informatieveiligheid; - ten behoeve van de verantwoordelijke een informatieveiligheidsplan en een budget voor de uitvoering ervan opstelt. Met andere woorden, naar het oordeel van de Commissie, zou de opdracht van deze figuur betrekking moeten hebben op het gehele informatieveiligheidsbeleid, waarvan de bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens een onderdeel uitmaakt. - Informatieveiligheidsbeleid/plan De aanvrager stelt dat er momenteel geen informatieveiligheidsplan bestaat. Ook over themata waaromtrent regels of policies bestaan inzake informatieveiligheid en het budget voor informatieveiligheid werd niets meegedeeld in de aanvraag. Dienaangaande stelt de Commissie dat het begrip informatieveiligheid ruimer is dan louter de implementatie van technische veiligheidsmaatregelen. Ook in het kader van het personeelsbeheer moeten er maatregelen genomen worden naar informatieveiligheid toe (denken we bijvoorbeeld aan een vertrouwelijkheidsclausule in het arbeidsreglement of de arbeidsovereenkomst, een deontologische code, een gedragscode, maatregelen die zullen genomen worden in geval van inbreuken, informatie naar het personeel toe om hen bewust te maken over de WVP bij het omgaan met persoonsgegevens, ). Het is de taak van de consulent inzake informatieveiligheid om alle maatregelen die betrekking hebben op de informatieveiligheid (zowel technisch als m.b.t. het personeel als m.b.t. de fysieke omgeving) in een gedetailleerd veiligheidsplan onder te brengen. Ber. 27 / 2004-5 / 7
- Technische veiligheidsmaatregelen Inzake de wijzigingen die zich zouden voordoen in de verzochte informatiegegevens en waarvan de aanvrager voorstelt deze op wekelijkse basis door te geven, stelt IVAREM voor de updates uit te wisselen via een beveiligde FTP in XML-formaat. Na de overdracht wordt de informatie automatisch ingevoerd in het beheersprogramma van DIFTAR en worden de updates onmiddellijk verwijderd van de FTP-server. Het beheersysteem van DIFTAR heet IBM iseries met geïntegreerde beveiliging. - Personen die de gegevens uit het Rijksregister mogen gebruiken en lijst van deze personen De Commissie wijst op de verplichting verwoord in de bepalingen van artikel 12 WRR en herinnert eraan dat de lijsten van de personen voor wie de machtiging geldt ter beschikking van de Commissie moeten worden gehouden. In dit verband stipt de Commissie aan dat het de voorkeur verdient dat de personen die concreet zullen gemachtigd zijn om het identificatienummer van het Rijksregister te gebruiken, niet meer op basis van organieke criteria zouden worden aangeduid, maar dat hiervoor functionele criteria worden aangewend. Enkel IVAREM en de gemeenten zullen de verzochte gegevens kunnen raadplegen. Binnen IVAREM zullen er vier vaste administratieve medewerkers toegang hebben tot de datagegevens komende uit het Rijksregister. Binnen de gemeenten zal enkel de gemeenteontvanger, die instaat voor het beheer van de financiële opvolging, toegang hebben tot de gegevens uit het Rijksregister. Dienaangaande merkt de Commissie op dat de gemeenteontvanger toegang heeft tot de gegevens uit het Rijksregister op basis van het koninklijk besluit van 3 april 1984 en het koninklijk besluit van 30 augustus1985. In elk geval is de gemeenteontvanger, op basis van het koninklijk besluit van 16 juli 1992, gerechtigd het bevolkingsregister, welke dezelfde gegevens bevat, te raadplegen en te gebruiken voor interne (gemeentelijke) doeleinden. De personen die voorkomen op de lijst van de personen die toegang hebben tot / mededeling krijgen van de gegevens en het identificatienummer van het Rijksregister voor hun ambtsuitoefening gebruiken, moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren. Deze lijst zal voortdurend geactualiseerd worden. - Netwerkverbindingen Dienaangaande stelt de verzoeker het volgende: Daar het van belang is om steeds over de recentste situatie te beschikken dient het verkregen databestand regelmatig geüpdate te worden. Ervaring leert IVAREM dat wijzigingen in de gezinssituatie (bv verhuizingen, echtscheidingen, studerende kinderen, ) vaak leiden tot een bezoek aan het containerpark. Om dit op vangen dient IVAREM zo snel mogelijk over de correcte informatie te beschikken. Daar de wijzigingen best frequent (voorstel: wekelijks) dienen te worden doorgegeven, stelt IVAREM voor de updates uit te wisselen via een beveiligde FTP in XML-formaat. Na de overdracht wordt de informatie automatisch ingevoerd in het beheersprogramma van DIFTAR en worden de updates onmiddellijk verwijderd van onze FTP-server. Beheersysteem van DIFTAR: IBM iseries met geïntegreerde beveiliging. De Commissie stelt vast dat dit evenwel geen netwerkverbindingen zijn als bedoeld in artikel 8 WRR. Het betreft hier modaliteiten van veiligheid en mededeling van updates van de verzochte informatiegegevens ter verwezenlijking van de doeleinden waarvoor ze werden verkregen. Ber. 27 / 2004-6 / 7
Wat dit laatste betreft spreekt het voor zich dat de begunstigde een wekelijkse mededeling zou verkrijgen van de verzochte informatiegegevens betreffende nieuwe gezinnen in het intergemeentelijk samenwerkingsverband en een wekelijkse mededeling zou verkrijgen van de wijzigingen die zich voordoen in de verzochte informatiegegevens van het Rijksregister betreffende bestaande gezinnen woonachtig in het werkingsgebied van IVAREM, bijvoorbeeld: - een wijziging in het aantal gezinsleden; - een aanduiding dat een gezinslid overleden is; - een aanduiding dat een gezin is verhuisd buiten het intergemeentelijk samenwerkingsverband; - een adreswijziging van een gezin verhuisd binnen het intergemeentelijk samenwerkingsverband. OM DEZE REDENEN, De Commissie: machtigt IVAREM uit het Rijksregister van de natuurlijke personen een wekelijkse mededeling te verkrijgen van hiernavolgende persoonsgegevens betreffende de gezinnen woonachtig in het werkingsgebied van IVAREM en deze vervolgens te gebruiken, doch enkel in het kader van DIFTAR-huis-aan-huis en DIFTAR-containerpark, doch niet voor de finaliteiten duurzaamheidskaart en statistische analyse: - naam en voornaam - hoofdverblijfplaats - een aanduiding dat een gezinslid overleden is - het aantal gezinsleden - het identificatienummer van het Rijksregister van elk gezinslid De bedoelde informatiegegevens mogen enkel worden bewaard zolang de betrokkenen binnen het intergemeentelijk samenwerkingsverband wonen en uiterlijk tot het verstrijken van de duurtijd van het intergemeentelijk samenwerkingsverband op 26 april 2021. Deze machtiging zal evenwel slechts uitwerking krijgen nadat: - de Commissie een schriftelijke, gedagtekende en ondertekende verklaring heeft ontvangen waarin de begunstigde zich er uitdrukkelijk toe verbindt de door de Commissie toe te sturen lijst met betrekking tot de minimale veiligheidsvereisten waarheidsgetrouw in te vullen en ondertekend terug te bezorgen aan de Commissie; - bijkomende informatie met betrekking tot de consulent inzake informatieveiligheid wordt meegedeeld aan de Commissie; - het informatieveiligheidsplan, de themata waaromtrent regels of policies bestaan inzake informatieveiligheid en het budget voor informatieveiligheid wordt meegedeeld aan de Commissie. De secretaris, De voorzitter, J. BARET P. THOMAS Ber. 27 / 2004-7 / 7