1/7 Sectoraal comité van het Rijksregister Beraadslaging RR nr 71/2011 van 14 december 2011 Betreft: machtigingsaanvraag van het Belgische Rode Kruis om het Rijksregisternummer te gebruiken zodat zij voor iedere vrijwilliger kunnen beschikken over een uniek identificatienummer en om de fiscale fiches te kunnen invullen (RN-MA-2011-288) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Belgische Rode Kruis ontvangen op 11/10/2011; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 29/11/2011; Gelet op het verslag van de Voorzitter; Beslist op 14 december 2011, na beraadslaging, als volgt:
Beraadslaging RR 71 /2011-2/7 I. ONDERWERP VAN DE AANVRAAG 1. De aanvraag strekt ertoe om het Belgische Rode Kruis, hierna de aanvrager, machtiging te verlenen om gebruik te maken van het identificatienummer van het Rijksregister (artikel 8 van de WRR) zodat zij over een uniek identificatienummer beschikken voor iedere vrijwilliger en ook om de fiscale fiches te kunnen invullen. 2. Ter informatie herinnert het Comité eraan dat het reeds voor een ander doeleinde machtiging verleende aan het Belgische Rode Kruis om gebruik te maken van het identificatienummer van het Rijksregister in de beraadslaging RN nr. 39/2008 van 30 juli 2008: aanvraag van het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed, om het identificatienummer van het Rijksregister te gebruiken met het oog op de identificatie van de bloeddonor. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 3. Overeenkomstig de artikelen 5, eerste lid, 2, en 8 WRR wordt de machtiging om toegang te verkrijgen tot of om mededeling te krijgen van de informatiegegevens bedoeld in artikel 3, eerste en tweede lid, WRR en om het identificatienummer van het Rijksregister te gebruiken, verleend door het Comité aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. 4. Overeenkomstig haar statuten 1, goedgekeurd bij besluit van de drie gemeenschapsexecutieven 2, staat Het Belgische Rode Kruis de openbare overheid bij in de hoedanigheid van hulpdienst en vervult aldus een opdracht van algemeen belang. 1 Statuten van het Belgische Rode Kruis goedgekeurd op 13 oktober 2003, BS, 22 april 2004. 2 Besluit van de Regering van de Franse Gemeenschap tot goedkeuring van de statuten van het Belgische Rode Kruis, BS, 22 april 2004; Besluit van de Vlaamse regering tot goedkeuring van de gewijzigde statuten van het Belgische Rode Kruis, BS 1 juli 2004; Besluit van de Regering houdende goedkeuring van de nieuwe statuten van het Rode Kruis van België aangenomen op 11 oktober 2003, BS 20 augustus 2004.
Beraadslaging RR 71 /2011-3/7 5. In haar hoedanigheid van openbare instelling van Belgisch recht op grond van de artikelen 5, eerste lid, 2, en 8 WRR komt de aanvrager bijgevolg in aanmerking om gemachtigd te worden het identificatienummer van het Rijksregister te gebruiken. 6. Bovendien mag de aanvrager op grond van artikel 314, 3, 5 van het Wetboek van de inkomstenbelasting het identificatienummer van het Rijksregister gebruiken om de fiscale fiches in te vullen van haar vrijwilligers die het jaarlijkse maximum bedrag aan forfaitaire vergoedingen overschrijden zoals bepaald in de wet van 3 juli 2005 met betrekking tot de rechten van vrijwilligers. A.2. Wet van 8 december 1992 (WVP) 7. Op grond van artikel 4 WVP vormen de informatiegegevens en het identificatienummer van het Rijksregister persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt B. DOELEINDEN 8. De statuten 3 van de aanvrager bepalen wat volgt: Het Belgische Rode Kruis is officieel erkend door de regering als een vrijwillige en zelfstandige organisatie, helper van de overheid en in het bijzonder van de medische diensten van het leger 9. In die hoedanigheid beschikt zij over vrijwilligers waarop een bijzonder regime van toepassing is, zoals bepaald in de wet van 3 juli 2005 betreffende de rechten van vrijwilligers. 10. Het gebruik van het identificatienummer van het rijksregister wordt gevraagd voor een dubbel doeleinde: - Een uniek identificatienummer hebben voor iedere vrijwilliger (9500 in totaal) - In staat zijn de fiscale fiches 281.10 in te vullen van de vrijwilligers die het maximumbedrag overschrijden van de forfaitaire vergoeding. 3 Statuten van het Belgische Rode Kruis goedgekeurd op 13 oktober 2003, BS, 22 april 2004.
Beraadslaging RR 71 /2011-4/7 11. Het comité is van mening dat deze doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn zoals bedoeld in artikel 4, 1, 2 van de WVP en artikel 5, tweede lid van de WRR. C. PROPORTIONALITEIT C.1. Ten overstaan van het identificatienummer van het Rijksregister 12. De aanvrager wenst het identificatienummer van het Rijksregister te gebruiken om iedere vrijwilliger eenduidig en zonder risico op homoniemen te kunnen identificeren. Die precieze identificatie is belangrijk omdat de aanvrager voor de verschillende activiteiten (waarvan de interventies bij catastrofes) met haar gegevensbank de vrijwilligers kan mobiliseren met het juiste profiel (met name de gevolgde opleiding) 13. Het is ook dankzij het identificatienummer van het Rijksregister dat de aanvrager de fiscale fiches correct kan invullen van de vrijwilligers die het maximumbedrag voor vergoedingen, bedoeld in de wet van 3 juli 2005 betreffende de rechten van de vrijwilligers, hebben overschreden. 14. Het Comité besluit dat uitgaande van de vermelde doeleinden, het gebruik van het identificatienummer in overeenstemming is met artikel 4, 1, 3 van de WVP. C.2. Ten opzichte van de duur waarvoor het gebruik gevraagd wordt 15. De aanvrager wenst een machtiging voor onbepaalde duur. 16. Het Comité stelt vast dat de opdrachten die aan de aanvrager werden toevertrouwd niet beperkt zijn in de tijd. Uitgaande van het doeleinde waarvoor de toegang en het gebruik worden gevraagd, lijkt een machtiging voor onbepaalde duur gepast (artikel 4, 1, 3 van de WVP). C.3. Ten opzichte van de bewaartermijn 17. Uit het aanvraagformulier blijkt dat de aanvrager het identificatienummer zal bewaren zolang een persoon als vrijwilliger actief blijft bij het Rode Kruis. Het betreft meer bepaald de periode waarin een vrijwilliger voor interventies op het terrein kan worden opgeroepen en een onkostenvergoeding kan krijgen die ertoe zou kunnen leiden dat een fiscale fiche 281.10 moet worden ingevuld.
Beraadslaging RR 71 /2011-5/7 18. Wanneer een vrijwilliger niet langer als actief wordt beschouwd, zal de aanvrager zijn identificatienummer van het Rijksregister verwijderen. 19. Gelet op wat voorafging is het Comité van oordeel dat de voorgestelde bewaringstermijn in overeenstemming is met artikel 4, 1, 5 van de WVP C.4. Intern gebruik en/of mededeling aan derden 20. Volgens de aanvraag zal het identificatienummer uitsluitend intern worden gebruikt. 21. Het Comité neemt hiervan akte. C.5. Netwerkverbindingen 22. Uit de uitleg verstrekt door de aanvrager leidt het Comité af dat er geen netwerkverbindingen aan de hand van het identificatienummer zullen tot stand komen. 23. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later netwerkverbindingen mochten tot stand komen de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. D. BEVEILIGING D.1. De consulent inzake informatieveiligheid 24. De identiteit van de consulent inzake informatieveiligheid werd meegedeeld. De betrokkene is departementshoofd ICT. 25. Het Comité vestigt er de aandacht op dat de IT-veiligheid een onderdeel is van de informatieveiligheid. Bijgevolg zou de betrokkene als veiligheidsconsulent zichzelf als hoofd van het ICT-departement moeten controleren. Er bestaat in zijnen hoofde dus een onverenigbaarheid.
Beraadslaging RR 71 /2011-6/7 26. Zoals reeds werd aangestipt is informatiebeveiliging ruimer dan IT-beveiliging. Het omvat o.a. ook de fysieke - en omgevingsbeveiliging en de beveiliging m.b.t. het personeel. Het is niet duidelijk of de voorgestelde persoon ook die aspecten zal controleren. 27. Het Comité wenst dan ook dat de aanvrager een andere persoon voorstelt voor de functie van veiligheidsconsulent D.2. Het informatieveiligheidsbeleid 28. Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsbeleid beschikt evenals over een plan in toepassing ervan. 29. Het Comité heeft er akte van genomen. D.3. Personen die het identificatienummer gebruiken en lijst van deze personen 30. Het identificatienummer van het Rijksregister zal gebruikt worden door de Coördinatoren van de Dienst voluntariaat, de coördinatoren en bestuursassistenten van de Provinciale comités belast met het beheer van de fiches en door de personeelsleden van de dienst boekhouding die belast zijn met de opmaakt van de fiscale fiches. 31. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot het Rijksregister en die het identificatienummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. 32. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens, te bewaren. 33. Het Comité wijst er overigens op dat de aanvrager de noodzakelijke procedures moet invoeren zodat - ongeacht de persoon die intern toegang heeft tot het Rijksregister - iedere raadpleging van het Rijksregister wordt geregistreerd alsook het kader waarbinnen de raadpleging heeft plaatsgevonden zodat achteraf kan nagegaan worden of deze raadpleging voldoende gegrond was. OM DIE REDENEN,
Beraadslaging RR 71 /2011-7/7 Het Comité 1 machtigt het Belgische Rode Kruis om voor onbepaalde duur en voor de verwezenlijking van de doeleinden, vermeld onder punt B en onder de voorwaarden uiteengezet in deze beraadslaging, het identificatienummer van het Rijksregister te gebruiken. Deze machtiging heeft slechts uitwerking zodra het Comité aan de hand van de verstrekte documenten en informatie heeft kunnen vaststellen dat: Een veiligheidsconsulent die alle noodzakelijke garanties biedt, werd aangesteld; 2 stipuleert dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden uit het beveiligingsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), het Belgische Rode Kruis een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren. 3 stipuleert dat wanneer het Comité een vragenlijst over het beveiligingsniveau van het Belgische Rode Kruis toestuurt, die laatste deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren. Voor de Administrateur m.v., De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon