1/9 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 78/2016 van 14 september 2016 Betreft: machtigingsaanvraag van de "Société wallonne du logement" (Waalse huisvestingsmaatschappij) om toegang te krijgen tot bepaalde gegevens van het Rijksregister voor het administratief beheer van woningen (RN-MA-2016-177) Het Sectoraal comité van het Rijksregister (hierna "het comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis ; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer ; 3Gelet op de aanvraag van de "Société wallonne du logement", ontvangen op 13 juli 2016; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 12 augustus 2016; Gelet op het verslag van de Voorzitter; Beslist op 14 september 2016, na beraadslaging, als volgt:
Beraadslaging RR 78/2016-2/9 I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. De Société Wallonne du Logement (hierna de aanvrager) werd reeds gemachtigd om toegang te hebben tot de informatie bedoeld in artikel 3, 1ste lid, 1 tot 9, en 2de lid van de WRR, alsook tot de wijzigingen aan diezelfde informatiegegevens (die toegang is evenwel beperkt tot een periode van 5 jaar), en om het rijksregisternummer te gebruiken voor de vervulling van de taken die verband houden met de bijwerking van gegevens betreffende de personen die, - 1 om welke reden dan ook, een door deze maatschappijen beheerde sociale woning betrekken; - 2 die via bemiddeling vanwege de aanvrager een eerste woning verwerven of hebben verworven. 2. Deze machtiging werd verleend bij koninklijk besluit van 23 januari 1998 tot regeling van de toegang tot het Rijksregister van de natuurlijke personen en van het gebruik van het identificatienummer ervan in hoofde van de Waalse Regionale Maatschappij voor de Huisvesting en van de door haar erkende publiekrechtelijke bouwmaatschappijen 1. 3. De aanvrager, de Société Wallonne du Logement, en niet de erkende publiekrechtelijke bouwmaatschappijen, verlangt dat de bij Koninklijk besluit verleende machtiging van 23 januari 1998: - voor hem wordt uitgebreid tot de informatie vermeld onder artikel 3, 1ste lid, 15, 16 en 16 van de WRR; - voor hem wordt uitgebreid tot de kandidaat-huurders. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 4. De machtiging om toegang te hebben tot de informatie bedoeld in artikel 3, eerste en tweede lid van de WRR of om er mededeling van te krijgen kan worden verleend door het Comité : aan de Belgische openbare overheden voor de informatiegegevens die zij gemachtigd zijn te kennen uit hoofde van een wet, een decreet of een ordonnantie en aan «de openbare en 1 B.S., 20 maart 1998.
Beraadslaging RR 78/2016-3/9 private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité (Artikel 5, 1ste lid, 1 en 2 van de WRR). 5. De SWL is een instelling van algemeen belang die voor rekening van de Waalse regering toezicht houdt op 64 openbare huisvestingsmaatschappijen en hen raad en bijstand verleent. 6. Gelet op wat voorafgaat mag de aanvrager aanspraak maken op een machtiging om toegang te hebben tot de gevraagde gegevens op grond van artikel 5, 1ste lid WRR. A.2. Wet van 8 december 1992 (WVP) 7. Op grond van artikel 4 van de WVP zijn de de gevraagde informatiegegevens en het rijksregisternummer persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens moeten bovendien toereikend, ter zake dienend en niet overmatig zijn, uitgaande van de doeleinden waarvoor ze worden verwerkt. B. DOELEINDEN 8. De aanvrager is een openbare huisvestingsmaatschappij (OHM) met als voornaamste opdrachten: - beheren en verhuren van woningen aan kwetsbare personen en aan personen met een gemiddeld inkomen; - woningen bouwen bestemd voor de verhuur of verkoop; - verwerven en renoveren van woningen voor de verhuur; - de kandidaat-huurders en huurders opvangen en informeren en hen sociale begeleiding aanbieden. 9. De aanvrager wenst toegang tot de informatie van het Rijksregister om zijn taken te vervullen, met name het administratief beheer van de bestanden waarin de personen zijn opgenomen die een door hem beheerde woning betrekken. Deze taken zijn onder andere het berekenen van de huurprijs, de kennisgeving daarvan aan de huurders, de opvolging van de dossiers van de kandidaten voor een woning, 10. Deze toegang stelt hem ook in staat om de personen te controleren waarvoor hij rechtstreeks bemiddelt door na te gaan of zij de voorwaarden vervullen voor de toekenning van een sociale
Beraadslaging RR 78/2016-4/9 woning, maar ook om de huurprijs opnieuw te berekenen in functie van de wijzigingen binnen het gezin (pensioen, overlijden, nieuw salaris, ). 11. De toegang tot het Rijksregister zal het beheer van de sociale woningen aanzienlijk vergemakkelijken aangezien de gegevens van de personen die een sociale woning betrekken, beter zullen worden bijgewerkt. 12. Het Comité is van mening dat de nagestreefde doeleinden, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn zoals bedoeld in artikel 4, 1, 2 van WVP en artikel 5, 2de lid van de WRR. C. PROPORTIONALITEIT C.1 Ten overstaan van de gegevens 13. De aanvraag strekt ertoe de toegang uit te breiden tot de gegevens - vermeld onder artikel 3, 1ste lid, 15, 16 van de WRR - van de huurders en kandidaat-huurders. 14. Het gaat om deze gegevens: - de vermelding van de ascendenten in de eerste graad, ongeacht of de afstamming tot stand komt door de geboorteakte, een gerechtelijke beslissing, een erkenning of een adoptie; - de vermelding van de afstammelingen in rechtstreekse, dalende lijn in de eerste graad, ongeacht of de afstamming tot stand komt door de geboorteakte, een gerechtelijke beslissing, een erkenning of een adoptie. Deze gegevens zijn noodzakelijk om de inkomenscategorie te kunnen bepalen van de kandidaat-huurders en om de verschuldigde huur te berekenen (afhankelijk van het inkomen van de kandidaat-huurders en van hun gezin) en om een woning te kunnen aanbieden die aan de gezinssamenstelling is aangepast. 15. Gelet op wat voorafgaat, stelt het Comité vast dat uitgaande van het nagestreefde doeleinde, de gevraagde gegevens toereikend, ter zake dienend en niet overmatig zijn. 16. Naast een toegang tot die gegevens, verlangt de aanvrager een automatische mededeling tussen hem en het Rijksregister zodat hij automatisch iedere wijziging ontvangt aan de gegevens vermeld onder artikel 1, 1ste lid, 1 tot 9, 15 en 16 van de WRR. De aanvrager rechtvaardigt dit verzoek met het argument dat de gegevens geïntegreerd zullen worden in
Beraadslaging RR 78/2016-5/9 de beroepsapplicaties van de aanvrager. Daarom maakt een bijwerking van de rijksregistergegevens het mogelijk dat de huurder niet langer gevraagd moet worden om die inlichtingen te updaten. 17. Het Comité wijst de aanvrager erop dat hij, om van deze functionaliteit te kunnen genieten, bij voorkeur moet beschikken over een verwijzingsrepertorium. Dit repertorium dient als filter opdat de aanvrager slechts de informatie zou ontvangen die relevant is voor de behandeling van zijn dossiers. Het Comité stelt evenwel dat de aanvrager niet noodzakelijk zelf moet instaan voor het oprichten van dit verwijzingsrepertorium. Hij kan zich integreren in een bestaand repertorium van een dienstenintegrator. De aanvrager heeft verduidelijkt in zijn aanvraag dat hij beroep zal doen op de Kruispuntbank voor de uitwisseling van Gegevens. Het Comité neemt daarvan akte. 18. Het Comité is van oordeel dat de gevraagde toegang tot de informatie vermeld onder artikel 3, eerste lid, 15 en 16 van de WRR evenals de automatische mededeling van de wijzigingen aan de informatie vermeld onder artikel 3, eerste lid, 1 tot 9, 15 en 16 van de WRR in overeenstemming is met artikel 4, 1, 3 van de WVP. C.2. De frequentie van de toegang en de duur van de toegang 19. Er wordt permanent toegang gevraagd tot de informatie van het Rijksregister aangezien de aanvrager te allen tijde de dossiers van de huurders en kandidaat-huurders moet kunnen bijwerken. 20. Het Comité stelt vast dat de aanvrager via een permanente toegang zijn dossiers correct kan beheren. De gewenste toegang is bijgevolg in overeenstemming met artikel 4, 1, 3, WVP. 21. De aanvrager vraagt toegang voor onbepaalde duur aangezien zijn opdrachten niet in de tijd beperkt zijn. 22. Het Comité stelt bijgevolg vast dat een machtiging voor onbepaalde duur noodzakelijk is voor de verwezenlijking van het doeleinde van algemeen belang toevertrouwd door of krachtens een wet (artikel 1, 1, 3 van de WVP). C.3. Betreffende de bewaartermijn 23. De gegevens zullen gedurende 5 jaar bewaard worden omdat dit de termijn is voor verjaring van huurschulden (artikel 2277 van het Burgerlijke Wetboek).
Beraadslaging RR 78/2016-6/9 24. Het Comité is van oordeel dat voor wat de kandidaat-huurders betreft, de gegevens slechts mogen worden worden bewaard gedurende de maximum geldigheidsduur van hun kandidatuur, met name gedurende 20 jaar vanaf de indiening van hun aanvraag. C.4. Intern gebruik en/of mededeling aan derden 25. De aanvrager verduidelijkt dat de gegevens intern worden gebruikt door zijn diensten en dat zij die gegevens kunnen meedelen aan de erkende publiekrechtelijke bouwmaatschappijen onder hun toezicht. 26. De aanvrager rechtvaardigt de gegevensmededeling aan deze derden met te stellen dat de gegevensbank gecentraliseerd is bij de SWL (zie art. 12 van het Besluit van de Waalse Regering van 2 september 2007). De werkwijze is de volgende: De kandidaat-huurder die een aanvraag indient voor een sociale woning moet een uniek kandidaat-formulier invullen waarin al zijn signalementsgegevens worden opgenomen. Vervolgens worden die gegevens gecodeerd in de beroepsapplicaties van de publiekrechtelijke bouwmaatschappij bij wie hij zijn uniek kandidatuurdossier heeft ingediend. De gegevens worden doorgestuurd naar een uitwisselingsplatform dat door de aanvrager wordt beheerd en vervolgens doorgezonden naar alle publiekrechtelijke bouwmaatschappijen die woningen beheren waarvoor de kandidaathuurder een woningaanvraag indiende. 27. Het Comité merkt op dat omdat die mededeling het mogelijk maakt om de wettelijke en reglementaire bepalingen correct toe te passen en uit te voeren, ze beschouwd mag worden als toelaatbaar. Vooraleer de aanvrager het identificatienummer meedeelt, moet hij nagaan of de betrokken derde ook gemachtigd is om zich van dit nummer te bedienen en dat het voorgenomen gebruik kadert binnen de verwezenlijking van de doeleinden waarvoor hij werd gemachtigd. 28. Omdat dit verbonden is aan een onrechtstreekse toegang van de publiekrechtelijke bouwmaatschappijen tot het Rijksregister, moeten zij voldoen aan de veiligheidsvoorwaarden van de WRR om toegang te krijgen tot die gegevens. Alleen deze die beschikken over een veiligheidsconsulent en een gepast informatiebeveiligingsbeleid kunnen gebruik maken van die onrechtstreekse toegang. 29. Het Comité verleent daarom enkel machtiging op voorwaarde dat de aanvrager de openbare huisvestingsmaatschappijen, die verbonden willen zijn met het uitwisselingsplatform, er contractueel toe verbindt over een veiligheidconsulent te beschikken en
Beraadslaging RR 78/2016-7/9 veiligheidsmaatregelen in te voeren die in overeenstemming zijn met de referentiemaatregelen ter zake, zoals uitgevaardigd door de CBPL. 2. C.5. Netw erkverbindingen 30. Uit de aanvraag blijkt dat er thans geen enkele netwerkverbinding tot stand komt. 31. Volledigheidshalve vestigt het Comité de aandacht op het feit dat: indien er later andere netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het rijksregisternummer in ieder geval slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. D. BEVEILIGING D.1 Consulent inzake informatiebeveiliging 32. De identiteit van de consulent inzake informatiebeveiliging werd aan het Comité meegedeeld. Het Comité neemt hiervan akte. D.2. Beveiligingsbeleid 33. Uit de documentatie die de aanvrager verstrekte, blijkt dat hij beschikt over een beleid inzake informatiebeveiliging en over een uitvoeringsplan daarvan. 34. Het Comité heeft er akte van genomen. D.3. Personen die toegang hebben tot de informatie en lijst van die personen 35. De aanvrager preciseert in zijn aanvraagformulier dat de gevraagde gegevens intern zullen worden aangewend en dat ze kunnen worden meegedeeld aan erkende publiekrechtelijke bouwmaatschappijen. De identiteit en de functie van die personen werden nader omschreven. 36. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Rijksregister en die het 2 https://www.privacycommission.be/sites/privacycommission/files/documents/referentiemaatregelen_voor_de_beveiliging_va n_elke_verwerking_van_persoonsgegevens_0.pdf
Beraadslaging RR 78/2016-8/9 identificatienummer gebruiken. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking van het Comité gehouden worden. Het is niet nodig om systematisch die lijst aan het Comité te bezorgen. 37. De personen die op deze lijst voorkomen moeten bovendien een verklaring ondertekenen waarin zij zich ertoe verbinden de vertrouwelijkheid en veiligheid van de informatiegegevens te bewaren. 38. Het Comité eist dat de aanvrager de nodige maatregelen zou nemen om de loggings te registreren (wie, wanneer en waarom toegang had tot de gegevens) zodat de toegangen kunnen worden gecontroleerd. Gelet op de configuratie van de gegevensbank van de aanvrager en de mededelingen aan verschillende tussenkomende bouwmaatschappijen, vestigt het Comité de aandacht van de aanvrager op het feit dat het zijn verantwoordelijkheid is om een loggingsysteem op te zetten, niet alleen op niveau van zijn diensten maar ook op niveau van de publiekrechtelijke bouwmaatschappijen die toegang hebben gehad tot het Rijksregister, wanneer en waarom, om desgevallend onmiddellijk antwoord te kunnen geven op een eerste verzoek van een toezichthoudende autoriteit of een betrokkene die zijn recht op toegang doet gelden. OM DEZE REDENEN, Het Comité 1 breidt voor de Société Régionale Wallonne du Logement, de machtiging uit die werd verleend bij Koninklijk besluit van 23 januari 1998 waarbij machtiging werd verleend aan de Société Régionale Wallonne du Logement en de door haar erkende publiekrechtelijke bouwmaatschappijen om toegang te hebben tot het Rijksregister van de natuurlijke personen en om het rijksregisternummer te gebruiken: a. de machtiging wordt uitgebreid tot de informatie vermeld onder artikel 3, 1ste lid, 15 en 16 van de WRR; b. de machtiging wordt uitgebreid tot de gegevens betreffende de kandidaat-huurders; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden uit het beveiligingsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité
Beraadslaging RR 78/2016-9/9 moet bezorgen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren; 3 bepaalt dat wanneer het Comité een vragenlijst over het beveiligingsniveau van de aanvrager toestuurt, die laatste deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De wnd. Administrateur, De Voorzitter (get.) An Machtens (get.) Mireille Salmon