1/11 Sectoraal comité voor de Federale Overheid Beraadslaging FO nr 12/2015 van 23 april 2015 Betreft: machtigingsaanvraag van de Algemene Dienst Inlichtingen en veiligheid ( ADIV ) om elektronisch persoonsgegevens te ontvangen van de Directie Inschrijving van Voertuigen ( DIV ) in het kader van de uitvoering van de opdrachten bepaald door artikel 11 van de wet van 30 november 1998 (AF-MA-2015-023) Het Sectoraal comité voor de Federale Overheid; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid de artikelen 31bis en 36bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van de Algemene Dienst Inlichtingen en Veiligheid (hierna de aanvrager) ontvangen op 19/02/2015; Gelet op de bijkomende informatie ontvangen op 11/03/2015; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Fedict op 11/03/2015; Gelet op het verslag van de Voorzitter;
Beraadslaging FO 12 /2015-2/11 Beslist op 23 april 2015, na beraadslaging, als volgt: I. ONDERWERP VAN DE AANVRAAG 1. De aanvrager (ADIV) wenst door het Comité te worden gemachtigd om elektronisch persoonsgegevens te ontvangen van de DIV om de identificatie van targets te vergemakkelijken en te garanderen in het kader van zijn opdrachten bepaald door artikel 11 van de wet van 30 november 1998 1.... 2. Artikel 11, 1 van voormelde wet somt de opdrachten van de aanvrager op als volgt : 1 het inwinnen, analyseren en verwerken van inlichtingen die betrekking hebben op elke activiteit die de onschendbaarheid van het nationaal grondgebied, de militaire defensieplannen, het wetenschappelijk en economisch potentieel met betrekking tot de actoren, zowel de natuurlijke als de rechtspersonen, die actief zijn in de economische en industriële sectoren die verbonden zijn met defensie en die opgenomen zijn in een op voorstel van de Minister van Justitie en de Minister van Landsverdediging door het ministerieel Comité voor Inlichting en Veiligheid goedgekeurde lijst, de vervulling van de opdrachten van de strijdkrachten, of de veiligheid van de Belgische onderdanen in het buitenland of elk ander fundamenteel belang van het land, zoals gedefinieerd door de Koning op voorstel van het Ministerieel Comité, bedreigt of zou kunnen bedreigen, en er de bevoegde ministers onverwijld over inlichten alsook de regering, op haar verzoek, advies te verlenen bij de omschrijving van haar buitenlands defensiebeleid; 2 het zorgen voor het behoud van de militaire veiligheid van het personeel dat onder de Minister van Landsverdediging ressorteert, de militaire installaties, wapens, munitie, uitrusting, plannen, geschriften, documenten, informatica- en verbindingssystemen of andere militaire voorwerpen en, in het kader van de cyberaanvallen op militaire informatica- en verbindingssystemen of systemen die de Minister van Landsverdediging beheerst, de aanval neutraliseren en er de daders van identificeren, onverminderd het recht onmiddellijk met een eigen cyberaanval te reageren overeenkomstig de bepalingen van het recht van de gewapende conflicten; 3 het beschermen van het geheim dat, krachtens de internationale verbintenissen van België of teneinde de onschendbaarheid van het nationaal grondgebied en de vervulling van de opdrachten van de strijdkrachten te verzekeren, verbonden is met de militaire installaties, wapens, munitie, uitrusting, met de plannen, geschriften, documenten of andere militaire voorwerpen, met de militaire inlichtingen en verbindingen, alsook met de militaire informatica- en verbindingssystemen of die systemen die de Minister van 1 Wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst, B.S., 18 december 1998.
Beraadslaging FO 12 /2015-3/11 Landsverdediging beheert; 4 het uitvoeren van de veiligheidsonderzoeken die hem overeenkomstig de richtlijnen van het Ministerieel Comité worden toevertrouwd. 3. De aanvrager kan als inlichtingen- en veiligheidsdienst krachtens artikel 13 van de wet van 30 november 1998 ( ) inlichtingen en persoonsgegevens opsporen, verzamelen, ontvangen en verwerken die nuttig kunnen zijn om hun opdrachten te vervullen en een documentatie bijhouden, meer bepaald met betrekking tot de gebeurtenissen, de groeperingen en de personen die een belang vertonen voor de uitoefening van hun opdrachten. II. ONDERZOEK VAN DE AANVRAAG A. BEVOEGDHEID VAN HET COMITE 4. Krachtens artikel 36bis van de WVP vereist elke elektronische mededeling van persoonsgegevens door een federale overheidsdienst of door een openbare instelling met rechtspersoonlijkheid die onder de federale overheid ressorteert een principiële machtiging van (het bevoegde) sectoraal comité. 5. Dit Comité moet nagaan of deze mededeling enerzijds nodig is voor de implementatie van de opdrachten die toevertrouwd worden door of krachtens de wet aan de vragende federale overheid en anderzijds of deze mededeling in zijn diverse aspecten compatibel is met al de geldige normen inzake de bescherming van de persoonlijke levenssfeer wat de verwerking van de persoonsgegevens betreft (Parl. Doc. 50, 2001-2002, 1940/004). 6. Artikel 18 van de wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de Voertuigen (hierna de WKBV ) bepaalt: De toegang tot de andere gegevens van de Kruispuntbank vereist een voorafgaande machtiging van het sectoraal comité. Vooraleer zijn machtiging te geven, gaat het sectoraal comité na of deze toegang geschiedt in overeenstemming met deze wet, haar uitvoeringsbesluiten en de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. Deze machtiging wordt door het sectoraal comité toegestaan : 1 aan de Belgische overheden voor de informatie die zij gemachtigd zijn te kennen door of krachtens een wet, een decreet of een ordonnantie; ( )
Beraadslaging FO 12 /2015-4/11 7. De DIV, die deel uitmaakt van de Federale Overheidsdienst Mobiliteit en Vervoer, zal de persoonsgegevens elektronisch doorzenden naar de aanvrager. Derhalve is het Comité bevoegd. B. TEN GRONDE 1. FINALITEITSBEGINSEL 8. Artikel 4, 1, 2 van de WVP staat uitsluitend een verwerking van persoonsgegevens toe voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en bovendien kunnen die gegevens niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. 9. De aanvrager legt uit dat de ingezamelde gegevens bedoeld zijn om overeenkomstig de artikelen 11 en 13 van de wet van 30 november 1998 targets te identificeren die het onderwerp uitmaken van onderzoeken. De identificatieopdrachten van de aanvrager dienen te worden uitgevoerd tijdens bewakingsopdrachten, naar aanleiding van controles militaire veiligheid en tijdens de onderzoeken voor het toekennen van veiligheidsmachtigingen. 10. Het Comité stelt vast dat: De WKBV bepaalt inzake de doeleinden waarvoor de DIV persoonsgegevens verzamelt en verwerkt: De Kruispuntbank heeft tot doel om enerzijds de opspoorbaarheid van voertuigen te waarborgen ( ) en anderzijds om op elk ogenblik de eigenaar ervan, de aanvrager en de titularis van hun inschrijving te identificeren, alsook de gegevens betreffende hun goedkeuring te achterhalen teneinde : ( )7 de opsporing, de strafrechtelijke vervolging en de strafuitvoering van de misdrijven mogelijk te maken; ; 11. Gelet op wat voorafgaat, is het Comité van mening dat de doeleinden die de aanvrager nastreeft welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn en het herinnert eraan dat de gevraagde gegevens uitsluitend verwerkt mogen worden voor de verwezenlijking van die doeleinden. 12. Deze gegevensverwerkingen zijn eveneens toegestaan gelet op artikel 5, c) van de WVP. Het Comité stelt inderdaad vast dat de verwerkingen hun grond vinden in de bovenvermelde wettelijke bepalingen. 2. PROPORTIONALITEITSBEGINSEL
Beraadslaging FO 12 /2015-5/11 2.1. Aard van de gegevens 13. Artikel 4, 1, 3 van de WVP bepaalt dat de persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen en waarvoor zijn verder worden verwerkt. 14. De aanvrager wenst de volgende gegevens te ontvangen uit het repertorium van de voertuigen dat het DIV bijhoudt: de naam, voornaam, geboortedatum, Rijksregisternummer van de persoon op welk het voertuig is ingeschreven; het adres van de tijdelijke verblijfplaats van de personen bedoeld in artikel 5, 1, 1 en 2 van het K.B. van 20 juli 2001 2 ; de naam, rechtsvorm en het BTW nummer van de rechtspersoon op welk het voertuig is ingeschreven; het inschrijvingsnummer (nummerplaat) van het voertuig; de datum van eerste inschrijving van het voertuig (in België of in het buitenland) het merk of, indien het merk niet gekend is, de constructeur van het voertuig; de type, indien van toepassing, de variante en de versie van het type voertuig; de commerciële benaming van het voertuig; het identificatienummer (chassisnummer) van het voertuig; de datum van de laatste inschrijving van het voertuig; de cilinderinhoud (in cm 3 ) van het voertuig; het type brandstof of type energiebron van het voertuig; de naam, adres en, indien van toepassing, het codenummer van de verzekeringsmaatschappij die de risico s dekt van de burgerlijke aansprakelijkheid van de eigenaar of de gebruiker van het voertuig; de kleur van het koetswerk. 2 Koninklijk besluit van 20 juli 2001 betreffende de inschrijving van voertuigen, B.S., 8 augustus 2001. Art. 5 1 1 Voor de hierna vernoemde personen die een voertuig in het verkeer willen brengen, is eveneens een inschrijving vereist die echter tijdelijk is. Het kan gaan ofwel om een inschrijving in transit wanneer de hierna vermelde personen een vrijstelling van rechten bij invoer en BTW of van BTW alleen hebben gekregen, ofwel om een voorlopige inschrijving in de andere gevallen : 1 de personen die in België deel uitmaken van het diplomatiek of van het consulair korps of die er de onschendbaarheden genieten die analoog zijn met die van het diplomatiek korps en wiens voertuig geen kentekenplaat draagt zoals bedoeld in artikel 20, 1, 1 of 6, evenals de personen die deel uitmaken van het administratief en technisch personeel van de diplomatieke zendingen in België of die er verblijven als consulaire bedienden van een beroepsconsulaat [1 en de personen die deel uitmaken van het personeel van een vaste inrichting in België van een internationale publiekrechtelijke instelling, overeenkomstig een akkoord afgesloten tussen de betrokken instelling en de Belgische regering]1 ; 2 de in België gevestigde organen en ambtenaren van de Europese Unie en de Europese organisatie voor de veiligheid van de luchtvaart die door bedoelde organisatie zijn aangewezen.( )
Beraadslaging FO 12 /2015-6/11 15. De voormelde gegevens zijn noodzakelijk voor de aanvrager in het licht van de mogelijke dreiging tegenover de integriteit van het nationaal grondgebied, de militaire defensieplannen, het economische en wetenschappelijk potentieel, de opdrachten van de krijgsmacht, de veiligheid van de Belgische onderdanen in het buitenland, en het beschermen van het geheim. 16. De aanvrager is al gemachtigd om toegang te krijgen tot het Rijkregister (koninklijk besluit van 8 juli 1999 3 ) en om het Rijksregisternummer te gebruiken (Koninklijk besluit van 27 oktober 2000 4 ). 17. Krachtens artikel 5, 1 van de wet van 5 mei 2014 houdende verankering van het principe van de unieke gegevensinzameling in de werking van de diensten en instanties die behoren tot of taken uitvoeren voor de overheid en tot vereenvoudiging en gelijkschakeling van elektronische en papieren formulieren, is het Comité bevoegd om het gebruik van het Rijksregisternummer te machtigen. Dit artikel bepaalt inderdaad: De toezichthouder staat toe dat het Rijksregisternummer wordt gebruikt telkens als over een gegevensstroom of verwerking van persoonsgegevens wordt beslist. Deze beslissing geldt als machtiging in uitvoering van artikel 8 van de wet van 8 augustus 1983 tot regeling van een rijksregister van de natuurlijke personen 5. 18. Omdat de aanvrager reeds gemachtigd is om toegang te hebben tot de informatie van het Rijksregister en het identificatienummer ervan te gebruiken, moet het onderzoek van het Comité enkel nog nagaan of het gebruik van het Rijksregisternummer proportioneel is ten aanzien van de nieuwe doeleinden die de aanvrager nastreeft (artikel 4, 1, 3 van de WVP). 19. De aanvrager wil het Rijksregisternummer als identificatiemiddel van targets gebruiken (zie hiervoor onder randnummer 9). Het Comité stelt vast dat in combinatie met de naam, voornaam en het adres, dit nummer, dat een uniek nummer is, het mogelijk maakt om een 3 Koninklijk besluit van 8 juli 1999 waarbij de Algemene Dienst Inlichting en Veiligheid van de Krijgsmacht toegang wordt verleend tot het Rijksregister van de natuurlijke personen. 4 Koninklijk besluit van 27 oktober 2000 waarbij de algemene dienst Inlichting en Veiligheid van de krijgsmacht gemachtigd wordt om het identificatienummer van het Rijksregister van de natuurlijke personen te gebruiken. 5 Artikel 3, 6 van de wet van 5 mei 2014 omschrijft het begrip toezichthouder als de publiekrechtelijke instelling bedoeld in artikel 28 van de Richtlijn 95/46/EG van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en in artikel 8.3 van het Handvest van de grondrechten van de Europese Unie van 12 december 2007, die thans bestaat uit de Commissie voor de bescherming van de persoonlijke levenssfeer, ingesteld door artikel 23 van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, alsook uit de sectorale comités ingesteld door artikel 31bis van dezelfde wet van 8 december 1992, de Vlaamse toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer, ingesteld door artikel 10 van het decreet van het Vlaamse Parlement van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, de Commissie Wallonië-Brussel voor het toezicht op de gegevensuitwisselingen, ingesteld door artikel 22 van het samenwerkingsakkoord van 23 mei 2013 tussen het Waalse Gewest en de Franse Gemeenschap over het opstarten van een gemeenschappelijk initiatief om gegevens te delen en over het gemeenschappelijk beheer van dit initiatief, en iedere andere gelijkaardige instantie opgericht bij wet, decreet of ordonnantie.
Beraadslaging FO 12 /2015-7/11 persoon zonder foutenmarge te identificeren. De verwarring of vergissingen waartoe homoniemen of spelfouten in de naam aanleiding kunnen geven, worden op die manier geheel vermeden. Gelet op de nagestreefde doeleinden en de gevolgen die dit voor de betrokken persoon kan meebrengen, is het van belang dat er geen enkele vergissing wordt gemaakt rond de identiteit van die persoon. 20. Gelet op de doeleinden omschreven hiervoor, besluit het Comité dat de gegevens die de aanvrager wenst te ontvangen in overeenstemming zijn met artikel 4, 1, 3 van de WVP. 21. Daarnaast vestigt het Comité de aandacht op het feit dat de verzamelde gegevens beschouwd moeten worden als gerechtelijke gegevens als omschreven in de WVP, als ze worden verzameld en verwerkt om een zaak voor de rechtbank aanhangig te maken. 22. Daarom wordt eraan herinnerd dat de gerechtigden van deze beraadslaging de bijzondere voorwaarden moeten naleven die gelden voor dit soort verwerkingen. De voorwaarden staan omschreven in artikel 25 van het koninklijk besluit van 13 februari 2001 houdende uitvoering van de WVP. Krachtens dit artikel moet de verantwoordelijke duidelijk de categorieën personen aanduiden die toegang hebben tot de gegevens en hun functie moet nader omschreven worden. De lijst van de categorieën personen moet ter beschikking worden gehouden van de Commissie voor de bescherming van de persoonlijke levenssfeer (hierna de Commissie). De verantwoordelijke moet bovendien erover waken dat die aangeduide personen krachtens een wettelijke, statutaire of contractuele verplichting gebonden zijn aan de eerbiediging van de vertrouwelijkheid van de gegevens. 2.2. Bewaringstermijn van de gegevens 23. Aangaande de bewaringstermijn van de gegevens herinnert het Comité eraan dat de gegevens niet langer mogen worden bewaard dan de tijd die nodig is om het doeleinde te verwezenlijken waarvoor die gegevens werden ingewonnen (artikel 4, 1, 5 van de WVP). 24. Art 21 van de wet van 30 november 1998 voorziet dat persoonsgegevens verwerkt in het kader van de toepassing van huidige wet worden bewaard voor een duur die niet langer mag zijn dan die welke noodzakelijk is om de doeleinden waarvoor ze opgeslagen worden, met uitzondering van de gegevens die een door het Rijksarchief erkend historisch karakter hebben.
Beraadslaging FO 12 /2015-8/11 25. Een voorontwerp van koninklijk besluit tot uitvoering van artikel 21 van de wet van 30 november 1998 voorziet volgens de aanvrager een bewaartermijn van 50 jaar met mogelijke verlengingen. 26. Volgens de aanvrager zal hierbij rekening worden gehouden met de opmerkingen uitgebracht door de Commissie in het advies 07/2013 van 20 februari 2013 6 op dit voorontwerp van koninklijk besluit. Het Comité neemt hiervan akte. Het Comité herhaalt hierbij de opmerking en voorwaarde dat de termijn van 50 jaar een maximale bewaringstermijn is 7. 27. Het Comité stelt vast dat de bewaartermijn eigenlijk in abstracto niet precies kan worden vastgesteld. Het is evenwel van oordeel dat in de praktijk een onderscheid kan gemaakt worden tussen verschillende bewaringswijzen. Tijdens de uitvoering van een controle of opdracht dienen de gegevens op normale wijze beschikbaar en toegankelijk te zijn voor de betrokken personen die belast zijn met de uitvoering van de concrete controle of opdracht. Zodra deze taken zijn beëindigd en de uitgevoerde opdrachten elektronisch worden gearchiveerd, moet gekozen worden voor een bewaringswijze waardoor de gegevens slechts beperkt beschikbaar en toegankelijk zijn. Een dergelijke bewaringswijze moet toelaten om een antwoord te bieden op andere mogelijke doeleinden van deze bewaring, zoals de naleving van de wettelijke voorschriften inzake verjaring of de uitvoering van een administratieve controle (bvb indirecte controle door de Commissie in uitvoering van artikel 13 WVP). Eens de bewaring niet langer nuttig is, dienen de gegevens niet langer te worden bewaard. 28. Het Comité besluit dat onderhavige gegevens met het oog op verschillende controles en onderzoeken kunnen verwerkt worden (zie hiervoor onder randnummer 9). De concrete uitwerking van de in de vorige alinea uiteengezette algemene richtsnoeren inzake de bewaartermijnen, kan dan ook in deze gevallen verschillend zijn. 2.3. Frequentie van de toegang en duur van de machtiging 29. De aanvrager wenst permanent toegang tot de gevraagde gegevens. 30. Aangezien de aanvrager elke dag in de mogelijkheid moet zijn om de voertuigen en hun eigenaars te identificeren, is het Comité van mening dat gelet op artikel 4, 1, 3 van de WVP een permanente elektronische doorgifte gerechtvaardigd is. 6 Zie http://www.privacycommission.be/sites/privacycommission/files/documents/advies_07_2013.pdf 7 Zie randnummer 20 van het voormelde advies van 20 februari 2013.
Beraadslaging FO 12 /2015-9/11 31. De aanvrager vraagt elektronische doorgifte voor onbepaalde duur. Het Comité stelt vast dat het doeleinde waarvoor de aanvrager toegang wil, niet in de tijd beperkt is en dat een machtiging voor onbepaalde duur bijgevolg geschikt is (artikel 4, 1, 3 van de WVP). 2.4. Ontvangers en/of derden aan wie de gegevens worden verstrekt 32. De aanvrager verduidelijkt dat de gegevens intern zullen worden verwerkt door zijn agenten zoals gedefinieerd in artikel 3, 2 van de wet van 30 november 19988. Het Comité heeft geen bezwaar tegen het feit dat de bovenvermelde personen toegang hebben tot de gevraagde gegevens voor zover dit beantwoordt aan de volgende voorwaarden : De toegang van de (agenten van de) aanvrager beantwoordt aan de grenzen van de wettelijke bevoegdheden die de aanvrager door de regelgeving werden toegekend, waaronder de in randnummer 22 hiervoor vermelde voorwaarden ; de (agenten van de) aanvrager is door of krachtens een wettelijke, statutaire of contractuele verplichting gebonden de vertrouwelijkheid van de gegevens te eerbiedigen; de nodige maatregelen zijn genomen door de aanvrager opdat alleen deze agenten toegang krijgen indien een concreet geval dit noodzaakt; 3. TRANSPARANTIEBEGINSEL 33. Het Comité herinnert eraan dat een eerlijke gegevensverwerking een verwerking is die op een transparante wijze gebeurt. De informatieverplichting bedoeld in artikel 9, 2 van de WVP is in beginsel een van de hoekstenen voor een transparante verwerking. 34. In onderhavig geval zullen de geplande gegevensverwerkingen evenwel worden verricht in toepassing van voorgeschreven bepalingen door of krachtens een wet, decreet of ordonnantie. 8 ieder lid van het statutair of contractueel personeel en iedere militair die zijn functie uitoefent binnen één van de in artikel 2 genoemde inlichtingen- en veiligheidsdiensten
Beraadslaging FO 12 /2015-10/11 35. De aanvrager is bovendien vrijgesteld krachtens artikel 3 4 van de WVP van enige toepassing van de artikelen 9, 10 en 12 van de WVP, onverminderd de mogelijkheid tot indirecte toegang via de Commissie (artikel 13 WVP) 36. Gelet op de voormelde elementen worden van de aanvrager geen bijzondere maatregelen tot aanvullende transparantie gevraagd. 4. BEVEILIGING 4.1. Op niveau van de aanvrager 37. Uit de documenten die de aanvrager verstrekte, blijkt dat hij beschikt over een consulent inzake informatiebeveiliging en over een beveiligingsplan. 38. Het Comité neemt hiervan akte. 4.2. Op niveau van de DIV 39. Uit de documenten waarover het Comité beschikt, blijkt dat de DIV beschikt over een consulent inzake informatiebeveiliging en over een beveiligingsplan. OM DIE REDENEN Het Comité machtigt de aanvrager om de elektronische gegevens bedoeld in de machtigingsaanvraag te ontvangen, onder de voorwaarden vastgesteld in deze beraadslaging en voor zolang deze voorwaarden worden nageleefd;
Beraadslaging FO 12 /2015-11/11 bepaalt zich het recht voor te behouden in voorkomend geval en op geregelde tijdstippen (desgevallend via de Commissie) de effectieve en duurzame uitvoering te controleren van de technische en organisatorische veiligheidsmaatregelen conform de stand van de techniek en van aard om de aanwezige risico's adequaat te dekken gedurende de hele machtigingsperiode. In dit verband beveelt het Comité de aanvrager aan iedere relevante wijziging in de beveiliging van de toegelaten verwerkingen ter kennis te brengen van het Comité. Voor de Wnd. Administrateur, afw. De Voorzitter, (get.) An Machtens Wnd. Afdelingshoofd ORM (get.) Stefan Verschuere