1/11 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 20/2008 van 7 mei 2008 Betreft: Aanvraag FOD Volksgezondheid, Veiligheid van de voedselketen en Leefmilieu om toegang te bekomen tot de informatiegegevens van het Rijksregister en om het identificatienummer van het Rijksregister te gebruiken met het oog op de registratie van de wilsverklaring inzake euthanasie en mededeling aan de betrokken artsen via de diensten van het Rijksregister (RN/MA/2008/011) Het Sectoraal comité van het Rijksregister (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna "WVP"), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu, ontvangen op 14/03/2008; Gelet op de aanvraag van het technisch en juridisch advies, gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 02/04/2008; Gelet op het technisch en juridisch advies, ontvangen op 06/05/2008;
Ber RR 20/2008-2/11 Gelet op het verslag van de Voorzitter; Beslist op 07/05/2008, na beraadslaging, als volgt: I. VOORWERP VAN DE AANVRAAG De aanvraag heeft tot doel om de FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu, Directoraat-generaal Organisatie Gezondheidszorgvoorzieningen, hierna de aanvrager genoemd, te machtigen om: toegang te hebben tot de informatiegegevens van het Rijksregister van de natuurlijke personen, meer in het bijzonder tot deze vermeld in artikel 3, eerste lid, 1, 3, 5 en 6, WRR; het identificatienummer van het Rijksregister te gebruiken (art. 8 WRR) met het oog op de registratie van de wilsverklaring inzake euthanasie. In het licht hiervan verzoekt de aanvrager tevens om de gemeenten te verplichten tot het verstrekken van andere informatie dan deze die opgenomen is in het Rijksregister (artikel 16, eerste lid, 12, WRR). II. ONDERZOEK VAN DE AANVRAAG De FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu, beschikt reeds over een machtiging om toegang te hebben tot de informatiegegevens van het Rijksregister en om het identificatienummer ervan te gebruiken ingevolge de beraadslaging RR nr. 06/2005 van 13 april 2005. Het onderzoek van het Comité kan zich dan ook beperken tot het nagaan of de doeleinden met het oog op dewelke thans toegang en gebruik gevraagd worden, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2, WVP en de gegevens tot dewelke toegang gewenst wordt evenals het gebruik van het nummer proportioneel zijn in het licht van deze doeleinden (artikel 4, 1, 3, WVP).
Ber RR 20/2008-3/11 A. DOELEINDEN A.1. De wet van 28 mei 2002 betreffende de euthanasie, bepaalt de voorwaarden en de procedure waaronder euthanasie kan worden toegepast. De wet voorziet in een wilsverklaring inzake euthanasie die kan worden opgesteld door een persoon op een moment dat hij wilsbekwaam is en waarin hij de wil uitdrukt in verband met het al dan niet toepassen van euthanasie op het ogenblik dat hij niet meer wilsbekwaam is. Artikel 4, 1, laatste lid, van de wet van 28 mei 2002 stelt: "De Koning bepaalt hoe die wilsverklaring wordt opgesteld, geregistreerd en herbevestigd of ingetrokken en via het Rijksregister aan de betrokken artsen wordt meegedeeld.". Er werden 2 besluiten ter uitvoering van dit artikel genomen, namelijk: het koninklijk besluit van 2 april 2003 houdende vaststelling van de wijze waarop de wilsverklaring inzake euthanasie wordt opgesteld, herbevestigd, herzien of ingetrokken; het koninklijk besluit van 27 april 2007 tot regeling van de wijze waarop de wilsverklaring inzake euthanasie wordt geregistreerd en via de diensten van het Rijksregister aan de betrokken artsen wordt meegedeeld. De bedoeling van het registratiesysteem van de wilsverklaring bestaat erin de betrokkene zekerheid te verschaffen dat zijn wil inzake euthanasie bekend zal zijn op het ogenblik dat hij niet meer wilsbekwaam is en hij zich als patiënt in een situatie bevindt waarin euthanasie kan worden toegepast. Een arts die geconfronteerd wordt met een dergelijke patiënt, kan zich door raadpleging van dit register ervan vergewissen of de betrokkene ter zake een wilsverklaring in de ene of de andere zin heeft gedaan en wie hij als vertrouwensperso(o)n(en) aanduidde. De wilsverklaring inzake euthanasie gebeurt overeenkomstig het model dat als bijlage gevoegd is bij het koninklijk besluit van 2 april 2003. Wanneer de betrokkene deze wenst te registreren, biedt hij zich hiermee aan bij de ambtenaar van de burgerlijke stand van zijn woonplaats. Deze zal de identiteit van de betrokkene controleren en nagaan of de wilsverklaring overeenstemt met het voorgeschreven model (artikel 2 van het koninklijk besluit van 27 april 2007). Indien dat het geval is, maakt de ambtenaar van de burgerlijke stand via het Rijksregister een aantal gegegevens over aan de gegevensbank van de aanvrager waarin de wilsverklaringen moeten geregistreerd worden. Het betreft onder meer de volgende gegevens (artikel 3 van het koninklijk besluit van 27 april 2007):
Ber RR 20/2008-4/11 voor de betrokkene: identificatienummer van het Rijksregister, de naam en voornamen, de geboortedatum en het geslacht; voor de vertrouwensperso(o)n(en): identificatienummer van het Rijksregister, de naam en voornamen en het geslacht. Na ontvangst van deze gegevens, stuurt de aanvrager langs dezelfde weg een ontvangstmelding met opgave van de in de gegevensbank geregistreerde gegevens. Als bewijs van de registratie van de wilsverklaring wordt aan de betrokkene naast een geviseerd afschrift van de wilsverklaring tevens een afschrift overhandigd van de ontvangstmelding (artikel 5 van het koninklijk besluit van 27 april 2007). A.2. Artikel 8 van het koninklijk besluit van 27 april 2007 bepaalt dat iedere raadpleging door een geneesheer van de gegevensbank waarin de wilsverklaringen geregistreerd worden, door de aanvrager worden getraceerd. De Federale Controle- en Evaluatiecommissie moet trouwens regelmatig geïnformeerd worden omtrent de raadplegingen van de gegevensbank. Dit impliceert dat de aanvrager een gebruikers- en toegangsbeheer op punt stelt dat erover waakt dat via de webtoepassing alleen aan geneesheren toegang wordt verleend tot de gegevensbank. Dit houdt onder meer in dat de aanvrager zich moet vergewissen zowel van de juiste identiteit als van de hoedanigheid van de persoon die te kennen geeft dat hij de gegevensbank wenst te raadplegen. Het Comité stelt vast dat de hiervoor onder de punten A.1 en A.2 omschreven doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2, WVP. B. PROPORTIONALITEIT B.1. Ten opzichte van de gegevens B.1.1. De aanvrager wenst mededeling van de informatiegegevens vermeld in artikel 3, eerste lid, 1, 3, 5 en 6, WRR, zijnde respectievelijk: de naam en voornamen; het geslacht; de hoofdverblijfplaats; de datum van overlijden; van de betrokkene en zijn vertrouwensperso(o)n(en).
Ber RR 20/2008-5/11 Het Comité stelt vast dat: De informatiegegevens naam en voornamen en geslacht wezenlijke elementen zijn met het oog op de identificatie van een persoon. Daarenboven bepaalt artikel 7, 2, derde lid, van het koninklijk besluit van 27 april 2007 dat de artsen in de gegevensbank kunnen zoeken aan de hand van de verplichte combinatie van naam, voornamen, geboortedatum en geslacht. De "hoofdverblijfplaats" per definitie een volatiel gegegeven is. Wanneer een arts zijn patiënt in de gegevensbank aantreft, is het aangewezen dat hem het recentste adres van zijn patiënt wordt meegedeeld. Het vormt voor de arts een bijkomend controle-element dat het wel degelijk de juiste patiënt betreft. Ingevolge artikel 4, 1, tweede lid, van de wet van 28 mei 2002 moet de arts daarenboven contact opnemen met de vertrouwensperso(o)nen die de patiënt aanwees. Daartoe is het vanzelfsprekend eveneens noodzakelijk dat hem het recentste adres van die personen wordt meegedeeld. In de wilsverklaring worden de vertrouwenspersonen in volgorde van voorkeur aangewezen. Artikel 4, 1, derde lid, van de wet van 28 mei 2002 bepaalt dat elke vertrouwenspersoon zijn voorvanger vervangt in geval van weigering, verhindering, onbekwaamheid of overlijden. De mededeling van de eventuele "datum van overlijden" van een vertrouwenspersoon is pertinente informatie voor de arts. Dit vereist dat de aanvrager over een toegang tot dit gegeven beschikt teneinde de arts n.a.v. diens raadpleging de meest recente status dienaangaande te kunnen verstrekken. Verder wordt er de aandacht op gevestigd dat ingevolge artikel 6 van het koninklijk besluit van 27 april 2007 de aanvrager de gegevens m.b.t. de wilsverklaring uit de gegevensbank moet schrappen na het overlijden van de persoon en meer in het bijzonder nadat de termijn voor het indienen van een beroep in het kader van een gerechtelijke procedure is verstreken. Een toegang tot de "datum van overlijden" laat de aanvrager toe om het dossier van de betrokkene op non-actief te zetten, in afwachting van zijn definitieve schrapping. De Commissie stelt vast dat de toegang tot de informatiegegevens vermeld in artikel 3, eerste lid, 1, 3, 5 en 6, WRR, in overeenstemming is met artikel 4, 1, 3, WVP. B.2. Ten overstaan van het gebruik van het identificatienummer van het Rijksregister B.2.1. De aanvrager wenst het identificatienummer van het Rijksregister te gebruiken met het oog op de correcte identificatie van zowel de betrokkene als de vertrouwenspersonen.
Ber RR 20/2008-6/11 Gelet op de draagwijdte van de wilsverklaring is het essentieel dat alle betrokkenen correct geïdentificeerd worden. Dit betekent dat misverstanden die kunnen ontstaan n.a.v. homonymie en foutieve schrijfwijzen moeten uitgesloten worden. Aan de hand van het identificatienummer van het Rijksregister, dat een uniek nummer is, kan een persoon precies geïdentificeerd worden. Het is daarenboven de bedoeling dat indien de raadpleging van de gegevensbank door een arts een positief resultaat oplevert, hem de recentste status van de persoonsgegevens van de in het dossier betrokken personen wordt verschaft (adres, eventueel datum van overlijden). Dit zal geautomatiseerd gebeuren. Dit is slechts mogelijk voor zover daarbij het identificatienummer van het Rijksregister van de betrokkenen gebruikt wordt, weerom om vergissingen uit te sluiten. B.2.2. De aanvrager wenst, blijkens de bijkomende informatie ontvangen op 14 april 2008, het identificatienummer tevens te gebruiken met het oog op het gebruikers- en toegangsbeheer.. Dit omvat 3 stadia: de identificatie 1, de authenticatie 2 en de autorisatie De elektronische identificatie en authenticatie moeten gebeuren op een beveiligde en zekere manier. De aanvrager moet zeker zijn van de identiteit van de persoon die zich via de webapplicatie aanmeldt, gelet het feit dat hij langs die weg toegang krijgt tot informatie m.b.t. derden die vertrouwelijk van aard is. Een persoon die toegang wenst zal aan de hand van de gegevens van de EID geïdentificeerd en geauthenticeerd worden. De aanvrager maakt daartoe gebruik van de identificatie- en authenticatiedienst die ter beschikking gesteld wordt door Fedict. Indien deze stappen succesvol werden doorlopen, wordt het identificatienummer van de betrokkene tezamen met zijn naam en voornaam meegedeeld aan de aanvrager. Daarna zal de aanvrager in zijn federale databank van beoefenaars van gezondheidszorgberoepen nagaan of de betrokkene de hoedanigheid van geneesheer heeft. Het identificatienummer van het Rijksregister is één van de identificatiegegevens die m.b.t. een beoefenaar van een gezondheidszorgberoep zijn opgenomen in deze databank. Deze controle gebeurt bij voorkeur aan de hand van dit identificatienummer teneinde vergissingen uit te sluiten. Indien deze positief uitvalt kan toelating (autorisatie) verleend worden om in de databank houdende de wilsverklaringen een opzoeking te verrichten. 1 Het toekennen van een unieke set van data die toelaat te weten wie een persoon is. 2 Het proces van verificatie om na te gaan of hetgeen beweerd wordt correct is (b.v. de identiteit wordt gecontroleerd aan de hand van een paswoord of pincode).
Ber RR 20/2008-7/11 Het Comité stelt tevens vast dat de aanvrager ingevolge artikel 8 van het koninklijk besluit van 27 april 2007 verplicht is om iedere raadpleging door een geneesheer te registreren zodat kan gecontroleerd worden "wie, wat, wanneer en waarom" geraadpleegd heeft. Het is aangewezen dat dit eveneens gebeurt aan de hand van het identificatienummer om zekerheid te hebben omtrent de raadpleger. Rekening houdend met wat hiervoor werd uiteengezet is het Comité van oordeel dat het gebruik van het identificatienummer voor de hogervermelde doeleinden in overeenstemming is met artikel 4, 1, 3, WVP. B.3. Ten opzichte de frequentie van de toegang en de duur van de toegang en het gebruik B.3.1. Er wordt een permanente toegang tot de informatiegegevens gevraagd. Het Comité is van oordeel dat het respecteren van de eventuele wilsverklaring van een persoon impliceert dat aan de arts die in de gegevensbank van de aanvrager nagaat of één van zijn patiënten een wilsverklaring heeft verricht, in positief geval de meest recente hoofdverblijfplaats wordt meegedeeld en hem wordt gemeld wie van de vertrouwenspersonen nog in leven is. Gelet op het feit dat de gegevensbank 24 uur op 24 uur raadpleegbaar is, moet de aanvrager naar aanleiding van een raadpleging bijgevolg op ieder ogenblik de meest recente informatie in het Rijksregister kunnen opvragen en registreren. Een permanente toegang is dan ook gepast (artikel 4, 1, 3, WVP). B.3.2. De toegang en het gebruik worden gevraagd voor onbepaalde duur. Het Comité stelt vast dat de taak waarmee de aanvrager in uitvoering van de wet van 28 mei 2002 wordt belast, niet in de tijd beperkt is. In het licht van de doeleinden is dan ook een machtiging van onbepaalde duur gepast (artikel 4, 1, 3, WVP). B.4. Ten opzichte van de bewaringstermijn De aanvrager geeft geen precieze bewaringstermijn op maar stelt dat de gegevens zullen geschrapt worden na het overlijden van de persoon op wie ze betrekking hebben en meer in het bijzonder nadat de termijn voor het indienen van een beroep in het kader van een gerechtelijke procedure is verstreken.
Ber RR 20/2008-8/11 Het Comité stelt vast dat dit overeenstemt met de regeling die voorzien in artikel 6 van het koninklijk besluit van 27 april 2007. In het licht hiervan is het Comité van oordeel dat de vooropgestelde bewaringstermijn conform is aan artikel 4, 1, 5, WVP. B.5. Intern gebruik en/of mededeling aan derden De gegevens die door de aanvrager uit het Rijksregister verkregen worden, zullen meegedeeld worden aan de behandelende arts van een patiënt die een wilsverklaring inzake euthanasie heeft laten registreren. Het Comité stelt vast dat de wet van 28 mei 2002 en haar uitvoeringsbesluiten euthanasie procedureel omkaderen. Opdat een arts conform de wettelijke en reglementaire voorschriften ter zake zou kunnen handelen, zoals bijvoorbeeld het contacteren van de vertrouwenspersonen in volgorde van de voorkeur opgegeven in de wilsverklaring, is het noodzakelijk dat hem een aantal gegevens die afkomstig zijn uit het Rijksregister, ter beschikking worden gesteld. Trouwens artikel 7, 3, bepaalt dat de aanvrager in voorkomend geval een aantal gegevens aan de arts moet meedelen, waaronder deze afkomstig uit het Rijksregister. In de gegeven reglementaire context is de beoogde mededeling dan ook aanvaardbaar. B.6. Netwerkverbindingen Uit de uitleg verstrekt door de aanvrager blijkt dat er op basis van het identificatienummer momenteel geen netwerkverbindingen zullen tot stand komen. Het Comité vestigt er volledigheidshalve de aandacht op dat: indien er later netwerkverbindingen mochten tot stand komen de aanvrager het comité daarvan voorafgaandelijk op de hoogte moet brengen; het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken. C. VIA HET RIJKSREGISTER Artikel 16, eerste lid, 12, WRR bepaalt dat het Comité de gemeenten kan verplichten, wanneer een instantie bedoeld in artikel 5 WRR om andere dan de in artikel 3 WRR vermelde informatiegegevens
Ber RR 20/2008-9/11 verzoekt, om deze gegevens te verstrekken door toedoen van het Rijksregister, waarbij de aldus verstrekte gegevens niet in het Rijksregister worden bewaard. Het Comité stelt vast dat artikel 3 van het koninklijk besluit van 27 april 2007 bepaalt dat de gemeenten gegevens aan de aanvrager moeten verstrekken door tussenkomst van de diensten van het Rijksregister met het oog op de registratie in de gegevensbank van de aanvrager. Het Comité neemt akte van deze bepaling en kan, in het licht daarvan, moeilijk de voorgeschreven werkwijze verbieden. Het vestigt er evenwel de aandacht op dat die werkwijze vanuit een WVPperspectief slechts zinvol is in de mate dat de gemeenten gebruik maken van een netwerk dat wordt beheerd door het Rijksregister. Dit was destijds het geval toen er nog met gehuurde telefoonlijnen werd gewerkt. Ondertussen is dat, volgens de informatie waarover het Comité beschikt, niet meer het geval. Het gros van de gemeenten gebruikt aparte netwerken om informatie te laten circuleren. Dit betekent dat de passage via het Rijksregister een extra tussenstap inhoudt in de verstrekking van gevoelige informatie, terwijl die geen enkele meerwaarde oplevert. Vanuit WVP en veiligheidsoverwegingen zou het dus beter zijn dat de gemeenten de informatie rechtstreeks aan de aanvrager bezorgen via het netwerk dat ze normaal gebruiken. D. BEVEILIGING D.1. Consulent inzake informatieveiligheid De identiteit van de consulent inzake informatieveiligheid werd meegedeeld. Het Sectoraal comité van de Sociale Zekerheid en van de Gezondheid verleende reeds op 6 maart 2007 een gunstig advies nr. 07/07 m.b.t. de aanstelling van de betrokkene als consulent inzake informatieveiligheid. In het licht hiervan is hij dan ook voor het Comité aanvaardbaar. D.2. Informatieveiligheidsbeleid Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsbeleid beschikt evenals over een plan in toepassing ervan. Het Comité heeft er akte van genomen. Het stelt evenwel vast dat uit de verstrekte informatie blijkt dat: er alleen loggins worden bijgehouden van de wijzigingen die worden aangebracht. Het Comité stelt vast dat dit moeilijk te rijmen valt met artikel 8 van het koninklijk besluit
Ber RR 20/2008-10/11 van 27 april 2007 krachtens hetwelk elke raadpleging moet getraceerd worden. Daarenboven bepaalt artikel 16, 2, 2, WVP dat de verantwoordelijke voor de verwerking ervoor moet zorgen dat de toegang tot persoonsgegevens beperkt blijft tot die gegevens die de personen die onder zijn gezag handelen nodig hebben om hun opgedragen taken te kunnen vervullen. Dit vereist een systeem van loggin dat registreert welke persoon wanneer welke gegevens over een bepaalde persoon raadpleegde en waarom, zoniet is het veiligheidsbeleid een lege doos omdat het o.a. onmogelijk is om onregelmatigheden of misbruiken vast te stellen. Rekening houdend met het feit dat misbruik maken van een toegang tot persoonsgegevens een strafbaar feit is, is het aangewezen dat degelijke loggins minstens gedurende 10 jaar bewaard worden. Het Comité staat erop dat de aanvrager daartoe het nodige doet; een hele reeks aspecten van het veiligheidsbeleid pas eind 2008 of zelfs pas in de loop van 2009 operationeel zullen zijn. Gelet op het feit dat de aanvrager gevoelige informatie in de betrokken gegevensbank zal verwerken, acht het Comité het aangewezen dat het veiligheidsbeleid op het terrein nader uitgewerkt wordt vooraleer de aanvrager met de verwerking, zoals voorzien in het koninklijk besluit, start. D.3. Personen die toegang hebben tot de informatiegegevens en lijst van deze personen Het zijn de personeelsleden van de aanvrager die belast zijn met het beheer en de goede werking van de gegevensbank, waarin de wilsverklaringen geregistreerd worden, die over een toegang tot de informatiegegevens van het Rijksregister zullen beschikken en/of het identificatienummer ervan zullen gebruiken. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen van de personen die toegang hebben tot de informatiegegevens van het Rijksregister en die het identificatienummer van het Rijksregister gebruiken. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking gehouden worden van het Comité. De personen die op deze lijst worden opgenomen moeten een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens waartoe zij toegang krijgen, te bewaren.
Ber RR 20/2008-11/11 OM DEZE REDENEN, het Comité 1 machtigt de FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu, Directoraatgeneraal Organisatie Gezondheidszorgvoorzieningen, om met het oog op de verwezenlijking van de onder punt B omschreven doeleinden en onder de voorwaarden omschreven in de beraadslaging, voor onbepaalde duur: een permanente toegang te hebben tot de informatiegegevens vermeld in artikel 3, eerste lid, 1, 3, 5 en 6, WRR; het identificatienummer van het Rijksregister te gebruiken; Deze machtiging zal evenwel slechts uitwerking krijgen nadat het Comité op basis van de door de gemachtigde verstrekte stukken en inlichtingen heeft vastgesteld dat voldaan werd aan de onder punt D.2. geformuleerde opmerkingen; 2 bepaalt dat wanneer het Comité de FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu, Directoraat-generaal Organisatie Gezondheidszorgvoorzieningen, een vragenlijst met betrekking tot de informatieveiligheidstatus toestuurt, deze laatste deze lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. Voor de Administrateur, m.v., Het Afdelingshoord O&RM De voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon