1/10 Sectoraal comité van het Rijksregister Beraadslaging RR nr 11/2014 van 19 februari 2014 Betreft: aanvraag van de provincie Vlaams-Brabant om het identificatienummer van het Rijksregister te gebruiken voor het Platform Welzijn en Gezondheid (RN-MA-2013-429) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Provincie Vlaams-Branbant, ontvangen op 18/12/2013; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 30/01/2014; Gelet op het verslag van de Voorzitter; Beslist op 19 februari 2014, na beraadslaging, als volgt:.
Beraadslaging RR 11 /2014-2/10 I. VOORWERP VAN DE AANVRAAG 1. De provincie Vlaams-Brabant verzoekt om te worden gemachtigd het identificatienummer van het Rijksregister te gebruiken voor identificatiedoeleinden in het Platform Welzijn en Gezondheid. 2. De aanvrager verzoekt om een machtiging in eigen naam maar tevens ten behoeve van de provincies Antwerpen, Limburg, Oost- en West-Vlaanderen, van de Vlaamse Gemeenschapscommissie van het Brussels Hoofdstedelijk Gewest en het Huis voor Gezondheid, hierna de aanvragers. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 A.1.1. De provincies en de Vlaamse Gemeenschapscommissie 3. Zowel de provincies 1 als de Vlaamse Gemeenschapscommissie 2 werden reeds gemachtigd om hetzij toegang te hebben tot de informatiegegevens van het rijksregister hetzij het identificatienummer van het Rijksregister te gebruiken. 4. Voor hen kan het onderzoek van het Comité zich bijgevolg beperken tot het nagaan of: de doeleinden waarvoor het gebruik wordt gevraagd, welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2, WVP; het gebruik van het identificatienummer van het Rijksregister in het licht van de doeleinden proportioneel is (artikel 4, 1, 3, WVP). 1 Koninklijk besluit van 8 januari 1988 waarbij de provinciegouverneurs en de bestendige deputaties van de provincieraden gemachtigd worden om het identificatienummer van het Rijksregister van de natuurlijke personen te gebruiken. 2 Koninklijk Besluit van 1 december 1998 waarbij aan de Vlaamse Gemeenschapscommissie van het Brussels Hoofdstedelijk Gewest toegang wordt verleend tot de informatiegegevens van het Rijksregister van de natuurlijke personen.
Beraadslaging RR 11 /2014-3/10 A.1.2. Huis voor Gezondheid 5. Overeenkomstig artikel 5, eerste lid, 2, WRR en artikel 8, 1, eerste lid, WRR wordt de machtiging om het identificatienummer van het Rijksregister te gebruiken, verleend door het Comité aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. 6. Het Huis voor Gezondheid, hierna het Huis, is een vereniging zonder winstoogmerk waarop beroep wordt gedaan met het oog op het realiseren van beleidsdoeleinden in de sector van gezondheidszorg (volksgezondheid) in het algemeen belang. Dit blijkt zowel uit de beleidsnota Brussel 2009-2014 van de Vlaams minister, bevoegd voor Brussel 3 als uit de beleidsnota 2009-2014 Welzijn, Gezondheid en Gezin van het Collegelid van de Vlaamse Gemeenschapscommissie 4. 7. Op 03/01/2011 werd er tussen de Vlaamse Gemeenschap, de Vlaamse Gemeenschapscommissie en het Huis een beheersovereenkomst gesloten. Artikel 4 van de overeenkomst beschrijft de missie van het Huis en de daarbij horende visie. Het Huis zal ondersteuning bieden aan zorgverleners en organisaties van zorgverleners 5 in Brussel met het oog op een efficiëntere zorgorganisatie en een kwalitatief zorgaanbod. Dit impliceert o.a. het opzetten van gezamenlijke diensten. Krachtens artikel 5 van de overeenkomst maakt het strategisch plan Zorg dragen in Brussel 2011-2015 van het Huis integraal deel uit van de beheersovereenkomst. Als een van de strategische doelstellingen wordt het uitbouwen van de zorgzoeker als communicatie- en informaticaplatform vermeld. Deze doelstelling moet dus bestempeld worden als een beleidsdoeleinde van de overheid. 8. Het Huis komt bijgevolg op basis van artikel 5, eerste lid, 2, WRR in aanmerking om het identificatienummer van het Rijksregister te gebruiken weliswaar beperkt tot de duur waarvoor overheid op het Huis beroep doet voor het realiseren van de overeengekomen beleidsdoeleinden. 3 Zie luik OD 9.4 op blz. 28 (http://brussel.vlaanderen.be/userfiles/file/beleidsnota%20brussel%202009-2014.pdf ) 4 Blz. 5, 10, 17-18, 25 (http://www.vgc.be/nr/rdonlyres/05a78b1d-2ebb-452b-88ca-dfd57d5ea58f/0/beleidsnota_20092014_welzijn.pdf ) 5 Kadert binnen het statutair doel van het Huis zoals omschreven in artikel 3 van haar statuten.
Beraadslaging RR 11 /2014-4/10 B. DOELEINDEN 9. Artikel 2 van het decreet van 31 mei 2013 houdende toekenning van bepaalde bevoegdheden aan de provincies in de aangelegenheden, vermeld in artikel 5 van de bijzondere wet van 8 augustus 1980 tot hervorming der instellingen, bepaalt : 1. De provincies stellen, elk voor hun werkgebied, een sociale kaart op en houden die actueel. Een sociale kaart is het overzicht van de diensten, organisaties en voorzieningen uit de welzijns- en gezondheidssector die operationeel zijn binnen een bepaald gebied. Ze bevat ruime informatie over het bestaande aanbod. De provincies maken daarbij maximaal gebruik van authentieke gegevensbronnen. 2. De sociale kaart wordt voor het publiek opengesteld via een gestructureerde website op het internet. De provincies kunnen een samenwerkingsovereenkomst sluiten met het oog op het aanreiken, via één centrale website, van een gezamenlijke interprovinciale sociale kaart die heel Vlaanderen bestrijkt. In dat geval wordt ook de Vlaamse Gemeenschapscommissie bij die overeenkomst betrokken en omvat de sociale kaart ook dezelfde informatie over het Vlaamse aanbod in het tweetalige gebied Brussel- Hoofdstad. 10. De aanvragers besloten om voor de uitvoering van dit artikel samen te werken. Daartoe sloten zij een overeenkomst m.b.t. een Platform Welzijn en Gezondheid waarvan de doelstelling bestaat in het verzamelen, beheren en ontsluiten van contactgegevens, werkingsgegevens en zorgactiviteiten van professionals en organisaties uit het domein zorg, welzijn en belendende sectoren, werkzaam op het grondgebied van de Vlaamse provincies en de Vlaamse Gemeenschapscommissie. 11. Dit platform zal een databank omvatten waarin contactgegevens, werkingsgegevens en zorgactiviteiten van professionals en organisaties uit het domein van de zorg en welzijn worden opgenomen. Zij zal de fundering vormen waarop, zoals opgelegd door bovenvermeld artikel 2, een zoekfunctie wordt gebouwd die de burger toelaat op eenvoudige wijze voor hem gepaste dienstverlening/dienstverleners in de sector van zorg en welzijn te lokaliseren.
Beraadslaging RR 11 /2014-5/10 12. Het betreft een welbepaald en uitdrukkelijk omschreven doeleinde (artikel 4, 1, 2, WVP). Het is tevens gerechtvaardigd vermits de verwerkingen die daartoe geschieden gestoeld zijn op artikel 5, eerste lid, c), WVP. 13. Om dit doeleinde te realiseren is het niet vereist dat de aanvragers gegevens m.b.t. de gebruikers van de zoekfunctie verwerken: het is de bedoeling dat ze anoniem kan worden gebruikt. Uit de aanvraag blijkt echter dat de aanvragers de mogelijkheid voorzien voor de gebruikers van de zoekfunctie om een profiel aan te maken en dus gepaard gaat met de verzameling van persoonsgegevens van de gebruikers van de zoekfunctie. In de aanvraag wordt beklemtoond dat de geïnformeerde toestemming van de betrokkene zal worden gevraagd omdat het kan leiden tot de verzameling van gegevens betreffende de gezondheid. 14. Het Comité stelt vast dat de aanvrager, niettegenstaande de gezondheidsgegevens worden verzameld op grond van artikel 7, 2, a), WVP, het bij decreet opgelegde doeleinde kan realiseren zonder gegevens van de gebruikers van de zoekfunctie te verwerken. Deze gegevensverzameling is overmatig en niet ter zake dienend (artikel 4, 1, 3, WVP). Met welk ander doeleinde deze gegevens worden verzameld is niet duidelijk. 15. Volgens de toelichting zou de mogelijkheid om een profiel aan te maken vooral professionele eindgebruikers viseren. Met professionele gebruikers worden personen bedoeld die ten behoeve van derden - bijvoorbeeld sociale assistenten, mantelzorgers - de zoekfunctie gebruiken en de resultaten van de zoekopdracht wensen op te slaan om ze eventueel later gemakkelijk te kunnen oproepen. Alzo zou deze categorie van gebruikers over een voor hen werkvriendelijk instrument kunnen beschikken. 16. Het Comité oordeelt dat in dit geval de aanmaak van een profiel en dus de verzameling van persoonsgegevens kan worden verantwoord: ze is gebaseerd op artikel 5, eerste lid, a) WVP 6 zodat het gebruik van de zoekrobot wordt geoptimaliseerd ten behoeve van diegene die toestemming gaf. Dit vereist dat de aanvragers op het platform zeer duidelijk aangeven dat het aanmaken van een profiel uitsluitend een mogelijkheid is die, nadat ze zich via de eid hebben geïdentificeerd en geauthentiseerd, wordt aangeboden aan professionele gebruikers die de zoekfunctie gebruiken ten behoeve van derden. 17. Via het platform wil men de zorgverleners ook de mogelijkheid bieden om hun eigen informatiefiche binnen het platform te beheren en dus de gegevens ervan aan te passen. Daartoe moeten zij zich aan de hand van de eid identificeren en authentiseren. Dit vereist de uitbouw van 6 Vermits zij opzoekingen doen ten behoeve van niet geïdentificeerde derden, worden er dus geen gegevens m.b.t. de gezondheid van een identificeerbaar persoon verzameld.
Beraadslaging RR 11 /2014-6/10 een gebruikers- en toegangsbeheer. Het platform zal daartoe gebruik maken van de basisdiensten die daartoe door het ehealthplatform worden ter beschikking gesteld. 18. Het betreft een welbepaald en uitdrukkelijk omschreven doeleinde (artikel 4, 1, 2, WVP). Het is tevens gerechtvaardigd vermits de verwerkingen die daartoe geschieden gestoeld zijn op artikel 5, eerste lid, f), WVP. C. PROPORTIONALITEIT C.1. Ten overstaan van het identificatienummer van het Rijksregister 19. Zoals reeds aangestipt in randnummer 11 zullen de aanvragers een databank uitbouwen waarin contactgegevens, werkingsgegevens en zorgactiviteiten van professionals en organisaties uit het domein van de zorg en welzijn worden opgenomen met het oog op raadpleging door middel van een zoekfunctie. Zij wensen deze personen uniek in deze gegevensbank te identificeren aan de hand van het identificatienummer van het Rijksregister. 20. Het Comité stelt vast dat dergelijke zoekfunctie slechts optimale resultaten kan opleveren voor zover verwarring tussen de erin opgenomen personen uitgesloten is en er regelmatig wordt gecontroleerd of hun hoedanigheid nog correct is. Het identificatienummer van het Rijksregister is een uniek nummer dat een persoon precies identificeert en waardoor misverstanden die kunnen ontstaan n.a.v. homonymie en foutieve schrijfwijzen worden uitgesloten. 21. Het door de aanvrager gewenste gebruik van het identificatienummer is, in het licht van de opgegeven doeleinde, in overeenstemming met artikel 4, 1, 3, WVP. 22. De aanvrager wenst het identificatienummer van het Rijksregister tevens te gebruiken met het oog op het uitbouwen van zijn gebruikers- en toegangsbeheer. Daarbij zal beroep worden gedaan op een aantal basisdiensten van het ehealth-platform. 23. Het Comité stelt vast dat voor dit doeleinde artikel 8 van de wet van 21 augustus 2008 houdende oprichting en organisatie van het ehealth-platform, een wettelijke basis vormt om het identificatienummer van het Rijksregister te gebruiken 7. 7 Zie in die zin beraadslagingen RR nr. 77/2009 en RR nr. 69/2011.
Beraadslaging RR 11 /2014-7/10 C.2. Ten overstaan van de duur van de machtiging 24. Er wordt een machtiging voor onbepaalde duur gevraagd. 25. Het Comité stelt vast dat de decreetgever de verplichting om een zoekfunctie ter beschikking te stellen van de burger niet in de tijd bepaalde. Een machtiging van onbepaalde duur is dus gepast (artikel 4, 1, 3, WVP). 26. Het Comité maakt m.b.t. het Huis echter volgend voorbehoud. Gelet op het feit dat de ontvankelijkheid t.o.v. het Huis voortspruit uit het feit dat er door de overheid beroep op wordt gedaan voor het realiseren van beleidsdoeleinden, zal de machtiging t.o.v. het Huis moeten herbekeken worden van zodra de overheid er niet langer beroep op doet. C.3. Ten overstaan van de bewaartermijn 27. In de aanvraag wordt gesteld dat het identificatienummer van het Rijksregister permanent wordt bewaard, wat eigenlijk niets zegt over de termijn. Er wordt echter gepreciseerd dat het nummer van: de personen die een persoonlijk profiel aanmaken, wordt bewaard zolang zij als gebruiker geregistreerd staan; de professionals uit het domein zorg, welzijn en belendende sectoren in de gegevensbank is opgenomen, wordt bewaard tot op het ogenblik dat er geen link meer bestaat met een organisatie waaraan zij verbonden zijn of zij niet langer als professional geregistreerd zijn in de CoBRHA-databank. 28. Het Comité oordeelt, rekening houdend met de doeleinden, dat de aldus door de aanvrager vooropgestelde bewaartermijn conform is aan artikel 4, 1, 5, WVP. Het vestigt er de aandacht op dat profielen vaak na een tijd niet meer actief worden benut en de betrokkene vergeet om zijn registratie te beëindigen. Het spoort de aanvragers dan ook aan om de gegevens horend bij profielen die bijvoorbeeld gedurende 2 jaar niet actief meer zijn benut, uit haar gegevensbank(en te wissen. C.4. Intern gebruik en/of mededeling aan derden 29. De aanvrager stelt dat er geen mededeling aan derden gebeurt.
Beraadslaging RR 11 /2014-8/10 30. Het Comité neemt hiervan akte. Het stelt evenwel vast dat het identificatienummer van het Rijksregister wel zal worden meegedeeld aan het ehealth-platform met het oog op controle van de hoedanigheid van de betrokkene in de CoBRHA-databank van het ehealth-platform. Deze mededeling roept geen bezwaren op gelet op het feit dat het ehealth-platform wettelijk gemachtigd is om het identificatienummer van het Rijksregister te gebruiken. C.5. Netwerkverbindingen 31. In de aanvraag wordt gemeld dat er een netwerkverbinding tot stand komt met het ehealthplatform. De gegevensbank van de aanvragers zal immers aan de hand van het identificatienummer van het Rijksregister worden geactualiseerd met de CoBRHA-databank van het ehealth-platform. 32. Het Comité neemt hiervan akte. Deze netwerkverbinding geeft geen aanleiding tot bijzondere opmerkingen. De terugkoppeling naar de CoBRHA-databank is noodzakelijk om te vermijden dat de burgers die gebruik maken van de zoekfunctie achterhaalde resultaten zou opleveren. D. BEVEILIGING D.1 Consulent inzake informatiebeveiliging 33. De identiteit van de consulent inzake informatiebeveiliging van de provincie Vlaams-Brabant en de provincie Limburg werd meegedeeld. De betrokkenen werd reeds door het Comité aanvaard. 34. De identiteit van de consulenten inzake informatiebeveiliging van de andere aanvragers werd niet meegedeeld. Zij dienen deze informatie vooralsnog aan het Comité te bezorgen. D.2. Informatiebeveiligingsbeleid 35. Uit de door provincie Vlaams-Brabant meegedeelde stukken blijkt dat zij over een beveiligingsbeleid beschikt en dat ze dit ook praktisch op het terrein uitwerkt. 36. Het Comité heeft er akte van genomen. 37. Er werd door de andere aanvragers geen informatie verstrekt m.b.t. de informatiebeveiliging. Het Comité wenst dat elke aanvrager het behoorlijk ingevulde "Evaluatieformulier voor elkeen die toegang tot of verbinding met het Rijksregister vraagt en aangaande de referentiemaatregelen voor de beveiliging van elke verwerking van
Beraadslaging RR 11 /2014-9/10 persoonsgegevens" bezorgt, zodat kan nagegaan worden of hij ter zake de nodige inspanningen doet. 38. De aanvragers doen voor de werking van het Platform Welzijn en Gezondheid beroep op een verwerker. Het Comité vestigt de aandacht op de vereisten dienaangaande geformuleerd in artikel 16 WVP. D.3. Personen die het identificatienummer van het Rijksregister gebruiken en lijst van deze personen 39. Volgens de aanvraag zullen alleen de beheerders van de gegevensbank en de zoekfunctie het identificatienummer van het Rijksregister gebruiken. 40. De gemachtigden moeten, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen van de personen die het identificatienummer van het Rijksregister gebruiken. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking gehouden worden van het Comité. 41. De personen die op deze lijst worden opgenomen moeten een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens waartoe zij toegang krijgen, te bewaren. OM DEZE REDENEN het Comité 1 machtigt de provincies Antwerpen, Limburg, Oost-Vlaanderen, Vlaams-Brabant, West- Vlaanderen, de Vlaamse Gemeenschapscommissie van het Brussels Hoofdstedelijk Gewest en het Huis voor Gezondheid vzw om voor de doeleinden vermeld onder punt B en onder de voorwaarden vastgesteld in deze beraadslaging om voor onbepaalde duur het identificatienummer van het Rijksregister te gebruiken. Deze machtiging zal ten overstaan van de provincies Antwerpen, Limburg, Oost-Vlaanderen, West- Vlaanderen, de Vlaamse Gemeenschapscommissie van het Brussels Hoofdstedelijk Gewest en het Huis voor Gezondheid slechts uitwerking krijgen nadat het Comité op basis van de voorgelegde stukken en inlichtingen heeft vastgesteld dat zij: over een aanvaardbare consulent inzake informatieveiligheid beschikken (punt D.1.); over een afdoend informatieveiligheidsbeleid beschikken (punt D.2.);
Beraadslaging RR 11 /2014-10/10 2 bepaalt dat de gemachtigden het Comité onmiddellijk moeten informeren wanneer de overheid niet langer beroep doet op het Huis voor Gezondheid vzw voor het realiseren van beleidsdoeleinden met het oog op het herbekijken van de machtiging in hoofde van deze laatste; 3 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de gemachtigden een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moeten invullen en aan het Comité bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren; 4 bepaalt dat wanneer het Comité de gemachtigden een vragenlijst met betrekking tot de informatiebeveiligingsstatus toestuurt, deze laatsten de lijst waarheidsgetrouw moeten invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Wnd. Administrateur, De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon