1/9 Sectoraal comité van het Rijksregister Beraadslaging RR nr 70/2011 van 14 december 2011 Betreft: Aanvraag tot machtiging vanwege het Agentschap Ondernemen - Afdeling Economisch Ondersteuningsbeleid van de Vlaamse Overheid voor gebruik van het rijksregisternummer in het kader van de steunmaatregel 'Toekenning van steun voor advies aan prestarters' (RN/MA/2011/294) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Agentschap Ondernemen - Afdeling Economisch Ondersteuningsbeleid van de Vlaamse Overheid ontvangen op 19/10/2011; Gelet op de bijkomende informatie ontvangen op 4/11/2011; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 28/10/2011; Gelet op het verslag van de Voorzitter;
Beraadslaging RR 70 /2011-2/9 Beslist op 14 december 2011, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG 1. De aanvraag strekt ertoe om het Agentschap Ondernemen - Afdeling Economisch Ondersteuningsbeleid van de Vlaamse Overheid, hierna de aanvrager, te machtigen om het identificatienummer van het Rijksregister te gebruiken in het kader van de steunmaatregel 'Toekenning van steun voor advies aan prestarters'.. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 2. Overeenkomstig artikel 5, eerste lid, 2, en artikel 8 van de WRR, verleent het Comité machtiging om het identificatienummer van het Rijksregister te gebruiken aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. 3. Aanvrager is een intern verzelfstandigd agentschap zonder rechtspersoonlijkheid. Het behoort tot het beleidsdomein Economie, Wetenschap en Innovatie (EWl) en is ontstaan in 2009 bij de samensmelting van het Agentschap Economie en het Vlaams Agentschap Ondernemen (VLAO). Aanvrager staat onder voogdij van de Minister-president van de Vlaamse Regering en Vlaams minister van Economie, Buitenlands Beleid, Landbouw en Plattelandsbeleid. Het is de taak van de aanvrager om het economisch beleid uit te voeren en in te staan voor de operationele voorbereiding. Organiek wordt er verwezen naar artikel 6 van het decreet van 19 december 2008 houdende diverse maatregelen inzake de ontbinding van het Vlaams Agentschap Ondernemen en houdende de inrichting van een Comité voor Preventief Bedrijfsbeleid. 4. Aanvrager werd reeds gemachtigd om het identificatienummer van het Rijksregister te gebruiken (beraadslaging RR nr. 28/2007 van 12 september 2007), weliswaar toen de aanvrager nog als Agentschap Economie gekend was.
Beraadslaging RR 70 /2011-3/9 5. Het Comité bevestigde in beraadslaging RR nr. 34/2011 van 18 mei 2011 dat de aanvrager gemachtigd is om het identificatienummer van het Rijksregister te gebruiken (cf. punten 38 en 39 van bedoelde beraadslaging). 6. Het onderzoek van het Comité kan zich er bijgevolg toe beperken na te gaan of: het nagestreefde doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, 1, 2, WVP; het gebruik van het identificatienummer niet overmatig is, rekening houdend met het doeleinde. 7. Uit de aanvraag blijkt verder dat aanvrager het gebruik van het rijksregisternummer in casu verzoekt in het kader van de steunmaatregel Toekenning van steun voor advies aan prestarters (zie meer uitgebreid hierna), maar dat Unizo en Voka ter zake optreden als verwerkers van de aanvrager. 8. Het Comité besliste eerder (beraadslaging RR nr. 57/2008 van 10 december 2008) dat het volstaat dat de verantwoordelijke voor de verwerking wordt gemachtigd om het identificatienummer van het Rijksregister te gebruiken en dat een machtiging van diens verwerker niet vereist is. De betrokken verwerkers kunnen zich dus beroepen op deze machtiging en derhalve het identificatienummer gebruiken, voor zover natuurlijk dit gebruik betrekking heeft op de werkzaamheden waarvoor aanvrager wordt gemachtigd. A.2. Wet van 8 december 1992 9. Het identificatienummer van het Rijksregister is een persoonsgegeven waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. 10. Het Comité zal hierna nagaan of het doeleinde waarvoor het gebruik van het identificatienummer wordt gevraagd, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is (artikel 4, 1, 2, WVP) en of het gebruik van het identificatienummer proportioneel is in het licht van dit doeleinde (artikel 4, 1, 3, WVP).
Beraadslaging RR 70 /2011-4/9 B. DOELEINDEN 11. Aanvrager verzoekt het gebruik van het rijksregisternummer in het kader van de steunmaatregel Toekenning van steun voor advies aan prestarters. De beslissing van de Vlaamse Regering van 17 december 2010 regelt de toekenning van steun voor advies aan prestarters. Concreet voorziet deze beslissing voor prestarters advies en begeleiding bij de opmaak van een haalbaarheidsstudie en dit tegen een gereduceerde prijs. Het adviestraject omvat een haalbaarheidsstudie, informatieverschaffing en advies over de ondernemerscompetenties. Kandidaat-ondernemers kunnen hiervoor terecht bij de lokale vestigingen van Unizo en Voka, die, zoals hoger vermeld, in deze optreden als verwerkers van de aanvrager. 12. Het Comité besluit dat bovenvermelde doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2, WVP en artikel 5, tweede lid, WRR. C. PROPORTIONALITEIT C.1. Ten overstaan van het identificatienummer 13. Het gebruik van het rijksregisternummer kadert in de steunverlening aan prestarters. Iedere kandidaat ondernemer kan slechts éénmalig gebruik maken van gesubsidieerd advies en begeleiding voor de opmaak van een haalbaarheidsstudie. Daartoe moet hij, vermits het om een persoonsgebonden steunmaatregel gaat, een aantal persoonsgegevens indienen bij de verwerker, waaronder het rijksregisternummer. De verwerker zal naast een aantal andere basisgegevens m.b.t. de prestarter dit rijksregisternummer aanleveren aan de aanvrager: die zal deze gegevens digitaal stockeren in een beveiligde databank in eigen beheer. De data zullen dienen om een grondige evaluatie van de maatregel uit te voeren. Aanvrager zal een adequaat controlesysteem opzetten om na te gaan of er geen misbruik is van de steunmaatregel. Als unieke sleutel van de data zal aanvrager het rijksregisternummer gebruiken. De controle zelf zal uitgevoerd worden door 2 in de aanvraag met name genoemde personeelsleden van de aanvrager. De stockage van gegevens is dus nodig om te voorkomen dat prestarters dubbel van de dienstverlening zouden gebruik maken. De enige mogelijkheid om dit te controleren is het rijksregisternummer. 14. Het Comité besluit dat het gebruik van het identificatienummer in het licht van het opgegeven doeleinde in overeenstemming is met artikel 4, 1, 3, WVP.
Beraadslaging RR 70 /2011-5/9 C.2. Ten overstaan van de duur van de machtiging 15. De aanvrager wenst een machtiging voor 8 jaar daar de steunmaatregel 2 jaar loopt, maximaal verlengbaar is met 1 jaar en de data van prestarters (waaronder dus hun rijksregisternummer) vervolgens nog 5 jaar bewaard dienen te worden. Navraag leerde dat er, op dat vlak, geen sprake is van eventuele verwarring met de bewaartermijn van de gegevens die eveneens 8 jaar bedraagt (zie evenwel hierna). De maatregel kadert immers in een pilootproject en (nog) niet in een reglementaire tekst die in principe voor onbepaalde duur geldt en dewelke derhalve een machtiging voor onbepaalde duur zou verantwoorden. 16. In het licht van het doeleinde waarvoor het gebruik wordt gevraagd, is een machtiging voor de duur van 8 jaar gepast conform artikel 4, 1, 3 WVP. C.3. Ten overstaan van de bewaringstermijn 17. In de aanvraag wordt de bewaringstermijn van het identificatienummer bepaald op 8 jaar: de steunmaatregel loopt 2 jaar, maximaal verlengbaar met 1 jaar. De data dienen vervolgens nog 5 jaar bewaard te worden. Controle kan tijdens de duurtijd van de steunmaatregel, evenals binnen de 5 jaar erna. Navraag leerde dat hoewel controle weliswaar gebeurt bij de aanvraag, deze ook na de duurtijd van de steunmaatregel moet mogelijk zijn om te vermijden dat prestarters meer dan één keer van de dienstverlening gebruik zouden kunnen maken. 18. Het Comité is van oordeel dat deze retentieduur voor het doel dat de aanvrager nastreeft aanvaardbaar is in het licht van artikel 4, 1, 5, WVP, maar wijst eveneens op het bestaan van toepasselijke wetgeving die een bewaartermijn van 10 jaar verantwoordt. 19. Navraag leerde dat de steunmaatregel inderdaad betrekking heeft op uitgaven die onder toepassing vallen van de wet van 16 mei 2003 tot vaststelling van de algemene bepalingen die gelden voor de begrotingen, de controle op de subsidies en voor de boekhouding van de gemeenschappen en de gewesten, alsook voor de organisatie van de controle door het Rekenhof. Artikel 15 van die wet bepaalt dat inzake verjaring het gemeen recht van toepassing is, dus 10 jaar. Daarenboven bepaalt artikel 26 van het decreet van de Vlaamse Gemeenschap van 7 mei 2004 houdende regeling van de begroting, de boekhouding, de controle inzake subsidies en de controle door het Rekenhof, dat alle boekhoudstukken worden bewaard gedurende een periode van 10 jaar die aanvangt op de eerste januari volgend op het jaar waarop het boekhoudstuk betrekking heeft. 20. Een bewaringstermijn van 10 jaar is dus aanvaardbaar in het licht van artikel 4, 1, 5, WVP.
Beraadslaging RR 70 /2011-6/9 C.4. Intern gebruik/mededeling aan derden 21. Volgens de aanvraag wordt het identificatienummer intern gebruikt. Twee in de aanvraag met name genoemde personeelsleden van de aanvrager zullen toegang krijgen tot de via de verwerkers ingezamelde data inclusief het rijksregisternummer. 22. Het Comité neemt hiervan akte. 23. In elk geval is het zo dat in de mate dat de door deze beraadslaging gemachtigden -in eerste instantie de aanvrager, maar ook voornoemde verwerkers- met het oog op het in punt B vermelde doeleinde, gegevens uitwisselen omtrent prestarters aan de hand van hun rijksregisternummer, dit geen bijzondere bedenkingen oproept in hoofde van het Comité, mits respect wordt opgebracht voor het bepaalde in punt 30 van onderhavige beraadslaging. Een verwerker is volgens artikel 1, 6, van de WVP immers geen derde t.o.v. de verantwoordelijke voor de verwerking, voor zover de verwerker optreedt onder controle en verantwoordelijkheid van de verantwoordelijke voor de verwerking en met deze laatste tevens een verwerkingscontract wordt afgesloten met minimaal de clausules (onder andere aspecten van aansprakelijkheid) waarvan sprake in artikel 16 van de WVP. C.5. Netwerkverbindingen 24. Een netwerkverbinding impliceert dat persoonsgegevens via onderlinge koppeling van informatiesystemen automatisch aan derden worden meegedeeld waarbij het rijksregisternummer van de betrokkenen als primaire sleutel wordt gebruikt. 25. De uitwisseling van informatie tussen de verwerkers en de aanvrager in het kader van de in deze beraadslaging omschreven doeleinden, wordt niet als een netwerkverbinding gekwalificeerd. 26. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later andere netwerkverbindingen mochten tot stand komen de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken.
Beraadslaging RR 70 /2011-7/9 D. INFORMATIEVEILIGHEID D.1. Consulent inzake informatieveiligheid 27. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een consulent inzake informatieveiligheid beschikt, wiens identiteit tevens werd meegedeeld. D.2. Informatieveiligheidsbeleid 28. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsbeleid beschikt evenals over een plan in toepassing ervan. 29. Het Comité heeft er akte van genomen. 30. Uit de aanvraag blijkt dat de aanvrager de werkzaamheden van de verwerkers monitort en voor periodiek overleg met de verwerkers zorgt. De aanvrager moet zijn samenwerking met die verwerkers echter formeel omkaderen door het afsluiten van een overeenkomst die voldoet aan de voorschriften van artikel 16 WVP waarin onder andere de toevertrouwde opdracht wordt verduidelijkt alsmede wordt bepaald dat de verkregen rijksregisternummers niet mogen worden gebruikt voor enige eigen verwerking, maar enkel mogen worden gehanteerd ten behoeve van de realisering van de finaliteit waarvoor de opdrachtgever thans wordt gemachtigd deze nummers te verwerken. Artikel 5 lid, 3 van de WRR verplicht dat de verwerking gebeurt op verzoek, onder controle en verantwoordelijkheid van de aanvrager en dat de verwerkers zich er formeel toe verbinden de bepalingen van de WRR en de WVP te respecteren en zij nemen daartoe de nodige maatregelen, waarvan zij melding maken aan de aanvrager. Dit laatste slaat ook op het inlichten van de aanvrager over de noodzakelijke veiligheidsmaatregelen die een verwerker neemt. Het is aan de aanvrager om erover te waken dat zijn verwerkers de machtiging correct gebruiken. Hij moet er dus ook op toezien dat de informatieveiligheid (o.a. logging) verzekerd is. Ingeval van een eventuele klacht m.b.t. een raadpleging van gegevens door een verwerker, zal de aanvrager moeten kunnen aantonen dat deze raadpleging machtigingsconform was. 31. In verband met het logging-systeem merkt het Comité nog op dat dit systeem het mogelijk moet maken om onregelmatigheden of misbruiken vast te stellen. De afwezigheid van een omvattend logging-systeem dat registreert welke persoon wanneer welke gegevens over een bepaalde persoon raadpleegde en waarom, maakt van ieder veiligheidsbeleid een lege doos. Rekening houdend met het feit dat misbruik maken van een toegang tot persoonsgegevens
Beraadslaging RR 70 /2011-8/9 een strafbaar feit is, is het aangewezen dat dergelijke loggings minstens gedurende 10 jaar bewaard worden. 32. Het Comité wijst dus op de verantwoordelijkheid van de aanvrager op de handelingen die de verwerkers ten zijnen behoeve stellen op persoonsgegevens en dit zowel op het vlak van de informatieveiligheid als op het vlak van de bescherming van de persoonlijke levenssfeer. D.3. Personen die het identificatienummer gebruiken en lijst van deze personen 33. Aanvrager en de twee onderaannemers, moeten, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen van de personen die het identificatienummer van het Rijksregister gebruiken. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking gehouden worden van het Comité. 34. Twee in de aanvraag met name genoemde personeelsleden van de aanvrager zullen toegang krijgen tot het rijksregisternummer. 35. Wat de verwerkers betreft, verwijst het Comité naar punt 30 van onderhavige beraadslaging. 36. De personen die op deze lijst worden opgenomen moeten een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens waartoe zij toegang krijgen, te bewaren. OM DEZE REDENEN het Comité, 1 machtigt het Agentschap Ondernemen - Afdeling Economisch Ondersteuningsbeleid van de Vlaamse Overheid om voor het doeleinde vermeld in punt B en onder de voorwaarden bepaald in deze beraadslaging, voor de duur van 8 jaar, het identificatienummer van het Rijksregister te gebruiken; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatieveiligheid die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatieveiligheid en antwoorden op de vragen m.b.t. de organisatie van de veiligheid), het Agentschap Ondernemen - Afdeling Economisch Ondersteuningsbeleid van de Vlaamse Overheid een
Beraadslaging RR 70 /2011-9/9 nieuwe vragenlijst i.v.m. de stand van de informatieveiligheid naar waarheid moet invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren; 3 bepaalt dat wanneer het Comité het Agentschap Ondernemen - Afdeling Economisch Ondersteuningsbeleid van de Vlaamse Overheid een vragenlijst met betrekking tot de informatieveiligheidsstatus toestuurt, deze laatste deze lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst ervan bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren; 4 wijst op de verantwoordelijkheid van het Agentschap Ondernemen - Afdeling Economisch Ondersteuningsbeleid van de Vlaamse Overheid op de handelingen die de verwerkers ten behoeve van de voor de verwerking verantwoordelijke stellen op persoonsgegevens en dit zowel op het vlak van de informatieveiligheid als op het vlak van de bescherming van de persoonlijke levenssfeer. Voor de Administrateur m.v., De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon